Ransomware

El primer ataque conocido de extorsión por malware, el " Troyano AIDS ", escrito por Joseph Popp en 1989, presentaba un fallo de diseño tan grave que no era necesario pagar al extorsionador. Su carga útil ocultaba los archivos del disco duro y cifraba únicamente sus nombres , mostrando un mensaje que indicaba que la licencia del usuario para usar un determinado software había caducado. Se le exigía al usuario el pago de 189 dólares estadounidenses a "PC Cyborg Corporation" para obtener una herramienta de reparación, a pesar de que la clave de descifrado podía extraerse del código del troyano. Este troyano también era conocido como "PC Cyborg". Popp fue declarado mentalmente incapacitado para ser juzgado por sus acciones, pero prometió donar las ganancias del malware para financiar la investigación del SIDA . ^{[ 33 ]}

La idea de abusar de los sistemas de efectivo anónimos para cobrar rescates de forma segura en casos de secuestro fue introducida en 1992 por Sebastiaan von Solms y David Naccache . ^{[ 34 ]} Este método de cobro de dinero electrónico también se propuso para ataques de extorsión criptoviral. ^{[ 1 ]} En el escenario de von Solms-Naccache se utilizó una publicación periodística (ya que los registros de Bitcoin no existían en el momento en que se escribió el artículo).

La idea de utilizar criptografía de clave pública para ataques de secuestro de datos fue introducida en 1996 por Adam L. Young y Moti Yung . Young y Yung criticaron el fallido troyano AIDS Information, que se basaba únicamente en criptografía simétrica (cuyo fallo fatal radicaba en la posibilidad de extraer la clave de descifrado), e implementaron un criptovirus experimental de prueba de concepto en un Macintosh SE/30 que utilizaba RSA y el algoritmo de cifrado Tiny (TEA) para cifrar de forma híbrida los datos de la víctima. Dado que se utiliza criptografía de clave pública , el virus solo contiene la clave de cifrado . El atacante mantiene en secreto la clave privada de descifrado correspondiente. El criptovirus experimental original de Young y Yung requería que la víctima enviara el texto cifrado asimétrico al atacante, quien lo descifraba y devolvía la clave de descifrado simétrica a la víctima a cambio de una tarifa. Mucho antes de que existiera el dinero electrónico, Young y Yung propusieron que el dinero electrónico también podría ser extorsionado mediante cifrado, afirmando que "el creador del virus puede retener efectivamente todo el dinero del rescate hasta que se le entregue la mitad. Incluso si el dinero electrónico fue previamente cifrado por el usuario, no le sirve de nada si es cifrado por un criptovirus". ^{[ 1 ]} Se refirieron a estos ataques como "extorsión criptoviral", un ataque manifiesto que forma parte de una clase más amplia de ataques en un campo llamado criptovirología , que abarca tanto ataques manifiestos como encubiertos. ^{[ 1 ]} El protocolo de extorsión criptoviral se inspiró en la relación parasitaria entre el facehugger de H.R. Giger y su huésped en la película Alien . ^{[ 1 ] [ 18 ]}

Ejemplos de ransomware extorsivo se hicieron prominentes en mayo de 2005. ^{[ 35 ]} A mediados de 2006, troyanos como Gpcode , TROJ_RANSOM, Archiveus , Krotten , Cryzip y MayArchive comenzaron a utilizar esquemas de cifrado RSA más sofisticados, con tamaños de clave cada vez mayores. Gpcode.AG, que se detectó en junio de 2006, estaba cifrado con una clave pública RSA de 660 bits. ^{[ 36 ]} En junio de 2008, se detectó una variante conocida como Gpcode.AK. Utilizando una clave RSA de 1024 bits, se creía que era lo suficientemente grande como para que fuera computacionalmente inviable romperla sin un esfuerzo distribuido concertado . ^{[ 37 ] [ 38 ] [ 39 ] [ 40 ]}

