¿Qué archivos ataca primero el ransomware?

¿Qué archivos ataca primero el ransomware?

En resumen: El ransomware no cifra todo tu disco de una sola vez. Primero va por documentos, bases de datos, respaldos y archivos compartidos en red, es decir, lo que más duele perder, mientras evita los archivos del sistema que necesita para mantener tu PC funcionando el tiempo suficiente para mostrarte la nota de rescate. Conocer este patrón te ayuda a entender por qué los respaldos y la segmentación de red son tan importantes.

Qué ocurrió

Los ataques de ransomware contra pequeñas y medianas empresas han seguido aumentando, y Palm Beach County no es la excepción. En los últimos dos años, han atacado consultorios médicos locales, bufetes de abogados, despachos contables y fabricantes, a menudo mediante un correo electrónico de phishing o una conexión de escritorio remoto expuesta que nadie recordó proteger. En varios casos documentados del sur de Florida, los atacantes ya se encontraban dentro de la red, ocultos durante días o incluso semanas, antes de activar el cifrado: inspeccionaban las unidades, identificaban los datos más valiosos y, en ocasiones, extraían copias antes de bloquearlo todo.

A muchas personas les sorprende cómo se comporta realmente el ransomware una vez que entra en una red. No es un ataque de toma y corre que revuelve cada byte de la máquina al instante. Las familias modernas de ransomware siguen un proceso metódico: analizan el sistema, identifican los tipos de archivos de mayor valor, los cifran primero y luego se propagan lateralmente a otras máquinas y unidades compartidas antes de que alguien lo note. El cifrado en sí suele ocurrir en cuestión de horas, pero la fase de reconocimiento que lo precede puede prolongarse durante días de actividad no detectada.

Los investigadores de seguridad que han sometido a ingeniería inversa a variantes como LockBit, Conti y BlackCat han encontrado patrones de ataque constantes. LockBit, por ejemplo, utiliza un motor de cifrado de múltiples subprocesos diseñado específicamente para procesar tantos archivos de alto valor como sea posible en el menor tiempo, dando prioridad a los recursos compartidos de red sobre los archivos locales en su configuración predeterminada. Se documentó que Conti utilizaba una lista codificada de más de 160 extensiones de archivo que buscaba y cifraba, e ignoraba todo lo que no aparecía en esa lista para preservar la estabilidad del sistema. BlackCat, escrito en Rust para funcionar en varias plataformas, puede atacar entornos Windows, Linux y VMware ESXi en una sola campaña. Esto significa que los archivos de disco de las máquinas virtuales se suman a la lista de objetivos junto con los formatos de documentos habituales.

Por lo general, el malware da prioridad a:

• Documentos de Office (.docx, .xlsx, .pptx, .pdf), contratos, propuestas, estados financieros y todo lo que una empresa usa diariamente
• Archivos de bases de datos (.sql, .mdb, .accdb), registros de clientes, sistemas de inventario y software de gestión de consultorios médicos y dentales
• Archivos de respaldo y directorios del software de respaldo, a los que apunta específicamente para eliminar tus opciones de recuperación antes de que siquiera sepas que sufriste un ataque
• Datos de software financiero y contable, archivos de empresa de QuickBooks (.qbw), directorios de datos de Sage y exportaciones de nómina
• Archivos de correo electrónico (.pst, .ost), años de correspondencia con clientes, contratos enviados por correo electrónico y registros de cumplimiento
• Archivos de imágenes y diseño (.psd, .ai, .dwg), algo devastador para firmas de arquitectura, agencias de marketing e ingenierías, donde los archivos de proyectos representan meses de trabajo facturable
• Unidades compartidas y unidades asignadas en red, a menudo atacadas antes de que el malware toque la carpeta del sistema de la máquina local, porque ahí se encuentran los datos empresariales más importantes
• Imágenes de disco de máquinas virtuales (.vmdk, .vhd, .vhdx), que las variantes más nuevas buscan específicamente porque un solo archivo puede contener los datos de todo un servidor

Mientras tanto, evita deliberadamente o retrasa el ataque a los archivos del sistema de Windows, las DLL y los archivos de arranque. ¿Por qué? Porque el malware necesita que tu computadora siga funcionando el tiempo suficiente para mostrar la nota de rescate y permitirte, con suerte, pagar o contactar a los atacantes. Una computadora que no puede arrancar no puede mostrarte una exigencia de Bitcoin. Algunas variantes van más allá y agregan a la lista de permitidos carpetas específicas como C:\Windows\System32 y C:\Program Files para garantizar que el sistema operativo permanezca funcionando durante todo el proceso de cifrado.

