El FBI alerta sobre la amenaza de BlackCat

La proliferación de nuevos grupos y herramientas dedicadas al ransomware es, siempre, una muy mala noticia. Y es que, aunque en ocasiones tenemos la sensación de que ya existe una cierta saturación de organizaciones cibercriminales dedicadas en particular a esta disciplina, objetivamente hablando, por desgracia, en realidad todavía queda bastante margen para el crecimiento en este sentido, como testarudamente nos va demostrando la actualidad.

El último ejemplo de ello, como indicaba al principio, lo constituye BlackCat, un grupo con su propia herramienta que, a lo largo de los últimos meses, se está mostrando particularmente activo, con un creciente currículum de ataques exitosos a objetivos repartidos por todo el mundo. Tal es su ritmo de trabajo y su peligrosidad, que el FBI estadounidense ha emitido, recientemente, un informe en la que alerta sobre el grupo, pide colaboración en la investigación del mismo y revela algunos aspectos técnicos del funcionamiento del malware que emplean en sus campañas de ransomware.

“La Oficina Federal de Investigaciones (FBI) ha publicado un informe Flash que detalla los indicadores de compromiso (IOC) asociados con ataques que involucran a BlackCat/ALPHV, un Ransomware-as-a-Service que ha comprometido al menos a 60 entidades en todo el mundo”, podemos leer en el informe, que añade “CISA alienta a los usuarios y administradores a revisar los IOC y los detalles técnicos en FBI Flash CU-000167-MW y aplicar las mitigaciones recomendadas”.

Dos datos en particular podemos extraer de esta parte del informe. La primera, como ya mencionaba anteriormente, es el alto volumen de ataques llevados a cabo mediante BlackCat que han tenido lugar en los últimos meses, con éxitos en los ataques a, al menos, 60 empresas, organizaciones y entidades repartidas por todo el mundo. Un volumen que, claro, solo se termina de explicar si tenemos en cuenta el segundo punto destacables de este extracto.

Me refiero, claro, a que BlackCat es, en realidad, un ransomware as a service, un tipo de amenaza cuyo funcionamiento ya contamos hace unos años con el ejemplo de Smaug, y del que recientemente nuestros compañeros de MuyComputerPRO nos contaron cómo protegernos. Y es este un punto clave, pues el ransomware as a service permite que el número de ataques pueda llegar a crecer exponencialmente, al permitir que se generen sinergias entre el proveedor de la base tecnológica, y cualquier persona con los conocimientos sobre una organización que permitan orquestar una campaña de spearphishing, por poner un ejemplo.

Esta es la lista de recomendaciones frente a BlackCat que podemos encontrar en el informe del FBI:

• Revisar los controladores de dominio, servidores, estaciones de trabajo y directorios activos en busca de cuentas de usuario nuevas o no reconocidas.
• Realizar regularmente copias de seguridad de los datos con air gap  y proteger con contraseña las copias de seguridad fuera de línea.
• Verificar que las copias de datos críticos no sean accesibles para su modificación o eliminación desde el sistema donde residen los datos.
• Revisar las programaciones en busca de tareas programadas no reconocidas. Adicionalmente, revisar manualmente las tareas programadas definidas o reconocidas por el sistema operativo en busca de pasos y/o acciones dentro de las mismas no identificables/reconocibles.
• Revisar los registros del software de seguridad en busca de indicios de que se hayan desactivado inesperadamente.
• Implementar segmentación de la red.
• Exigir siempre credenciales de administrador para la instalación de software.
• Implementar un plan de recuperación para mantener y conservar varias copias de datos y servidores sensibles o de propiedad en una ubicación físicamente separada, segmentada y segura (por ejemplo, disco duro, dispositivo de almacenamiento externo con air gap y la nube).
• Instalar actualizaciones y parches de los sistemas operativos, el software y el firmware tan pronto como se publiquen las actualizaciones y podamos probarlas.
• Utilizar la autenticación multifactorial (2FA o MFA) siempre que sea posible.
• Cambiar regularmente las contraseñas de los sistemas y cuentas de red, evitar reutilizar las contraseñas para diferentes cuentas e imponer dicha política en toda la red.
• Desactivar los puertos de acceso remoto/protocolo de escritorio remoto (RDP) no utilizados y supervisar los registros de acceso remoto/RDP.
• Auditar las cuentas de usuario con privilegios administrativos y configurar los controles de acceso teniendo en cuenta los mínimos privilegios.
• Instalar y actualizar con frecuencia el software antivirus y antimalware en todos los hosts.
• Utilizar exclusivamente redes seguras y evitar a toda costa el uso de redes WiFi públicas salvo necesidad mayor. En tales casos, hacer uso de redes privadas virtuales para proteger dichas conexiones.
• Configurar el servicio de correo electrónico para que siempre se muestre un aviso de ello en los mensasjs recibidos desde cuentas que no pertenezcan a la organización.
• Desactivar los hipervínculos en los correos electrónicos recibidos.

Como puedes comprobar, la lista es bastante extensa, si bien es cierto que su aplicación no solo nos protegerá de BlackCat, también lo hará de otras muchas amenazas de muy diversa índole, por lo que nuestra recomendación al respecto es que la tengas muy en cuenta y, si está en tu mano, apliques todos sus puntos tan pronto como resulte posible.