El ransomware de cifrado volvió a cobrar protagonismo a finales de 2013 con la propagación de CryptoLocker , que utilizaba la plataforma de moneda digital Bitcoin para cobrar rescates. En diciembre de 2013, ZDNet estimó, basándose en información de transacciones de Bitcoin, que entre el 15 de octubre y el 18 de diciembre, los operadores de CryptoLocker habían obtenido alrededor de 27 millones de dólares estadounidenses de usuarios infectados. ^{[ 41 ]} La técnica de CryptoLocker fue ampliamente copiada en los meses siguientes, incluyendo CryptoLocker 2.0 (que se cree que no está relacionado con CryptoLocker), CryptoDefense (que inicialmente contenía un importante fallo de diseño que almacenaba la clave privada en el sistema infectado en una ubicación recuperable por el usuario , debido a su uso de las API de cifrado integradas de Windows), ^{[ 30 ] [ 42 ] [ 43 ] [ 44 ]} y el descubrimiento en agosto de 2014 de un troyano que se dirigía específicamente a dispositivos de almacenamiento conectados a la red producidos por Synology . ^{[ 45 ]} En enero de 2015, se informó que se habían producido ataques de tipo ransomware contra sitios web individuales mediante piratería informática y mediante ransomware diseñado para atacar servidores web basados ​​en Linux . ^{[ 46 ] [ 47 ]}

Cabe destacar que, en 2020, la herramienta de ransomware como servicio (RaaS) Thanos fue escrita en C# y creada por el cardiólogo venezolano-francés Moises Luis Zagala Gonzalez . ^{[ 48 ]} Es uno de los primeros programas de ransomware en utilizar RIPlace para eludir las técnicas antivirus. ^{[ 49 ]}

En 2022, Costa Rica sufrió ataques generalizados de ransomware Conti que afectaron al gobierno, la salud y la industria. ^{[ 50 ]} Esto llevó al presidente Rodrigo Chaves a declarar el estado de emergencia y anunciar que Costa Rica está "en guerra" con los ciberdelincuentes que utilizan ransomware. ^{[ 51 ]}

En algunas infecciones, existe una carga útil de dos etapas, común en muchos sistemas de malware. Se engaña al usuario para que ejecute un script, que descarga el virus principal y lo ejecuta. En las primeras versiones del sistema de carga útil dual, el script estaba contenido en un documento de Microsoft Office con una macro VBScript adjunta, o en un archivo de la utilidad de scripting de Windows (WSF). A medida que los sistemas de detección comenzaron a bloquear estas cargas útiles de primera etapa, el Centro de protección contra malware de Microsoft identificó una tendencia hacia los archivos LNK con scripts de Microsoft Windows PowerShell autocontenidos . ^{[ 52 ]} En 2016, se descubrió que PowerShell estaba involucrado en casi el 40 % de los incidentes de seguridad de endpoints. ^{[ 53 ]}

Algunas variantes de ransomware han utilizado proxies vinculados a servicios ocultos de Tor para conectarse a sus servidores de comando y control , lo que aumenta la dificultad de rastrear la ubicación exacta de los delincuentes. ^{[ 54 ] [ 55 ]} Además, los vendedores de la dark web han comenzado cada vez más a ofrecer la tecnología como un servicio , en el que el ransomware se vende listo para su implementación en las máquinas de las víctimas, mediante una suscripción, de forma similar a Adobe Creative Cloud u Office 365. ^{[ 55 ] [ 56 ] [ 57 ]}

Symantec ha clasificado el ransomware como la amenaza cibernética más peligrosa. ^{[ 58 ]}

En agosto de 2010, las autoridades rusas arrestaron a nueve personas vinculadas a un troyano de ransomware conocido como WinLock. A diferencia del troyano Gpcode anterior, WinLock no utilizaba cifrado. En su lugar, WinLock restringía el acceso al sistema mostrando imágenes pornográficas y solicitaba a los usuarios que enviaran un SMS de tarificación especial (con un coste aproximado de 10 dólares estadounidenses) para recibir un código que les permitiera desbloquear sus equipos. La estafa afectó a numerosos usuarios en Rusia y países vecinos, generando, según se informa, más de 16 millones de dólares estadounidenses para el grupo. ^{[ 21 ] [ 59 ]}

