bit de bloqueo, una de las pandillas de ransomware más grandes del mundo, cifró los datos de un hospital infantil en Toronto, Canadá, y tuvo que salir y disculparse. Además, devolvió la información robada a la clínica.

El ransomware es un tipo de virus que bloquea el acceso a los archivos para exigir un rescate a cambio. En el caso reportado esta semana, un hospital infantil de Toronto llamado niños enfermostuvo sus sistemas afectados el 18 de diciembre. El ataque afectó líneas telefónicas, sistemas internos y el sitio web, el cual quedó inaccesible al público en general.

SickKids explicó que no podían manejar los resultados de laboratorio y de imágenes, lo que afectaba la tiempos de retraso de los pacientes

Posteriormente, el 29 de diciembre, la clínica informó que había recuperado el 50% de sus sistemasrestableciendo el correcto funcionamiento y evitando retrasos.

Ciberdelincuentes y afiliados: el modelo RaaS

Para entender el modelo bajo el cual opera Lockbit, es necesario tomar en cuenta que tienen afiliados, en un sistema llamado RaaS: ransomware como servicio.

“Las bandas que tienen esta modalidad ponen a la venta su código malicioso. Esto suele ser a través de la dark web: allí venden su programa de encriptación y buscan a alguien que lo implemente. Él pareja alguna afiliado Puede ser un empleado de la empresa atacada, o alguien que compró el servicio para depositárselo a una víctima, porque tienen acceso privilegiado”, describe a Clarín Arturo Torres, estratega de inteligencia de amenazas de FortiGuard Labs para América Latina y el Caribe. .

“Cuando se implementa ransomware y se infecta una empresa, comienza la extorsión y la negociación. Ahí es cuando la pandilla comienza a interactuar. Luego de negociar, las ganancias se reparten entre el creador del código malicioso, es decir, el grupo ciberdelincuente, y sus afiliados”, agrega el experto de Fortinet. Lockbit es conocido por brindarle la 20% de la ganancia económico a sus socios.

Es precisamente en este momento que Lockbit se distanció de su afiliado y emitió una disculpa.

“Nos disculpamos formalmente por el ataque a sikkids.ca y le damos el descifrador de forma gratuita. El compañero que atacó este hospital violado nuestras reglasestá bloqueado y ya no está en nuestro programa de afiliados”, afirmaron.

La política de Lockbit es no atacar sistemas críticos de hospitales e instituciones de salud. Es decir, aquellos de los que depende el buen funcionamiento para atender a los pacientes, gestionar hospitalizaciones y tratamientos.

Sin embargo, algunos expertos advierten que tiene más que ver con una cuestión de imagen que de ética: “LockBit ha atacado hospitales antes, a pesar de que supuestamente va en contra de sus reglas. Probablemente lo hicieron esta vez. ¿Por qué atacar? un hospital de niños? no es lo mejor para su negocio”, Riesgos Brett Callow, analista de seguridad de Emsisoft.

“Otras empresas serían más reacias a pagar a LockBit, ya que no querrían que se viera que están financiando a un grupo de ciberdelincuentes que alegremente pusieron en peligro la vida de los niños. seria muy mala prensa para ellos”, analiza.

De hecho, en agosto del año pasado Lockbit cifró un hospital en Francia, el Centre Hospitalier Sud Francilien de París, y pidió 10 millones de dolares

Otro problema de las instituciones de salud es que muchas de ellas no cuentan con sistemas de red robustos y protegidos. Y que algunas pandillas pueden no tener control sobre sus afiliados.

Así lo explica Torres, de Fortinet: “Aunque los grupos dicen que no van a atacar a instituciones críticas de salud, muchas veces no pueden tener control sobre sus afiliados. Vimos en el informe de Fortinet que muchos grupos comenzaron a dividirse o crear más grupos y variantes de ransomware; es difícil decir qué grupos tienen esta política de no ataque y cuáles. todo puede salirse de control como sucedió con Lockbit”.

Vale la pena recordar que Lockbit es una de las bandas de cibercrimen más grandes del mundo. Sus víctimas locales incluyen a Osde prepago, que vio una gran cantidad de información de pacientes filtrada, e Ingenio Ledesma. A nivel mundial, obtuvieron acceso a los sistemas de casi 200 víctimas, desde aerolíneas, empresas automotrices y mineras hasta empresas de medios de comunicación, hotelería y transporte.

Su motivo es puramente económico: “Cuanto más altos sean los ingresos de la empresa, mejor. No hay factores determinantes [para encritptar]Si hay una meta, hay que trabajar en ella. No importa la ubicación del objetivo, atacamos a todos los que están en nuestro punto de mira”, dijo uno de sus miembros en una entrevista con la empresa de seguridad Flashpoint.

Sin embargo, como explicaron en esta ocasión, los sistemas críticos de salud son su límite.

¿Qué es un “descifrador” y cómo devuelven datos?

La información que comenzó a circular en el entorno de ciberseguridad fue que Lockbit había devuelto los archivos. Esto se hace a través de undescifrador”, es decir, un descifrador.

Para entender esto, es clave saber cómo se encriptan los archivos de las víctimas: “Cuando ocurre un secuestro de datos, el malware [virus] genera un conjunto de claves criptográficas que te permitirán encriptar los archivos y solo revertir el proceso usándolos. Después de pagar el rescate, la víctima recibe el descifradorla clave de recuperación, e incluso el derecho a apoyo técnico live para ayudar en el proceso de recuperación”, explica Luis Ramírez Mendoza, Investigador e Ingeniero de Seguridad.

«Pagando esto extorsión, los archivos no están disponibles automáticamente como por arte de magia, sino que hay un proceso. Para recuperar la normalidad anterior al incidente, debemos descifrar los archivos mediante un programa llamado decrypter, proporcionado por el atacante una vez pagado el rescate”, añade.

“Después de ejecutar Decrypter, los archivos se recuperarán a su estado anterior en el mejor de los casos (ha habido casos como con Babuk donde formatos específicos terminan siendo irrecuperables). Recordemos que este tipo de los negocios ilegales no dan garantias“, El Advierte.

Por eso es fundamental contar con respaldos de información crítica (backups): “Para cualquier empresa involucrada en un ataque de ransomware, lo más importante es recuperar la información secuestrada de la manera más rápida y discreta posible. A falta de una correcta política de copias de seguridad y recuperación ante desastres, muchas víctimas se ven obligadas a pagar el rescate impuesto por sus atacantes”, cierra.

El sitio especializado Bleeping Computer pudo confirmar que el descifrador Lockbit para el hospital SickKids está disponible gratuitamente gratis.

mira también