Hablemos del ransomware Ryuk
Ryuk es el nombre de una familia de ransomware, descubierta por primera vez en agosto de 2018. En los viejos tiempos, solo conocíamos a Ryuk como un personaje ficticio de un popular cómic japonés y una serie de dibujos animados, pero ahora lo conocemos como una de las familias de ransomware más peligrosas que han asolado los sistemas de todo el mundo.
¿Qué es el ransomware Ryuk?
Empecemos por definir el ransomware en general. El ransomware es una categoría de malware que bloquea sus archivos o sistemas y los mantiene como rehenes a cambio de un rescate. Ryuk es un tipo de ransomware utilizado en ataques dirigidos, en los que los actores de la amenaza se aseguran de que los archivos esenciales estén cifrados para poder pedir grandes cantidades de rescate. Una petición de rescate típica de Ryuk puede ascender a unos cientos de miles de dólares. Malwarebytes lo detecta como Ransom.Ryuk. Para obtener información técnica más detallada sobre esta amenaza, consulte nuestro artículo sobre la amenaza Ryuk.
¿Cómo funciona Ryuk?
Ryuk es una de las primeras familias de ransomware que incluye la capacidad de identificar y cifrar unidades y recursos de red, así como de eliminar instantáneas en el endpoint. Esto significa que los atacantes pueden desactivar Windows System Restore para los usuarios, lo que hace imposible recuperarse de un ataque sin copias de seguridad externas o tecnología de restauración.
¿Quién creó a Ryuk?
La atribución de malware siempre es difícil. Sin embargo, los investigadores de Deloitte Argentina, Gabriela Nicolao y Luciano Martins, atribuyeron el ransomware Ryuk a CryptoTech, un grupo cibercriminal poco conocido que fue observado promocionando Hermes 2.1 en un foro clandestino en agosto de 2017. Hermes 2.1, según los investigadores, es otro nombre para el ransomware Ryuk.
Noticias sobre el ransomware Ryuk
- 2021:
- La ciudad de Lieja, afectada por un ransomware sospechoso de Ryuk
- El ransomware Ryuk desarrolla una capacidad similar a la de un gusano
- 2020:
- VideoBytes: El ransomware Ryuk ataca a los hospitales de EE.UU.
- El Tampa Bay Times sufre el ataque del ransomware Ryuk
- 2019:
¿Quiénes son los objetivos de Ryuk?
Los objetivos de Ryuk suelen ser organizaciones de alto perfil en las que los atacantes saben que es probable que les paguen sus elevadas peticiones de rescate. Entre las víctimas se encuentran EMCOR, hospitales del UHS y varios periódicos. Al dirigirse a estas organizaciones, se estima que Ryuk generó unos ingresos de 61 millones de dólares para sus operadores entre febrero de 2018 y octubre de 2019.
¿Cómo se entrega Ryuk?
Como ocurre con muchos ataques de malware, el método de entrega son los correos electrónicos no deseados(malspam). Estos correos suelen enviarse desde una dirección falsa, para que el nombre del remitente no levante sospechas.
Un ataque típico de Ryuk comienza cuando un usuario abre un documento de Microsoft Office armado adjunto a un correo electrónico de phishing. Al abrir el documento, una macro maliciosa ejecuta un comando PowerShell que intenta descargar el troyano bancario Emotet. Este troyano tiene la capacidad de descargar malware adicional en una máquina infectada que recupera y ejecuta Trickbot, cuya carga útil principal es spyware. Este recoge credenciales de administrador, lo que permite a los atacantes moverse lateralmente hacia activos críticos conectados a la red. La cadena de ataque concluye cuando los atacantes ejecutan Ryuk en cada uno de estos activos.
Así que, una vez que tu red ha sido violada, los atacantes deciden si creen que merece la pena seguir explorando e infiltrándose en la red. Si tienen suficiente influencia para exigir una suma elevada, desplegarán el ransomware Ryuk.
¿Cómo puedo protegerme contra Ryuk?
El primer paso para protegerse contra cualquier ataque de ransomware es invertir en una protección antimalware/antivirus, preferiblemente una que ofrezca protección en tiempo real diseñada para frustrar ataques de malware como el ransomware en advanced . También deberías buscar funciones que protejan los programas vulnerables de las amenazas (una tecnología antiexploit ) y que impidan que el ransomware retenga los archivos como rehenes (un componente antiransomware ). Algunas soluciones antimalware ofrecen tecnología de reversión, especialmente diseñada para contrarrestar los efectos del ransomware.
A continuación, por mucho que te duela, tienes que crear copias de seguridad seguras de tus datos de forma regular. Nuestra recomendación es utilizar almacenamiento en la nube que incluya cifrado de alto nivel y autenticación multifactor. Otra opción es comprar USBs o un disco duro externo donde guardar archivos nuevos o actualizados -sólo asegúrate de desconectar físicamente los dispositivos de tu ordenador después de hacer la copia de seguridad, de lo contrario también podrían infectarse con ransomware.
A continuación, asegúrate de que tus sistemas y software se actualizan con regularidad. El brote de ransomware WannaCry se aprovechó de una vulnerabilidad en el software de Microsoft, y aunque la compañía había lanzado un parche para la brecha de seguridad en marzo de 2017, mucha gente no instaló la actualización, lo que les dejó expuestos al ataque. Entendemos que es difícil estar al tanto de una lista cada vez mayor de actualizaciones de una lista cada vez mayor de software y aplicaciones que utilizas en tu vida diaria. Por eso te recomendamos que cambies la configuración para activar las actualizaciones automáticas.
Por último, manténgase informado. Una de las formas más comunes de infectar los ordenadores con ransomware es a través de la ingeniería social. Edúcate a ti mismo (y a tus empleados si eres propietario de una empresa) sobre cómo detectar correos electrónicos de phishing, sitios web sospechosos y otras estafas. Y, por encima de todo, aplica el sentido común. Si parece sospechoso, probablemente lo sea.
¿Cómo puedo eliminar Ryuk?
Puede utilizar la consolaMalwarebytes Anti-Malware Nebula para analizar sus endpoints. Elija la opción Escanear + Cuarentena. Después, puede consultar la página Detecciones para ver qué amenazas se han encontrado. En la página Cuarentena puede ver qué amenazas se pusieron en cuarentena y restaurarlas si es necesario. Echa un vistazo a la página de Detecciones para ver si puedes encontrar la respuesta a cómo Ryuk fue entregado. No querrás dejar ninguna puerta trasera que los atacantes puedan volver a utilizar.
Si sospecha que la entrega de Ryuk ha sido llevada a cabo por Emotet, deberá realizar algunos pasos adicionales. Si su ordenador está conectado a una red, aíslelo inmediatamente. Una vez aislado, asegúrate de parchear y limpiar el sistema infectado. Pero eso no es todo. Debido a la forma en que Emotet se propaga por la red, un ordenador limpio puede volver a infectarse al conectarse de nuevo a una red infectada. Limpie uno a uno todos los ordenadores de su red. Es un proceso tedioso, pero las soluciones empresariales deMalwarebytes pueden facilitarlo, aislando y reparando los puntos finales infectados y ofreciendo una protección proactiva contra futuras infecciones de Emotet.