Crece exponencialmente la amenaza del correo malicioso infectado con ransomware.
Nuevos estudios revelan los espectaculares y a la vez terribles datos sobre la crecida del correo malicioso que contiene Ransomware.
El estudio en cuestión que revela que las infecciones por Ransomware desde correo malicioso han crecido casi un 800% en en primer trimeste de 2016, es el realizado por PhishMe llamado Q1 2016 Malware Review. Se contrasta con la misma información de 2015 en el primer trimestre de 2015.
Los ataques van dirigidos a particulares, pequeñas y medianas empresas y multinacionales pasando por órganos institucionales y de la sanidad pública. Es decir, son ataques de ransonware para cifrar los documentos y archivos de todo el que pueda infectar.
Según el estudio, lo más común para la rápida expansión del correo malicioso infectado, son aplicaciones programadas en JavaScript. Anteriormente se realizaban con macros en documentos de Office de una forma mayoritaria.
Las aplicaciones JSDropper (software malicioso que, una vez ejecutado, se replica e infecta otros archivos y programas), también han tenido una presencia muy marcada en cuanto a correos maliciosos se refiere.
Algunos de ustedes se preguntaran sobre el beneficio que obtienen los delicuentes de todo esto. Aunque no se lo crean, se ha convertido en una vía de ingresos importante ya que, muchos de los infectados deciden pagar para volver a tener la información desencriptada.
Conviene recordar el funcionamiento de estos ciberdelincuentes. El ransomware, se cuela en sus servidores al ejecutar una aplicación recibida por correo electrónico en uno de sus equipos conectado a su red. Este archivo viene camuflado en un correo electrónico malicioso, normalmente de la empresa CORREOS aunque en ocasiones muta y la empresa emisora es otra como el caso de ENDESA.
Cuando el ransomware se carga, se conecta a un servidor de control remoto, que genera un par de claves RSA pública/privada de 2048 bits. La clave pública se la queda el ordenador infectado, y posteriormente empieza a cifrar archivos de forma precisa: sólo cifra ciertos tipos como documentos de Office, imágenes o archivos de AutoCAD, Bases de datos, etc… los que probablemente sean más valiosos para el usuario.
Posteriormente, el ransomware llegado desde correo malicioso, nos avisa de que previo pago (las cantidades varían), nos enviarán una clave con la que poder desencriptar toda la información.
Los ciberdelincuentes están haciendo el agosto ya que muchos afectados han decidido pagar por la desencriptación, que al ser en muchos casos en bitcoins, permiten mantenerse en la sombra y permanecer anónimos.
Santiago Arroyo