Sophos presenta los resultados de una amplia investigación: SamSam: The (almost) $6 million dollars ransomware, cómo se usa, a quién va dirigido, cómo funciona y cómo está evolucionando el secreto y sofisticado ransomware SamSam. La misma fue realizada a través de análisis exhaustivos, entrevistas y relevamiento; y colaborando estrechamente con socios de la industria y una organización especialista en monitoreo de criptomonedas.
Cabe recordar que SamSam es un malware dirigido que registró sus primeros ataques en diciembre del 2015 y se caracteriza por utilizar recursos esquivos difíciles de detectar. Asimismo, ha sido utilizado por los ciberdelincuentes de manera sigilosa en comparación con otros tipos de ransomware, con lo que ha ido escalando posiciones de manera moderada y discreta.
En el estudio a cargo del equipo de expertos de Sophos Labs y publicado en Naked Security, el portal público de noticias sobre amenazas de Sophos, la compañía pone al descubierto las nuevas técnicas de este malware. Este se diferencia de otros ransomware conocidos por el uso de ataques dirigidos por un equipo o individuo calificado que irrumpe en la red de la víctima, lo vigila y luego ejecuta el malware manualmente.
Con esta nueva modalidad, los ciberdelincuentes pueden adaptar sus tácticas de acuerdo al entorno y las defensas que descubren mientras vigilan al objetivo, convirtiéndolo en una amenaza personalizada y difícil de detectar.
Si bien el malware se ha utilizado con moderación en comparación con otros tipos de ransomware, SamSam está diseñado para causar el máximo daño. El atacante selecciona a la víctima y borra sus copias de seguridad, espera para ver si el afectado hace contacto a través de un sitio de pago de la Dark Web a la que se hace referencia en la nota de rescate y pide decenas de miles de dólares para que se reanuden las operaciones normales.
Las demandas de ransom han aumentado con el tiempo a alrededor de US$ 50,000, mucho más que las sumas de tres cifras típicas de los ataques ransomware no focalizados. SophosLab reveló que SamSam ha obtenido casi US$ 6 millones en pagos de rescate, alrededor de seis veces más que lo estimado recientemente.
La investigación de los expertos de Sophos revela que las víctimas son aleatorias, los ataques de SamSam se producen a razón de aproximadamente uno por día y que los efectos pueden resultar devastadores. Y, si bien la mayoría de las víctimas se han reportado en EEUU y el Reino Unido, no se descarta que el malware se extienda a los países de América Latina con dirección tanto a usuarios finales como corporativos.
Los objetivos de SamSam parecen elegirse en función de su vulnerabilidad. Los ataques anteriores establecieron un punto de apoyo en las redes de víctimas mediante la explotación de vulnerabilidades de software conocidas y fueron cometidos durante la noche, mientras las víctimas estaban durmiendo.
Qué recomiendan los expertos
Gracias a una mejor comprensión de la forma en que SamSam se dirige a los archivos en el sistema operativo de la víctima, Sophos ahora puede ofrecer mejores consejos de protección y recuperación de desastre. Destaca que la copia de seguridad de los datos comerciales no es suficiente y que para recuperarse rápidamente de un ataque de SamSam, las organizaciones necesitan más que una idea para restaurar datos: un plan integral para la reconstrucción de máquinas.
Por ello, es importante mantenerse al tanto de los parches y mantener una buena disciplina de contraseñas que proporcionará una barrera formidable para los ataques de SamSam.
Esa barrera se puede fortalecer significativamente con estos simples pasos:
1. Restringir el acceso de RDP al personal que se conecta a través de una VPN.
2. Usar autenticación de múltiples factores para acceso VPN y sistemas internos sensibles.
3. Completar escaneos de vulnerabilidades y pruebas de penetración regulares.
4. Mantener copias de seguridad fuera de sitio y fuera de línea.
