Se reportan ataques contra empresas industriales, fabricantes de vacunas y organizaciones gubernamentales; México es uno de los principales países afectados.
La empresa de ciberseguridad, Kaspersky, identificó nuevos ataques de ransomware que utilizan BitLocker, una herramienta legítima de Microsoft, para intentar cifrar archivos corporativos.
De acuerdo con información proporcionada por Kaspersky, los estafadores eliminan las opciones de recuperación, lo que impide que se restauren los archivos, y utilizan un script malicioso con una nueva característica: adaptarse a diferentes versiones de Windows. El objetivo de los ciberdelincuentes son las empresas del sector industrial, de fabricación de vacunas y organizaciones gubernamentales. Estos ataques conocidos como “ShrinkLocker” se detectaron en México, Indonesia y Jordania.
BitLocker es una herramienta de seguridad de Microsoft incluida en el sistema operativo de Windows. Su función principal es proteger los datos almacenados en el disco duro del ordenador, impidiendo que personas no autorizadas tengan acceso a esa información. Al cifrar los archivos, el delincuente transforma los datos almacenados en un código secreto que hace imposible que el usuario víctima acceda a ellos.
¿Cómo se produce el ataque?
Los ciberdelincuentes emplean el VBScript, un lenguaje de programación utilizado para automatizar tareas en computadoras Windows, con el propósito de crear un script malicioso. La novedad de estos ataques es que comprueban la versión actual instalada del sistema y activan las funcionalidades de BitLocker en consecuencia. De este modo, se cree que el código puede infectar tanto sistemas nuevos como antiguos, incluidas las versiones desde Windows Server 2008.
Si la versión del sistema es apta para el ataque, el script altera su configuración para bloquear el acceso del usuario víctima. Los estafadores también eliminan las medidas de protección que soportan a BitLocker, con lo cual se aseguran que la persona no pueda recuperar los archivos.
El paso final del ataque lleva al apagado forzado del sistema, dejando el siguiente mensaje en la pantalla: “No hay más opciones de recuperación de BitLocker en su PC”.
¿Qué hacer al respecto?
- Utilizar un software de seguridad robusto que esté correctamente configurado para detectar amenazas que intenten utilizar BitLocker. Para ello, implemente una solución que pueda buscar amenazas de forma proactiva.
- Limitar los privilegios de los usuarios a la red e impedir la activación no autorizada de funciones de cifrado o la modificación de claves de registro.
- Habilitar el registro y la supervisión del tráfico de red, ya que los sistemas infectados pueden transmitir contraseñas o claves a dominios de estafadores.
- Supervisar los eventos de ejecución de VBScript y PowerShell, almacenando los scripts y comandos registrados en un repositorio externo para retener la actividad sospechosa.
