El aumento en el uso de limpiaparabrisas en 2022
Los Wipers no eran un tipo de malware de uso frecuente porque no brindan a un atacante la oportunidad de obtener ganancias. Su propósito principal es causar disrupción y destrucción, convirtiéndolos en una herramienta más común para los actores del Estado-nación y los hacktivistas.
En 2022, el uso de limpiaparabrisas se incrementó dramáticamente. Durante la invasión rusa de Ucrania, se utilizaron numerosos limpiaparabrisas para interrumpir el gobierno ucraniano, la infraestructura crítica y los negocios. A lo largo del año, al menos nueve limpiaparabrisas fueron desplegados contra el país
Estos ataques demuestran el creciente uso de malware destructivo como herramienta para la guerra cibernética. En el pasado, Ucrania ha sufrido múltiples ataques contra su infraestructura crítica por parte del malware Industroyer. Sin embargo, la víspera de la invasión rusa mostró un repunte dramático con tres nuevas variantes de malware (HermeticWiper, HermeticWizard y HermeticRansom) implementadas en un solo día.
¿Cómo funciona un limpiaparabrisas?
El propósito de un limpiaparabrisas es hacer que los datos sean inaccesibles e inutilizables. Sin embargo, a diferencia del ransomware, la intención no es restaurar el acceso después de que se haya pagado el rescate. Wiper destruye los datos para siempre, y esto se puede lograr de varias maneras: el contenido de los archivos se puede cifrar o sobrescribir, o el atacante podría hacer que sea imposible acceder a ellos atacando el propio sistema operativo.
Las razones para usar limpiaparabrisas
Los limpiaparabrisas no hacen ganar dinero a los atacantes, que es el motivo más común para los ciberataques. Algunas de las razones por las que un atacante puede optar por usar el poder destructivo de un limpiaparabrisas incluyen:
- Sabotaje: Si el limpiaparabrisas destruye datos vitales o corrompe software importante, es posible que una organización no pueda continuar con las operaciones comerciales.
- Destrucción de pruebas: Los limpiaparabrisas se pueden usar para destruir evidencia de un ataque cibernético, espionaje u otras actividades del atacante que no desean que se conozca.
- Guerra cibernética: se han implementado múltiples variantes de limpiador contra organizaciones ucranianas durante su conflicto con Rusia, lo que demuestra que este tipo de malware se utiliza cada vez más como herramienta de interrupción durante tiempos de guerra.
Técnicas de limpiaparabrisas
Los limpiaparabrisas están diseñados para destruir datos de diferentes maneras, incluyendo las siguientes:
- Sobrescribir archivos: Uno de los métodos más comunes para la eliminación de archivos es sobrescribirlos con otros datos. Por ejemplo, el contenido de un archivo puede reemplazarse por bytes NULL (0x00) o un surtido aleatorio de 1s y 0s.
- Cifrado de archivos: los Wipers pueden imitar el ransomware cifrando archivos y destruyendo las versiones originales. Sin embargo, los limpiaparabrisas destruirán la clave de descifrado, haciendo que sea inviable descifrar los datos y recuperar el contenido incluso si la víctima paga el rescate.
- Corrupción MBR: El registro maestro de arranque (MBR) le indica al equipo cómo arrancar, por lo que corromperlo o sobrescribirlo hace que un sistema no pueda arrancar. Sin embargo, todos los archivos de la computadora permanecen en el disco y se pueden recuperar después de la interrupción inicial.
- Corrupción de MFT: La tabla maestra de archivos (MFT) es un índice de dónde se almacena cada archivo del equipo dentro de su memoria. Al igual que el MBR, la corrupción del MFT hace que los archivos sean inaccesibles, pero aún se pueden recuperar si permanecen en el disco.
Cómo protegerse contra limpiaparabrisas
Las organizaciones pueden tomar varias medidas para protegerse contra la pérdida de datos causada por los limpiaparabrisas. Algunas de las mejores prácticas incluyen las siguientes:
- Backups de datos: Los limpiaparabrisas están diseñados para destruir los datos de una organización, causando interrupciones. Si la organización tiene otra copia, los impactos a largo plazo del ataque se minimizan porque los datos se pueden restaurar a partir de backups.
- Capacitación de empleados: los limpiadores y otros tipos de malware a menudo se envían mediante ataques de phishing. La capacitación sobre ciberconciencia puede ayudar a los empleados a identificar y responder adecuadamente a los intentos de infecciones por limpiaparabrisas.
- Seguridad del correo electrónico: el correo electrónico es uno de los vectores de entrega más comunes de contenido de phishing. Las soluciones de seguridad del correo electrónico pueden identificar y bloquear mensajes que contienen archivos adjuntos maliciosos o enlaces a sitios que distribuyen malware.
- Gestión de parches: los limpiadores también pueden obtener acceso a sistemas corporativos aprovechando vulnerabilidades sin parches. La instalación inmediata de actualizaciones y parches puede ayudar a cerrar estas brechas antes de que puedan ser explotadas por un atacante.
- Seguridad de la cuenta: los ciberdelincuentes también pueden utilizar credenciales comprometidas para acceder de forma remota a las cuentas de los empleados y plantar malware directamente. La implementación de autenticación de múltiples factores (MFA) y principios de seguridad de confianza cero puede reducir el riesgo de un ataque exitoso.
- seguridad de terminales: El malware como los limpiadores se puede detectar y prevenir mediante soluciones de seguridad de terminales . Además, estas soluciones pueden ayudar a mitigar y remediar una infección activa.
Comentarios