La amenaza del ransomware

El 2016 ha sido catalogado como “año del ransomware”  (del inglés ransom, “rescate” y ware, por software), actualmente es la amenaza informática más importante que está permeando a través de Internet. Es un software malicioso (malware) que cifra archivos en computadoras infectadas, y luego pide un rescate para descifrarlos. Las versiones actuales no sólo están orientadas a computadoras, sino también a celulares y otros dispositivos.

El origen del ransomware se remonta a 1989, con PC Cyborg: reemplazaba archivos del sistema operativo inutilizando la computadora. Luego solicitaba “renovar licencia” con un pago de 189 dólares a PC Cyborg Corporation mediante apartado postal en Panamá. También tiene su origen en “antivirus falsos”, de moda en la primera década del siglo. Al navegar por Internet, surge una ventana en la pantalla que anuncia que el equipo está infectado, y que para desinfectarlo hay que descargar un antivirus gratuito que viene en realidad con un software  malicioso.

Ransomware también se remonta a los lockers, que se introducen al equipo por acción propia del usuario que engañando al hacer algo, aplica por ejemplo un parche para utilizar un programa sin pagar licencia, en realidad instala malware. Ya dentro, bloquea el equipo y pide una recompensa para desbloquearlo, mostrando un supuesto aviso de alguna agencia como el FBI, la CIA, o incluso la Policía boliviana (!).

El impacto de esta primera versión fue bajo, principalmente porque para quitarlos se extrae el disco duro del equipo, se conecta a otra computadora como disco secundario y se repara con el antivirus de la computadora anfitriona; una solución simple y efectiva. Otra de las causas de su bajo impacto era que los ciberdelincuentes no tenían una manera anónima de cobrar el rescate, y los medios tradicionales (tarjeta de crédito, PayPal, giro de dinero) son fácilmente rastreables para las agencias de seguridad internacional. Con el surgimiento de las criptomonedas como el BitCoin, permite crear una billetera virtual que garantiza el anonimato de las dos partes de una transacción, los atacantes han empezado a cobrar las recompensas en BitCoin.

Las primeras versiones tenían errores de diseño, como que la clave de cifrado venía en el código fuente del ejecutable, por lo que las empresas proveedores de ciberseguridad podían obtener la clave sin dificultad. Las siguientes versiones ya usaban criptografía de llave pública y privada, pero todas las computadoras infectadas eran cifradas con la misma llave, así que por una víctima que pagaba, ya se podían descifrar los archivos de todas las computadoras infectadas.

Las versiones actuales utilizan una clave única por cada computadora infectada, y con un temporizador que va descontando el tiempo que queda antes de que dicha clave se elimine de los servidores de los atacantes, de modo que los archivos cifrados quedan irrecuperables.

Es importante resaltar que el ransomware no cifra los archivos del sistema operativo, porque los atacantes quieren que éste siga funcionando, buscan que el usuario no tenga acceso a su valiosa información: por ejemplo la tesis que se acabó el último año y cuya defensa está cerca, las fotos familiares de los últimos años, etc. Un juego psicológico de “si no pago ahora mismo, pierdo toda mi información digital para siempre”. Actualmente ransomware cifra más de 230 tipos de archivo: fotografías, documentos de texto, planillas contables y más.

La mejor protección que existe es la prevención y tener copias de respaldo. Recomendable no abrir archivos adjuntos de correo de remitentes desconocidos, evitar descargar programas de sitios de dudosa reputación y sacar copias de respaldo en disco duro externo fuera de línea y no conectarlos al equipo hasta la próxima copia.

El autor es ingeniero, perito en informática forense.