La evolución de los ransomwares: cómo los cibercriminales amplían sus tácticas mediante la recopilación de contraseñas y la explotación de credenciales.

El auge de los ciberataques en Chrome

Recientemente, el navegador Chrome ha captado la atención del grupo criminal Qilin. Este colectivo es conocido por sus sofisticadas estrategias de ransomware. No solo encriptan archivos críticos, sino que también roban información sensible. Su enfoque actual representa un nuevo nivel de amenaza para la ciberseguridad tanto de individuos como de empresas.

Estrategias de doble extorsión de los atacantes

Ilia Sotnikov, estratégico de seguridad en Netwrix, sostiene que los actores de ransomware ahora siguen una táctica de doble extorsión. Primero, bloquean sistemas vitales, paralizando operaciones. Luego, extraen datos valiosos, incluyendo información financiera y secretos comerciales. A cambio, exigen un rescate, prometiendo recuperar el acceso a los sistemas y eliminar la información robada.

El peligro de la recolección de contraseñas

Según un informe de Sophos, el grupo Qilin no se limita a robar datos. También capturan las contraseñas de los usuarios finales. Esta táctica no era común entre los grupos de ransomware. Sin embargo, ahora se ha convertido en una estrategia útil para maximizar sus beneficios ilegales.

El navegador Chrome almacena credenciales para múltiples sitios. Esto permite a los atacantes estudiar las herramientas y servicios que usa una organización. Así, pueden planificar ataques más precisos, aumentando la posibilidad de que se pague la recompensa exigida.

Cómo las organizaciones pueden protegerse

La implementación de la autenticación multifactor (MFA) puede ser complicada. Muchas empresas no pueden aplicar MFA de inmediato en todos sus servicios. Además, los usuarios no suelen cambiar sus contraseñas de manera rápida. Por este motivo, los atacantes pueden usar las credenciales robadas en ataques futuros.

El mercado negro también valora los accesos comprometidos. Vender cuentas y contraseñas puede resultar muy lucrativo para estos grupos. Esto añade otra capa de riesgo para las organizaciones.

El equipo de Sophos ha identificado pasos clave que los atacantes utilizan. Por ejemplo, los cibercriminales implementan nuevas políticas de grupo (GPO) para introducir scripts maliciosos. Estas acciones se ejecutan al iniciar sesión. Luego, eliminan registros de eventos de seguridad para encubrir sus actividades.

Las organizaciones deben establecer mecanismos de detección. Es crucial estar alerta ante cambios no autorizados en las GPO. Igualmente, hay que vigilar la eliminación de registros en servidores críticos.