Desencriptar TOTVS

La prevención de un ataque de ransomware Ransomhub requiere una estructura amplia de ciberseguridad. A continuación, enumeramos puntos importantes que deben tenerse en cuenta.

Organización – La documentación del parque de TI es muy útil en el proceso de prevención, además de la organización de redes y ordenadores. También es fundamental desarrollar normas para que los nuevos empleados comprendan la política de la empresa sobre la instalación y el uso de programas en los equipos.

Contraseñas fuertes – Las contraseñas deben tener más de 8 caracteres, incluyendo caracteres normales y especiales. Además, es importante no utilizar la misma contraseña para varias credenciales.

Soluciones de seguridad – Se debe instalar un buen antivirus y mantenerlo actualizado, al igual que el sistema operativo. Es fundamental contar con un firewall y protección de endpoints para mantener el sistema protegido.

Precaución con correos electrónicos sospechosos – Uno de los métodos más utilizados por los grupos de hackers para acceder a los sistemas son las campañas de correos electrónicos spam. Por ello, es vital establecer una política de seguridad y concienciar a los empleados para que no descarguen archivos adjuntos enviados desde correos desconocidos.

Políticas de respaldo eficientes – Las copias de seguridad son una de las medidas más importantes para proteger los datos de una empresa. Aun así, muchas organizaciones las descuidan o crean cronogramas de backup ineficaces. Hemos atendido casos en los que, además de los datos encriptados, también lo estaban los backups. Es esencial establecer una rutina coherente de actualización de los respaldos y no mantenerlos solo en línea. La mejor estructura de respaldo es la 3x2x1: 3 copias de seguridad, 2 en línea y 1 fuera de línea, además de una rutina consistente de actualización.

Precaución con programas no oficiales – Existen numerosos programas de pago que se ofrecen gratuitamente en internet, como Windows, Office y muchos otros. Aunque parezcan gratuitos, estos programas pueden servir como puerta de entrada para futuros ataques de hackers. Los programas oficiales requieren inversión, pero ofrecen una seguridad muy superior a la de los programas gratuitos.

Para llevar a cabo ataques de ransomware, los criminales utilizan varias estrategias, como descargas de archivos infectados, enlaces maliciosos, ataques a través de RDP, campañas de correos electrónicos spam, entre otros.

Todas estas tienen el mismo objetivo: acceder al sistema de la víctima sin que esta lo perciba. Para ello, el ransomware se camufla en el sistema para no ser detectado por las herramientas de defensa. En las tácticas que dependen de la acción del usuario, se aplican técnicas de phishing para que la víctima, sin darse cuenta, descargue el ransomware en el sistema.

Es importante estar atento a ciertas señales que pueden indicar la presencia de un ataque de ransomware en curso.

Entre ellas se encuentran el aumento en el consumo de recursos de procesamiento, memoria y acceso al disco, lo que puede indicar que el malware está ejecutando la encriptación o la exfiltración de datos.

Otra forma de detectar el ataque es observando cambios en las extensiones de los archivos, que son un resultado directo de la encriptación realizada por el ransomware. Sin embargo, este método de detección puede ser más complejo en ataques que intentan ocultar sus actividades para evitar ser detectados.

Una vez que los datos han sido encriptados por el ransomware, la única forma de recuperarlos es pagando el rescate exigido por el grupo criminal. Sin embargo, no hay garantía de que los datos serán liberados, y además, el pago puede incentivar al grupo a continuar con sus ataques.

En los casos en que el grupo autor del ataque utiliza la táctica de doble extorsión —que consiste en copiar y extraer todos los archivos y luego encriptar los datos originales—, la situación es aún más grave, ya que además de la encriptación, los archivos robados serán divulgados públicamente si no se paga el rescate. En estos casos, el formateo del dispositivo afectado es inevitable.