No es nada nuevo que máquinas virtuales se vieran afectadas por algún ciberataque generado por algún ransmware, es así como hace unos años conocimos de cómo ciberdelincuentes buscaron aprovecharse de algunas vulnerabilidades de VMware ESXi o el reciente incidente de IFX en donde la compañía informó haber sido afectado por un ransomware en sus máquinas virtuales.
Es necesario recordar que la característica u objetivo principal de un ransomware es cifrar la información, independiente si el entorno es físico o virtual. Y si bien esta norma se aplica para la gran mayoría de estos software maliciosos, también existen algunos que podrían sólo ejecutarse en un entorno físico o virtual.
Pero una cosa es donde se ejecuta y otra es la forma de propagación de estos malwares, ya que podrían abusar de vulnerabilidades de sistemas operativos o aplicaciones para propagarse, y estas brechas de seguridad pueden afectar tanto a máquinas virtuales como físicas.
Por otro lado, es conocido que el ransomware también se puede enviar a través de campañas de phishing, vía correo electrónico, o descargar en sitios web maliciosos, y esta técnica no se limita a entornos físicos o virtuales. “Los usuarios de máquinas virtuales también pueden ser engañados por aplicaciones de ingeniería social”, señala César López, analista del CSIRT de Gobierno, a quién para conocer un poco más sobre la relación entre este tipo entornos virtuales y malwares, le realizamos las siguientes preguntas:
¿Para lograr afectar las máquinas virtuales, el ransomware debe tener alguna característica especial?
No necesariamente. Para afectar máquinas virtuales, un ransomware requiere características especiales con respecto a las máquinas físicas. Algunos aspectos para considerar son:
- Vulnerabilidades del sistema operativo o software: Si alguna máquina virtual posee vulnerabilidades no parchadas en su sistema operativo o en el software instalado, un ransomware podría abusar de estas debilidades para ingresar y propagarse.
- Ataques a hipervisores: En un entorno virtualizado, los hipervisores son importantes. Aunque son menos comunes, algunos ransomware pueden infectar varias máquinas virtuales al atacar directamente las vulnerabilidades del hipervisor.
¿Qué tipo de máquinas virtuales se han visto más afectadas, de alguna marca en específico o con alguna característica especial?
Como se ha mencionado anteriormente, para que un ransomware logre secuestrar la máquina virtual o su contenedor, debe poseer alguna vulnerabilidad o una mala configuración. Por lo tanto, no importa la marca y no es comparable una con otra, ya que todas pueden estar expuestas a una brecha de seguridad.
Es importante mantener actualizado los sistemas operativos, software y contenedores. La ciberseguridad no es un gasto, es una inversión.
Por último ¿Qué recomendaciones entregaría el CSIRT de Gobierno para este tipo de casos?
Protegerse contra un ransomware es muy importante hoy. Algunas recomendaciones adicionales para reforzar la defensa contra este tipo de amenazas son:
- Aplicar restricciones de ejecución: Políticas de ejecución de software para evitar que programas no autorizados se ejecuten en ubicaciones críticas.
- Utilizar filtro de URL y DNS: Esta solución permite bloquear el acceso a sitios web maliciosos conocidos y con esto prevenir la descarga de un ransomware.
- Parches de seguridad: Asegurar que todos los sistemas y aplicaciones se parchen regularmente, los ransomware suelen explotar vulnerabilidades conocidas en sistemas no actualizados.
- Monitoreo continuo: para la detección de una posible actividad sospechosa en tiempo real.
- Aislar sistemas comprometidos: al momento de detectar un ataque, así se evitar la propagación del ransomware.
- Evaluar la seguridad de proveedores y socios: Asegurarse de que los proveedores y socios comerciales tengan prácticas de seguridad sólidas, ya que la gran mayoría de los ataques pueden propagarse desde conexiones externas.
- Simulacros de respuesta ante incidentes: Realizar simulacros regularmente para responder a un ataque de ransomware. Esto ayuda al equipo o al área a estar mejor preparados ante un caso real.
- Respaldos inmutables: Esto significa que los datos no pueden ser eliminados o alterados, esto proporciona una capa adicional de protección contra un ataque de ransomware.
- Cumplimiento de las políticas de seguridad: Establecer y hacer cumplir las políticas de seguridad en la organización para garantizar que todos están informados y cumplan con las prácticas de seguridad.
Al seguir estas recomendaciones y mantener una postura de seguridad proactiva, se puede reducir el riesgo significativamente de sufrir un ataque de ransomware y proteger sistemas críticos.