¿Por qué las empresas tienen que protegerse contra el ransomware Ryuk?

El ransomware es una forma de malware que permite a los atacantes utilizar técnicas de cifrado para infectar redes en su totalidad, incluidos los archivos y los dispositivos asociados, de tal modo que la empresa no puede acceder hasta que se pague un rescate. El rescate suele exigirse en criptodivisas como el bitcóin y puede ascender a miles e incluso millones de dólares. En 2019, el promedio del rescate fue de 12 762 dólares y los tiempos de inactividad provocados costaron, de media, unos 64 645 dólares por empresa y trimestre.

Los atacantes suelen actuar contra grandes organizaciones o empresas con datos muy confidenciales, como los hospitales, aplicando una técnica denominada de «caza mayor». Además, a diferencia de otras formas de ransomware, los ciberdelincuentes que utilizan el malware Ryuk atacan a usuarios concretos y se infiltran manualmente en las redes de la empresa. Mediante herramientas de código abierto, recopilan datos confidenciales, acceden a todas las áreas de la empresa que pueden y obtienen un conocimiento detallado de las operaciones internas.

Ryuk se identificó por primera vez en 2018 como un tipo de ransomware basado en Hermes, una cepa más antigua. La mayoría de las fuentes apuntan a que fue una red de ciberdelincuentes ubicada en Rusia quien lo creó. Desde 2019, el número de ataques con Ryuk ha aumentado y se han recaudado millones de dólares procedentes de instituciones financieras, hospitales y Gobiernos.

De forma similar al ransomware Locky, al ransomware Cerber y al ransomware REvil/Sodinokibi, una vez que el instigador de la amenaza ha vulnerado la seguridad de la red y del servidor con el ransomware Ryuk, puede llegar a desactivar hasta 180 servicios y 40 procesos necesarios para el funcionamiento del sistema y cifrar información vital.

Tras cifrar los archivos, Ryuk elimina las copias originales y cualquier copia oculta mediante un archivo .BAT. Por lo tanto, hagan lo que hagan, las víctimas no conseguirán recuperar sus datos.

Ryuk utiliza algoritmos de cifrado simétricos y asimétricos para codificar archivos, un método similar al del ransomware Petya y Mischa, que aplican varios métodos para cifrar los datos de los usuarios.

Al afectar a todos los archivos y aplicaciones de la red, una vez que ha logrado todos sus objetivos, el ransomware Ryuk colocará en cada carpeta un archivo de texto llamado RyukReadMe.txt con información para solicitar el rescate. Si se paga un rescate, según afirman los ciberdelincuentes, se obtendrá una copia de la clave de cifrado que permitirá recuperar los archivos.

Los Gobiernos y las empresas deben permanecer atentos ante el aumento del número de ataques del ransomware Ryuk. Estos son algunos de los ataques más destacados de Ryuk desde 2018:

• Hospitales de EE. UU., Alemania y el Reino Unido (2019-2020): varios hospitales de estos países fueron víctimas de repetidos ataques de malware Ryuk. En septiembre de 2020, Universal Health Services (UHS), que gestiona instalaciones en todo el Reino Unido y Estados Unidos, sufrió ataques de malware Ryuk. El incidente le costó 67 millones de dólares y tardó un mes en reanudar todas sus operaciones. También en septiembre de 2020, una red de más de 400 hospitales de EE. UU. y Reino Unido sufrió otro ataque que afectó a sus 250 instalaciones en suelo estadounidense. Fue uno de los mayores ataques de Ryuk al sector sanitario hasta la fecha. Se calcula que el malware Ryuk fue responsable del 75 % de los ataques a la sanidad estadounidense en octubre de 2020.
• Lake City, Florida (2019): después de que un trabajador abriese un correo electrónico que contenía una forma de malware Ryuk, los atacantes exigieron un rescate de 460 000 dólares por los sistemas informáticos de la ciudad. El alcalde de Lake City confirmó que la autoridad municipal pagó el rescate para recuperar el acceso a sus operaciones.
• Ciudad de Onkaparinga, Australia Meridional (2019): en diciembre de 2019, el ransomware Ryuk infectó los sistemas informáticos del ayuntamiento de Ciudad de Onkaparinga, lo que supuso una semana de pérdida de productividad.
• EMCOR (2020): en febrero, la empresa EMCOR, incluida en la lista Fortune 500, confirmó que un ataque de malware Ryuk había afectado a varios de sus sistemas informáticos. La empresa no confirmó si se pagó el rescate.