Por qué importa

Comprender el orden de los objetivos cambia la forma en que piensas en la defensa y te permite tomar medidas concretas.

La segmentación de red se convierte en una prioridad, no en algo secundario. Si el ransomware ataca primero las unidades compartidas y el almacenamiento asignado en red, entonces una red plana donde cada estación de trabajo puede ver todos los recursos compartidos es prácticamente una autopista abierta para que el ataque se propague. Piensa en un bufete de abogados pequeño típico: la computadora de recepción, las estaciones de trabajo de los asistentes legales, las laptops de los socios y el servidor con quince años de expedientes podrían estar en el mismo segmento de red, sin barreras significativas entre ellos. Un solo correo electrónico de phishing enviado a recepción abre la puerta a todo. Esta es una de las principales razones por las que las configuraciones de redes empresariales son tan importantes como el antivirus para endpoints. Segmentar la red para que contabilidad no tenga acceso general a los archivos de Recursos Humanos, o para que una PC de recepción no pueda acceder a la unidad compartida de la sala de servidores, ralentiza el ataque y puede limitar el daño a un departamento en lugar de afectar a toda la empresa. En la práctica, una red bien segmentada puede convertir un evento catastrófico de cifrado de toda la empresa en un incidente controlado que afecte solo a los archivos de un departamento.

El ataque deliberado a los directorios de respaldo es el detalle que la mayoría de las empresas pasa por alto. Los autores de ransomware entienden que los respaldos son la principal herramienta de recuperación, por lo que las variantes modernas buscan y cifran específicamente los archivos de respaldo antes de continuar con otros datos. Atacan las carpetas de respaldo locales creadas por Windows Backup, los directorios de datos utilizados por software popular de respaldo como Veeam o Backup Exec y cualquier dispositivo de almacenamiento conectado a la red que esté asignado como una letra de unidad. Precisamente por eso el principio de la industria ha cambiado a la regla de respaldo 3-2-1: tres copias de tus datos, en dos tipos de medios diferentes, con una copia almacenada completamente fuera de línea o en un almacenamiento en la nube inmutable al que no pueda acceder una máquina comprometida. Una firma contable de Boca Raton aprendió esto de la manera más difícil cuando una infección de ransomware cifró no solo sus archivos de QuickBooks, sino también la unidad USB externa que rotaban como respaldo, porque esa unidad estaba conectada cuando se activó el ataque.

La lista de extensiones de archivo a las que apunta también indica dónde concentrar el monitoreo. Las herramientas de detección de endpoints que supervisan eventos de cambio masivo de nombres de archivos, que es la forma en que el cifrado se ve a nivel del sistema de archivos, pueden detectar un ataque en curso antes de que termine. Una estación de trabajo que de repente comienza a cambiar rápidamente los nombres de cientos de archivos .xlsx y .docx está comportándose de forma anormal, y las herramientas modernas de detección y respuesta para endpoints (EDR) pueden marcar ese comportamiento, aislar la máquina y alertar a un administrador en cuestión de minutos. Este tipo de detección basada en el comportamiento es cada vez más importante porque el antivirus basado únicamente en firmas no detectará variantes nuevas de ransomware ni ataques sin archivos que nunca escriben un ejecutable tradicional en el disco.

Comprender el tiempo de permanencia cambia tu enfoque de respuesta a incidentes. Como los operadores de ransomware suelen pasar días o semanas dentro de una red antes de activar el cifrado, simplemente restaurar desde un respaldo no siempre es suficiente. Si el respaldo se creó cuando el atacante ya estaba presente, podrías estar restaurando un entorno comprometido. Un proceso adecuado de respuesta a incidentes incluye un análisis forense para determinar cuándo ocurrió el acceso inicial, qué tocó el atacante y si se extrajeron datos antes del evento de cifrado. Para las industrias reguladas, como los servicios de salud y financieros en Florida, ese análisis también determina si tienes que reportar una filtración conforme a HIPAA o a las leyes estatales de protección de datos, una obligación independiente y grave que existe incluso si logras recuperar tus archivos.

