Una nueva estrategia de ransomware toma forma

Un análisis reciente del panorama del ransomware describe un cambio notable en la estrategia de los atacantes: en lugar de apuntar cuidadosamente a una empresa a la vez, algunos grupos ahora intentan lo que el informe denomina "supresión de área", comprometiendo un clúster completo de pequeñas y medianas empresas (PYMEs) interconectadas en una sola campaña. Este es un desarrollo significativo en la forma en que se llevan a cabo los ataques de ransomware a la cadena de suministro, y tiene especial relevancia para las economías construidas sobre relaciones de subcontratación en capas, donde el análisis señala la estructura empresarial jerárquica de Japón como un coto de caza particularmente atractivo.

La lógica detrás de la supresión de área es sencilla desde la perspectiva del atacante. En lugar de gastar tiempo y recursos vulnerando un objetivo bien defendido, ¿por qué no identificar una red de negocios más pequeños y menos protegidos que alimentan la misma cadena de suministro, y comprometer tantos como sea posible de una sola vez? Cada víctima adicional aumenta las probabilidades de un pago, y la naturaleza interconectada de las redes de subcontratación significa que un único punto de entrada puede abrir puertas a decenas de socios aguas abajo o aguas arriba.

Lo que la "supresión de área" significa para las PYMEs interconectadas

En las campañas de ransomware dirigidas tradicionales, los atacantes investigan una organización específica, entienden sus defensas y diseñan una intrusión pensada para ese único objetivo. La supresión de área invierte este modelo. Los atacantes mapean un ecosistema empresarial, identifican las empresas más pequeñas que respaldan a los contratistas principales más grandes y tratan toda la red como una única superficie de ataque.

Esto es importante porque las PYMEs en las cadenas de subcontratación a menudo carecen del personal de seguridad dedicado, el presupuesto o las herramientas de monitoreo que mantienen las grandes empresas. Muchas dependen de herramientas de acceso remoto, credenciales compartidas o configuraciones de VPN que se establecieron hace años y rara vez se auditan. En una estructura empresarial jerárquica, donde docenas o cientos de pequeños proveedores se conectan a un puñado de contratistas principales, esto crea exactamente el tipo de entorno de baja fricción que los atacantes ahora están optimizando.

Cómo los atacantes se mueven lateralmente a través de las redes de subcontratistas

Una vez dentro de una parte de un clúster de subcontratación, los atacantes no necesitan reinventar su enfoque para cada nuevo objetivo. Las relaciones compartidas con proveedores, el software común de acceso remoto y los arreglos superpuestos de soporte de TI significan que las credenciales o puntos de apoyo obtenidos en una empresa a menudo pueden reutilizarse o adaptarse para llegar a la siguiente. Una cuenta VPN comprometida, un servicio de escritorio remoto expuesto o una conexión de red de confianza entre un subcontratista y su empresa matriz pueden servir como puntos de pivote.

Este movimiento lateral es el tejido conectivo que convierte una sola brecha en una cascada. Entender cómo esto progresa desde el acceso inicial hasta el compromiso total es más sencillo cuando se observa el ciclo de vida completo de un ataque de ransomware. El explicador de doble extorsión desglosa cómo los atacantes suelen moverse desde el punto de apoyo inicial hasta el robo de datos y el cifrado, una secuencia que se vuelve mucho más dañina cuando se desarrolla en múltiples empresas conectadas en lugar de solo una.

Dónde encajan la doble extorsión y la evasión de EDR en los ataques en cascada

Las campañas de supresión de área no abandonan las tácticas que han hecho tan rentable al ransomware en los últimos años. La doble extorsión, donde los atacantes roban datos antes de cifrarlos y amenazan con filtrarlos si no se paga el rescate, sigue aplicándose, y podría decirse que se vuelve más potente cuando varias empresas de la misma cadena de suministro son golpeadas simultáneamente. Una filtración que involucre a varios negocios vinculados puede crear presión no solo sobre las víctimas individuales sino también sobre los contratistas principales más grandes, cuya reputación y contratos dependen de que sus socios se mantengan seguros.

Las operaciones modernas de ransomware también dependen cada vez más de técnicas diseñadas para desactivar o cegar las herramientas de detección y respuesta en endpoints (EDR) antes de desplegar su carga útil final. Como se explica en el artículo sobre frameworks de ransomware que eliminan EDR, los atacantes han optado por desactivar las herramientas de seguridad como un primer paso calculado, en lugar de correr contra ellas. En un escenario de supresión de área, este paso de evasión se vuelve aún más valioso, ya que permite a los atacantes moverse a través de múltiples redes de PYMEs débilmente monitoreadas con una menor probabilidad de detección temprana.

Lo que esto significa para usted

Si su negocio opera como parte de una cadena de suministro, ya sea como subcontratista, proveedor o contratista principal, ahora es un nodo en una red que los atacantes están mapeando activamente. La solidez de sus propias defensas ya no solo lo protege a usted. Afecta a todos los socios conectados con usted. Una única puerta de enlace VPN sin parchear o una credencial de acceso remoto reutilizada podría convertirse en el punto de entrada para un ataque en cascada que se extienda mucho más allá de sus propios sistemas.

Esto es particularmente relevante para los dueños de PYMEs que pueden asumir que su empresa es "demasiado pequeña para ser un objetivo". Bajo un modelo de supresión de área, ser pequeño no es protección. A menudo es la razón por la que fue elegido.

Defensas prácticas que los dueños de PYMEs deben implementar ahora

Algunos pasos concretos pueden reducir significativamente la exposición a los ataques de ransomware a la cadena de suministro:

  • Auditar cada punto de acceso remoto, incluidas VPN, RDP y herramientas de soporte de terceros, y eliminar o actualizar cualquier cosa obsoleta.
  • Exigir autenticación multifactor en todas las cuentas de acceso remoto y administrativas, especialmente aquellas compartidas con proveedores o contratistas.
  • Segmentar las redes para que una brecha en un subcontratista no pueda proporcionar automáticamente una ruta hacia las organizaciones socias.
  • Mantener copias de seguridad offline y probadas, de modo que el cifrado por sí solo no pueda forzar una decisión de rescate.
  • Preguntar a sus socios comerciales y contratistas principales sobre sus propias prácticas de seguridad, ya que su riesgo ahora está vinculado al de ellos.

Los grupos de ransomware han demostrado estar dispuestos a industrializar su enfoque, tratando ecosistemas empresariales completos como un solo objetivo en lugar de ir eligiendo empresas una a una. Entender ese cambio y tomar las medidas defensivas básicas descritas anteriormente es la forma más clara para que las PYMEs eviten convertirse en el eslabón débil que derriba toda una cadena de suministro.