Detrás de muchos ciberatacantes no hay solo solitarios en cuartos oscuros. Más bien, algunos grupos APT se ven a sí mismos como empresas comerciales que ya no actúan por sí mismas, sino que solo venden sus servicios y tecnología y cobran mucho. Eso genera dinero y reduce el riesgo. Aquí hay una breve explicación de cómo funciona RaaS – Ransomware as-a-Service.
En TI, los productos ahora se ofrecen principalmente como servicios, como Plataforma como servicio (PaaS) o Infraestructura como servicio (IaaS). Estos consisten en una gran cantidad de subservicios, que a su vez son puestos a disposición por diferentes proveedores en términos de división del trabajo y profesionalización, un concepto exitoso que también aprovechan los ciberdelincuentes. Diferentes grupos de atacantes entregan las partes individuales de todo el servicio de ransomware de extremo a extremo. Estos bloques de servicio de ransomware están bien descritos y se pueden comprar fácilmente en diferentes niveles de calidad.
Modelo de negocio de ransomware como servicio
Ransomware-as-a-Service (RaaS) se ha convertido en un modelo comercial real con actores altamente profesionales en los últimos años, sobre todo porque la posible superficie de ataque para los ciberdelincuentes ha aumentado significativamente. Se estima que en 2020, el 64% de todos los ataques de ransomware se llevaron a cabo utilizando el enfoque RaaS.
Con el auge del trabajo remoto y la oficina en casa, también aumentó la cantidad de dispositivos utilizados fuera del perímetro protegido de la empresa. Además, debido al cambio a servicios e infraestructuras basados en la nube, los entornos de TI se están volviendo más complejos y, por lo tanto, más difíciles de proteger. Los atacantes solo necesitan encontrar una única vulnerabilidad; Las organizaciones deben cubrir todas las eventualidades y mantenerse al día con las últimas estrategias de ataque.
RaaS es un negocio profesional
“El negocio de RaaS se ha vuelto extremadamente profesional en los últimos años: los proveedores criminales ofrecen una amplia variedad de herramientas de ataque y pasos de ataque individuales como servicios y otorgan gran importancia al servicio. Las herramientas se ofrecen junto con guías prácticas para realizar ataques, mejores prácticas, estrategias de ransomware e incluso un servicio de asistencia de TI”, explica el Dr. Sebastian Schmerl, Director de Servicios de Seguridad EMEA en Arctic Wolf. "RaaS a menudo ofrece exactamente el tipo de documentación y arquitectura que uno esperaría de las principales ofertas de SaaS, y está muy lejos de la representación de la cultura pop del solitario estereotipado con capucha".
Al igual que en la industria de SaaS, también existen diferentes estrategias de precios para los proveedores de RaaS. Algunos ofrecen sus servicios de ataque como una compra única, otros a través de suscripciones y otros utilizan una combinación de suscripción y una parte de la tarifa de rescate pagada al desarrollador después de un ataque exitoso. En este último caso, los proveedores son bastante exigentes y solo trabajan con clientes que tienen un historial determinado. Por lo tanto, se lleva a cabo una verificación de rentabilidad inicial.
¿Por qué RaaS tiene tanto éxito?
Las criptomonedas son un factor crítico en el éxito de RaaS. Debido a que las monedas como bitcoin y monero son difíciles de rastrear, se prestan bien para pagos RaaS y demandas de rescate. Además, las criptomonedas son relativamente fáciles de convertir en “dinero limpio”, lo que las hace atractivas para los actores maliciosos que buscan una ganancia rápida.
En pocas palabras: RaaS tiene tanto éxito porque el ransomware es un poderoso medio de presión: palabra clave "doble extorsión": cifrado de TI combinado con la amenaza de divulgación de datos. Además, cuando se roban o bloquean datos, las empresas a menudo no saben qué hacer en la situación. A menudo piensan que pagar el rescate es la única opción, aunque LKA, BKA y BSI recomiendan encarecidamente a las empresas que no lo hagan.
El uso de ransomware no solo es una estrategia de ataque efectiva, sino que los servicios RaaS también son comparativamente fáciles de acceder, usar y adaptar. Los atacantes a menudo usan una plataforma de ransomware para administrar a las víctimas y sus estados, y desarrollan continuamente esta plataforma y los módulos de ataque individuales. Esto les permite agregar fácilmente nuevas funciones que hacen que la plataforma sea aún más "escalable y productiva". Algunos grupos de atacantes también cooperan en el procesamiento de las víctimas y comparten el código del motor de ataque.
Así es como las empresas pueden protegerse
Aunque los atacantes están organizados y son muy profesionales, las empresas pueden protegerse contra los ataques de ransomware. El factor más importante en la defensa contra las amenazas cibernéticas es un enfoque proactivo con medidas preventivas:
- Establecer una mentalidad de seguridad o una cultura corporativa consciente de la seguridad: esto comienza con la educación sobre ciberhigiene y la comprensión de que la seguridad no es un estado de cosas, sino un proceso continuo. A medida que cambian las amenazas, se debe aprovechar la inteligencia de amenazas para ajustar las estrategias de defensa y los recursos de información de seguridad.
- Capacitación de empleados para crear conciencia sobre las amenazas y cómo detectar estafas de phishing y otras señales de alerta. Esto es particularmente importante ya que los ataques de ingeniería social están dirigidos directamente a los empleados.
- Aproveche todas las posibilidades para aumentar la seguridad de los datos, por ejemplo, mediante copias de seguridad más frecuentes. Las copias de seguridad deben almacenarse en áreas de gestión separadas para que no se pongan en peligro junto con los datos utilizados activamente (solución de espacio de aire).
- Aplicación regular de parches a los sistemas, ya que los atacantes RaaS a menudo explotan vulnerabilidades conocidas y errores de configuración.
- Amplio monitoreo de seguridad para identificar rápidamente los ataques cibernéticos y tomar las medidas apropiadas. La detección y respuesta también se ofrece como un servicio de detección y respuesta administrada (MDR) por parte de proveedores como Arctic Wolf.
Acerca del lobo ártico Arctic Wolf es líder mundial en operaciones de seguridad y proporciona la primera plataforma de operaciones de seguridad nativa de la nube para mitigar el riesgo cibernético. Sobre la base de la telemetría de amenazas que abarca el punto final, la red y las fuentes de la nube, Arctic Wolf® Security Operations Cloud analiza más de 1,6 billones de eventos de seguridad por semana en todo el mundo. Proporciona información crítica para la empresa sobre casi todos los casos de uso de seguridad y optimiza las soluciones de seguridad heterogéneas de los clientes. La plataforma Arctic Wolf es utilizada por más de 2.000 clientes en todo el mundo. Proporciona detección y respuesta automatizadas a amenazas, lo que permite a las organizaciones de todos los tamaños configurar operaciones de seguridad de clase mundial con solo tocar un botón.