Las políticas de acceso con privilegios mínimos limitan directamente el alcance del daño. Como el ransomware cifra todo aquello a lo que la cuenta del usuario infectado tiene permiso de acceder, un empleado de recepción cuya cuenta de Windows tiene acceso de lectura y escritura a todas las carpetas compartidas del servidor representa una exposición mucho mayor que alguien cuya cuenta solo puede acceder a los archivos pertinentes para su trabajo. Implementar un acceso con privilegios mínimos, en el que los usuarios y las cuentas de servicio solo tienen los permisos mínimos necesarios para realizar su trabajo, es una de las inversiones de seguridad con mayor retorno que puede hacer una pequeña empresa. No cuesta nada más que el tiempo necesario para configurarlo correctamente y puede marcar la diferencia entre perder los archivos de un departamento y perderlo todo.

En última instancia, el ransomware está diseñado para causar el máximo daño de la forma más eficiente posible. Sus prioridades de ataque no son aleatorias; reflejan una comprensión clara de lo que las empresas no pueden permitirse perder. Alinear tus defensas con esa realidad, mediante redes segmentadas, respaldos inmutables, acceso con privilegios mínimos y monitoreo basado en el comportamiento, te da una posibilidad real de detener el ataque antes de que termine o recuperarte sin pagar un rescate que no ofrece ninguna garantía de recuperar tus archivos.

---

¿Te preocupa que tu empresa esté a un clic de sufrir una filtración?

Obtén una revisión de seguridad clara y directa de un equipo local que ha limpiado las consecuencias de estos incidentes más veces de las que quisiera.

Obtén una revisión de seguridad

Preguntas frecuentes

¿Qué tipos de archivos ataca primero el ransomware?

El ransomware da prioridad a los archivos que causan la mayor interrupción empresarial, incluidos documentos de Office, archivos de bases de datos, datos de software financiero como archivos de QuickBooks, archivos de correo electrónico y unidades compartidas en red. Los archivos y directorios de respaldo también reciben ataques específicos desde el principio para eliminar las opciones de recuperación antes de que la víctima se dé cuenta de que hay un ataque en curso.

¿Por qué el ransomware no cifra archivos del sistema, como las DLL de Windows?

El ransomware evita deliberadamente los archivos del sistema de Windows, las DLL y los archivos de arranque para mantener la computadora funcionando el tiempo suficiente para mostrar la exigencia de rescate. Algunas variantes incluso agregan a la lista de permitidos carpetas como C:\Windows\System32 para garantizar que el sistema operativo siga funcionando durante todo el proceso de cifrado, ya que una computadora que no puede arrancar no puede mostrar una nota de rescate.

¿Cuánto tarda realmente un ataque de ransomware de principio a fin?

La fase de cifrado puede completarse en cuestión de horas, pero los atacantes suelen pasar días o incluso semanas dentro de una red durante una fase previa de reconocimiento. Durante este tiempo de permanencia, inspeccionan las unidades, identifican los datos valiosos y, en ocasiones, extraen copias antes de activar el cifrado. Por eso, simplemente restaurar un respaldo creado durante ese período podría restaurar un entorno que aún está comprometido.

¿Por qué los respaldos no siempre bastan para recuperarse de un ataque de ransomware?

El ransomware moderno ataca específicamente los directorios de respaldo y cualquier unidad asignada con una letra, incluidas las unidades USB externas y el almacenamiento conectado a la red, para destruir las opciones de recuperación antes de que comience el cifrado. Además, si los atacantes ya estaban presentes en la red cuando se creó el respaldo, restaurarlo podría reintroducir un entorno comprometido. Por ello, se necesita un análisis forense para determinar el verdadero alcance de la filtración.

¿Cómo ayuda la segmentación de red a limitar el daño del ransomware?

El ransomware ataca con fuerza las unidades compartidas en red, por lo que una red plana donde cada dispositivo puede acceder a todos los recursos compartidos permite que un ataque se propague por toda la empresa desde una sola máquina infectada. Una segmentación adecuada restringe qué sistemas pueden comunicarse y acceder al almacenamiento compartido, lo que puede limitar el ataque a los archivos de un departamento en lugar de afectar a toda la organización.

¿Qué es el acceso con privilegios mínimos y por qué importa para defenderse del ransomware?

El acceso con privilegios mínimos significa que las cuentas de usuario solo tienen permiso para acceder a los archivos y sistemas necesarios para su trabajo específico. Como el ransomware cifra todo aquello a lo que puede acceder la cuenta infectada, limitar los permisos reduce directamente el alcance del daño y puede convertir un evento catastrófico de cifrado de toda la empresa en un incidente mucho más pequeño y manejable.