¿Cómo funciona el ransomware Akira?
La variante del ransomware Akira se distribuye de varias formas. Algunos mecanismos de distribución conocidos incluyen archivos adjuntos de correo electrónico infectados y la explotación de la vulnerabilidad del terminal VPN. Una vez que el ransomware Akira consigue acceder a un sistema, utiliza diversos medios para ocultar su presencia. Por ejemplo, el ransomware puede actuar contra las soluciones de seguridad de terminales y utiliza LOLBins -que "viven de la tierra" utilizando funciones integradas en un ordenador para realizar acciones maliciosas- para aumentar la complejidad de la detección y reparación de la infección. También se sabe que el ransomware roba credenciales de un sistema mediante el volcado de la memoria del proceso LSASS, lo que le proporciona acceso y privilegios adicionales en el sistema comprometido.
Al igual que el ransomware Conti V2 -que se filtró-, el malware utiliza CryptGenRandom y ChaCha 2008 para el cifrado de archivos. Los archivos encriptados se pueden identificar mediante un .akira anexada a sus nombres de archivo. El malware también borra las instantáneas de los archivos, impidiendo que puedan utilizarse para la recuperación de datos. En algunos casos, también se ha observado que el ransomware realiza ataques sólo de extorsión. Estos ataques se saltan la fase de cifrado de los datos y, en su lugar, los exfiltran y exigen un rescate para no venderlos o filtrarlos públicamente. Una vez que el ransomware ha cifrado y/o robado los datos, muestra un mensaje de rescate. Akira es conocido por exigir grandes rescates, a menudo de cientos de millones de dólares.
¿Cuál es el objetivo del ransomware Akira?
El grupo de ransomware Akira suele exigir un gran rescate, por lo que su objetivo principal son las grandes empresas. En general, el ransomware se dirige a empresas de Norteamérica, Europa y Australia.
A menudo, el malware se distribuye como parte de una campaña de amenazas dirigidas, aprovechando correos electrónicos de phishing o software vulnerable para infectar los sistemas. Las industrias objetivo comunes incluyen la educación, las finanzas, la manufactura y la industria médica.
Cómo protegerse contra el ransomware Akira
Las infecciones por el ransomware Akira pueden resultar costosas para una empresa en términos de disminución de la productividad, pérdida de datos y coste de los rescates y la reparación. Algunas de las mejores prácticas que las organizaciones pueden aplicar para reducir el riesgo de que un ataque de ransomware tenga éxito son las siguientes:
- Formación de concienciación sobre ciberseguridad: Akira aprovecha los correos electrónicos de phishing y las credenciales comprometidas para distribuir su malware. La formación en materia de ciberseguridad puede reducir la exposición de una organización a estas amenazas al enseñar a los empleados las mejores prácticas de seguridad y cómo reconocer las técnicas de ataque comunes.
- Soluciones contraransomware: El cifrado y la exfiltración de datos que realiza ransomware es inusual y un claro indicador de un ataque a ransomware. Las soluciones antiransomware pueden utilizar estos indicadores de comportamiento y otros factores para identificar, bloquear y remediar las infecciones por Akira y otros ransomware.
- Copias de seguridad de los datos: El ransomware criptográfico como Akira está diseñado para obligar a una empresa a pagar un rescate cifrando sus datos y exigiendo el pago de la clave de descifrado. Las copias de seguridad de datos permiten a una empresa recuperar datos cifrados sin pagar la demanda de rescate.
- Gestión de parches: Akira suele aprovechar la vulnerabilidad del software VPN para infiltrarse en un entorno objetivo. La pronta instalación de parches y actualizaciones permite a la empresa cerrar estos intervalos de seguridad antes de que puedan ser explotados por el grupo ransomware.
- Autenticación fuerte del usuario: La variante Akira ransomware suele dirigirse a VPN que carecen de autenticación de múltiples factores (MFA), lo que facilita al atacante la explotación de las credenciales comprometidas. Imponer el uso de MFA en los sistemas corporativos aumenta la dificultad del grupo ransomware para infectar los sistemas con su malware.
- red Segmentación: ransomware a menudo necesita moverse lateralmente a través de una red corporativa desde su punto de infección inicial hasta un sistema con datos valiosos. La segmentación de la red hace que este movimiento sea más detectable y prevenible antes de que los datos sensibles puedan ser encriptados o robados.
Evite ataques de ransomware con Check Point
El ransomware se ha convertido en una de las principales amenazas para la ciberseguridad corporativa y la seguridad de los datos. Los modernos ataques de ransomware no sólo amenazan con la pérdida de datos, sino también con la filtración de información confidencial de empresas y clientes.
Akira, aunque es una variante de ransomware relativamente nueva, ya ha demostrado ser una de las variantes de malware más peligrosas en funcionamiento. Utiliza diversas técnicas para ocultarse en los sistemas infectados y combina el cifrado de datos y la extorsión en sus intentos de obligar a las empresas a pagar grandes rescates.
Prevenir los ataques de ransomware es esencial para la ciberseguridad de una organización y su capacidad para mantener las operaciones. Le invitamos a explorar más a fondo ransomware prevención de amenazas consultando la Guía del CISO para la prevención ransomware .
Check Point's Harmony Endpoint incorpora sólidas capacidades de prevención ransomware, así como la capacidad de defender los sistemas de una organización frente a diversas amenazas potenciales de seguridad de terminales. Para conocer las capacidades de Harmony Endpoint'y descubrir cómo puede ayudar a proteger su empresa contra Akira y otras amenazas de seguridad de terminales, no dude en inscribirse para una demostración gratuita hoy mismo.
Comentarios