Informe ransomware

Transcripción

1 Informe ransomware

2 Qué es el ransomware? Ransom = Rescate Ware = Software 2 2

3 Historia del ransomware I AIDS ransomware Dr. Joseph Popp diseña aplicación sobre el virus del SIDA Aplicación de pago, pide renovación licencia Cuando el equipo es arrancado 90 veces Cifrado simétrico 3 3

4 Historia del ransomware II 1996 Primera PoC de ransomware usando RSA 2006 Reaparición usando RSA y claves de 660 bits 2011 Virus de la Policía 2013 Aparición de CryptoLocker 4 4

5 Tipos Ransomware Locker (Virus Policía) CriptoVirus 5 5

6 Evolución histórica 6 6

7 Víctimas Home users Empresas Instituciones públicas 7 7

8 Tendencias actuales Windows OSX Teslacrypt Locky Torrentlocker [ ] KeRanger Linux Linux.Encoder 8 8

9 Nuevas tendencias Web Servers Móviles SmartWatch TV s [IoT] 9 9

10 Locky Malware diseñado para robar datos bancarios. Las víctimas reciben un correo electrónico que simula ser una factura o el envío de un paquete con un albarán adjunto. Los equipos se infectan al descargar el archivo adjunto de Microsoft Word que contiene macros. Este malware cifra los archivos del ordenador y exige un pago a quien quiera recuperar el control del equipo infectado

11 Teslacrypt Ransomware que se dirige a 185 extensiones de archivos relacionados con 40 juegos diferentes, cifrando dichos archivos. Las últimas versiones también infectan equipos sin juegos instalados, buscando extensiones típicas de archivos Word o pdf. Este malware aprovecha una vulnerabilidad de Adobe Reader para infectar los equipos

12 Nuevas tendencias - Abril 2016 Petya Tipo de ransomware que está empezando a detectarse durante este mes. Cifra la MFT y modifica el MBR. Ya existe descifrador! 12 12

13 Nuevas tendencias - Abril 2016 Campaña de Correos Se recibe un indicando que se intentó entregar un paquete sin éxito. Se adjunta una url donde acceder para ver los datos del envío, esta url lleva una redirección para la descarga del ransomware. Esta campaña utiliza una variante de torrentlocker conocida como crypt0l0cker, se han detectado 7 oleadas hasta la fecha, reportándose 151 incidentes en lo que va de

14 Medidas preventivas Mantener copias de seguridad periódicas de los datos importantes Mantener el sistema actualizado con los últimos parches de seguridad Mantener un antivirus actualizado con las últimas firmas de código dañino, así como una correcta configuración de los firewalls. Disponer de sistemas antispam a nivel de correo electrónico Establecer políticas seguridad en el sistema para impedir la ejecución de ficheros desde directorios comúnmente utilizados por el ransomware Bloquear el tráfico relacionado con dominios y servidores C&C mediante un IDS/IPS Establecer una defensa en profundidad empleando herramientas como EMET No utilizar cuentas con privilegios de administrador

15 Deshabilitar JS en Acrobat Reader 15 15

16 Deshabilitar Flash y PDF en Chrome Chrome://plugins 16 16

17 Desinstalar QuickTime Sin soporte de Apple 2 vulnerabilidades críticas descubiertas 14/04/

18 Medidas reactivas Desconectar las unidades de red. Comprobar si el proceso dañino aún sigue ejecutándose. Finalizar la ejecución del proceso dañino. Arrancar el equipo en Modo Seguro. Realizar una copia de seguridad del equipo. Comunicar el incidente de seguridad al equipo/persona competente

19 Estadísticas 2015 Tipo Nº incidentes Cryptolocker 93 Torrentlocker 89 Teslacrypt 73 Cryptowall 109 Otros 73 Otros 17% Cryptolocker 21% Cryptowall 25% Torrentlocker 20% Teslacrypt 17% 19 19

20 Estadísticas 2016 Tipo Nº incidentes Locky 231 Teslacrypt 132 Torrentlocker* 151 Otros 37 Otros 7% Torrentlocker 27% Locky 42% * Incluye Crypt0l0cker Teslacrypt 24% 20 20

21 Solución general? 21 21