Debido al aumento de los ataques de ransomware de los últimos años, el CCN-CERT ha actualizado en su portal los documentos de buenas prácticas y de medidas de seguridad, relativos a este malware. Entre las novedades de los informes se incluyen nuevas variantes de este tipo de código dañino, recomendaciones de seguridad o la actualización de la tabla de descifrado de ransomware.

Los ataques ransomware, la familia de código dañino conocida por secuestrar datos mediante cifrado y exigir un pago por su rescate, ha sido la amenaza más recurrente en los últimos años. Por este motivo, el CCN-CERT, la Capacidad de Respuesta a incidentes de Seguridad de la Información del Centro Criptológico Nacional (CCN), ha actualizado dos de sus documentos relativos a esta técnica de ataque: CCN-CERT IA-11/18 Informe de Amenazas. Medidas de Seguridad contra el ransomware y CCN-CERT BP-04/16 Informes de Buenas Prácticas. Ransomware.

Aunque los primeros ataques de este tipo se centraban en determinados países de Europa del Este, en los últimos años se ha multiplicado el uso de ransomware como consecuencia directa de las grandes sumas de dinero que obtienen los atacantes. Por ello, se ha extendido por Europa, Estados Unidos, Canadá y por prácticamente todo el mundo. En esta línea, el documento CCN-CERT IA-11/18, relativo a las medidas de seguridad, señala las principales vías de infección y las medidas preventivas y reactivas frente a esta amenaza. Para aquellas organizaciones que hayan sufrido una infección y para las que deseen conocer cómo proceder, el documento explica algunos métodos para la restauración de ficheros, como Shadow volumen Copy de Windows o la recuperación desde Google Drive o Dropbox. Además, en base a los datos extraídos entre octubre del  2016 y abril de 2017 por Sophos, menciona las principales campañas de ransomware en España (Cerber, Locky, WannaCry, NOTPetya y Crysis/Dharma) y aporta un resumen de las posibilidades de recuperación de los datos cifrados en función del tipo de malware que haya producido la infección.                                                                                                                                                          

Por su parte, el informe CCN-CERT BP-04/16 es una guía de buenas prácticas publicada por el Centro Criptológico Nacional, que busca concienciar a las organizaciones sobre la importancia de protegerse. Para ello, la guía analiza los vectores de infección más comunes (mediante correo electrónico, enlace web, fichero adjunto o exploit kits, entre otros) y explica los procedimientos necesarios para desinfectar los equipos afectados. 

Ante este escenario, el CCN-CERT ha desarrollado una serie de medidas preventivas frente al ransomware:

• Informar y concienciar a todos los usuarios de los riesgos y amenazas que supone el ransomware, de modo que su estado de consciencia, alerta y formación disminuyan la posibilidad de infección.
• Mantener un sistema de copias de seguridad/respaldo actualizado, tanto de los sistemas locales como de las ubicaciones distantes. A ser posible deben mantenerse al menos dos (2) copias de seguridad en diferentes localizaciones desconectadas del sistema.
• Deshabilitar las macros en los documentos de Microsoft Office y otras aplicaciones similares.
• Deshabilitar Windows Script Host para evitar la ejecución de scripts en el sistema. Para ello se pueden seguir los pasos descritos en este enlace de Microsoft.
• Seguir las recomendaciones publicadas sobre protección del correo electrónico. (Ver Guía CCN-CERT BP-02/16)
• Complementar el antivirus y cortafuegos personal con programas como AppLocker (bloqueo de ejecución de programas) y EMET (detección y bloqueo de técnicas de exploit).
• Mantener una conducta de navegación segura, empleando herramientas y extensiones de navegador web completamente actualizadas, que ayuden a prevenir ejecuciones no autorizadas de código en el navegador web. (Ver Guía CCN-CERT BP-06/16)
• Activar la visualización de las extensiones de los ficheros para evitar ejecución de código dañino camuflado como fichero legítimo no ejecutable.
• Configurar el UAC (User Access Control) de Windows de la forma más restrictiva posible; que solicite siempre confirmación para la ejecución de aquellos procesos que requieran altos privilegios.
• Mantener el sistema operativo y todas las soluciones de seguridad actualizadas, así como el cortafuegos personal habilitado.
• No usar usuarios y contraseñas por defecto. Usar contraseñas seguras.
• Aplicar políticas de seguridad en los dispositivos electrónicos personales que se usen en el ámbito de la empresa u organización.