Una banda de ransomware que imprime sus propias exigencias

La mayoría de los grupos de ransomware dejan sus notas de extorsión como archivos de texto dispersos por las carpetas cifradas de la víctima. El ransomware INC adopta un enfoque más inquietante: según un análisis técnico de Picus Security, el malware también intenta enviar su nota de rescate directamente a cualquier impresora y máquina de fax conectada en la red comprometida, imprimiendo físicamente la exigencia para que cualquiera en el edificio la vea.

Es un pequeño detalle, pero dice mucho sobre cómo opera INC. Se trata de un grupo que busca la máxima presión psicológica sobre sus víctimas, y ha descubierto que las redes de atención médica y educación, a menudo llenas de impresoras antiguas, líneas de fax compartidas y dispositivos conectados que los equipos de TI rara vez auditan, son terreno fértil para ese tipo de perturbación.

Por qué la atención médica y la educación siguen siendo blanco de ataques

El ransomware INC, rastreado como una operación de ransomware como servicio desde su aparición, ha atacado repetidamente hospitales, clínicas y escuelas, además de otros sectores como el comercio minorista y las finanzas. Las razones no son un misterio. Las redes de atención médica funcionan con dispositivos médicos interconectados, infraestructura obsoleta y sistemas que no siempre pueden parchearse o desconectarse sin poner en riesgo la atención al paciente. Las redes educativas, por su parte, suelen atender a miles de estudiantes y personal en una infraestructura compartida, con presupuestos de seguridad limitados y controles de acceso inconsistentes.

Ambos sectores también poseen exactamente el tipo de datos que hace rentable el ransomware de doble extorsión: registros de pacientes, historiales médicos, datos financieros e información personal de menores. INC, como muchas operaciones modernas de ransomware, no se limita a cifrar archivos. Primero roba los datos y amenaza con filtrarlos públicamente si no se paga el rescate, dando a las víctimas dos razones distintas para ceder.

Ese modus operandi ha convertido a los hospitales en un objetivo de alto riesgo. Cuando el ransomware bloquea los registros médicos electrónicos o los sistemas de programación de citas, las consecuencias no se limitan a meras molestias. Puede retrasar el tratamiento, obligar a desviar ambulancias y poner en peligro directo la seguridad del paciente, razón por la cual la ciberseguridad sanitaria se ha convertido en una prioridad política que va mucho más allá de los departamentos de TI.

El problema del punto de acceso

Los grupos de ransomware necesitan una vía de entrada a la red antes de poder desplegar nada, e INC ha demostrado que está dispuesto a explotar cualquier vulnerabilidad que le dé ese punto de apoyo. Un caso reciente lo ilustra bien: SonicWall confirmó que dos vulnerabilidades críticas de día cero en sus dispositivos de la serie SMA 1000 fueron explotadas activamente por el grupo de ransomware INC durante 22 días antes de que estuviera disponible un parche. Ese tipo de ventana, casi tres semanas de explotación activa antes de que existiera una solución, es exactamente la oportunidad que buscan los operadores de ransomware, sobre todo contra organizaciones que pueden tardar más en parchear los dispositivos de acceso remoto debido a limitaciones de personal o exigencias operativas.

Este patrón subraya una verdad más amplia sobre el ransomware en general e INC en particular: la brecha inicial rara vez proviene de algo exótico. Proviene de software sin parchear, herramientas de acceso remoto expuestas o credenciales que nunca se renovaron. Una vez dentro, el grupo se mueve lateralmente, identifica datos valiosos para extraer, despliega su carga de cifrado y, en el caso de INC, intenta que su mensaje se imprima para lograr la máxima visibilidad.

Qué significa esto para usted

Si usted trabaja en o interactúa con sistemas de atención médica o educación, ya sea como empleado, paciente, estudiante o padre, el ransomware INC es un recordatorio de que los datos que estas instituciones conservan sobre usted son un objetivo real, no hipotético. Los registros médicos y los datos de los estudiantes son atractivos precisamente porque son difíciles de reemplazar y a menudo están vinculados a oportunidades de fraude financiero o médico.

Para los equipos de TI y seguridad, la lección práctica tiene que ver con la frecuencia de aplicación de parches y la segmentación de la red. Los dispositivos de acceso remoto, las impresoras conectadas y las pasarelas de fax suelen considerarse dispositivos de baja prioridad, pero el comportamiento de INC demuestra que los atacantes utilizarán todos los dispositivos de una red, por muy mundanos que sean, para lograr sus objetivos. Segmentar las impresoras y los dispositivos tipo IoT de los sistemas centrales, y parchear rápidamente los dispositivos con exposición a Internet cuando los proveedores divulgan vulnerabilidades, reduce significativamente la superficie de ataque.

Para los particulares, las medidas prácticas son más conocidas pero vale la pena repetirlas: esté atento a las notificaciones de brechas de seguridad de su proveedor de atención médica o distrito escolar, use contraseñas únicas para los portales que almacenan información personal o médica, y desconfíe de los intentos de phishing posteriores que a menudo se aprovechan de los incidentes de ransomware una vez que los datos robados empiezan a circular.

Mantenerse a la vanguardia de las campañas de ransomware dirigidas

El ransomware INC no es el único que ataca a la atención médica y la educación, pero su disposición a imprimir físicamente notas de rescate pone de relieve hasta dónde están dispuestos a llegar estos grupos para forzar el pago. Las organizaciones de estos sectores deben tratar todos los dispositivos con exposición a Internet, por muy insignificantes que parezcan, como un posible punto de entrada, y los particulares deben permanecer atentos a los avisos de brechas relacionadas con instituciones que conservan sus datos confidenciales. La concienciación y la aplicación puntual de parches siguen siendo las defensas más eficaces contra una amenaza que no da señales de remitir.