En 2011, apareció un troyano ransomware que imitaba el aviso de activación de Windows e informaba a los usuarios que la instalación de Windows de un sistema debía reactivarse por haber sido víctima de fraude. Se ofrecía una opción de activación en línea (similar al proceso de activación real de Windows), pero no estaba disponible, lo que obligaba al usuario a llamar a uno de seis números internacionales para introducir un código de seis dígitos. Aunque el malware afirmaba que esta llamada sería gratuita, se enrutaba a través de un operador fraudulento en un país con altas tarifas de llamadas internacionales, quien ponía la llamada en espera, lo que provocaba que el usuario incurriera en elevados cargos por llamadas internacionales de larga distancia . ^{[ 19 ]}

En 2012, Symantec informó de la propagación desde Europa del Este de un ransomware con una pantalla de bloqueo que simulaba ser de las fuerzas del orden y exigía un pago por actividades ilegales. ^{[ 60 ]}

En febrero de 2013, apareció un troyano ransomware basado en el kit de exploits Stamp.EK ; el malware se distribuyó a través de sitios alojados en los servicios de alojamiento de proyectos SourceForge y GitHub que afirmaban ofrecer "fotos falsas de desnudos" de celebridades. ^{[ 61 ]} En julio de 2013, apareció un troyano ransomware específico para OS X , que muestra una página web que acusa al usuario de descargar pornografía. A diferencia de sus contrapartes basadas en Windows, no bloquea toda la computadora, sino que simplemente explota el comportamiento del propio navegador web para frustrar los intentos de cerrar la página por medios normales. ^{[ 62 ]}

En julio de 2013, un hombre de 21 años de Virginia, cuyo ordenador contenía, casualmente, fotografías pornográficas de menores con las que había mantenido comunicaciones de índole sexual, se entregó a la policía tras recibir y ser engañado por el ransomware MoneyPak del FBI, que lo acusaba de posesión de pornografía infantil. Una investigación descubrió los archivos incriminatorios y el hombre fue acusado de abuso sexual infantil y posesión de pornografía infantil. ^{[ 63 ]}

Lo opuesto al ransomware es un ataque de criptovirología inventado por Adam L. Young que amenaza con publicar información robada del sistema informático de la víctima en lugar de negarle el acceso a ella. ^{[ 64 ]} En un ataque de leakware, el malware extrae datos confidenciales del host, ya sea al atacante o, alternativamente, a instancias remotas del malware, y el atacante amenaza con publicar los datos de la víctima a menos que se pague un rescate. El ataque se presentó en West Point en 2003 y se resumió en el libro Malicious Cryptography de la siguiente manera: "El ataque difiere del ataque de extorsión de la siguiente manera: en el ataque de extorsión, a la víctima se le niega el acceso a su propia información valiosa y tiene que pagar para recuperarla, mientras que en el ataque que se presenta aquí, la víctima conserva el acceso a la información, pero su divulgación queda a discreción del virus informático". ^{[ 65 ]} El ataque tiene su origen en la teoría de juegos y originalmente se denominó "juegos de suma no cero y malware de supervivencia". El ataque puede generar ganancias monetarias en los casos en que el malware obtiene acceso a información que puede dañar al usuario o la organización víctima, por ejemplo, el daño a la reputación que podría resultar de la publicación de pruebas de que el ataque en sí fue un éxito.

Entre los objetivos comunes para la exfiltración se incluyen:

• Información de terceros almacenada por la víctima principal (como información de la cuenta del cliente o registros médicos);
• Información propiedad de la víctima (como secretos comerciales e información sobre productos).
• información comprometedora (como información sobre la salud de la víctima o información sobre su pasado personal)

Los ataques de exfiltración suelen ser dirigidos, con una lista de víctimas cuidadosamente seleccionada, y a menudo implican una vigilancia preliminar de los sistemas de la víctima para encontrar posibles objetivos de datos y vulnerabilidades. ^{[ 66 ] [ 67 ]}

Con la creciente popularidad del ransomware en plataformas de PC, el ransomware dirigido a sistemas operativos móviles también se ha proliferado. Por lo general, las cargas útiles del ransomware móvil son bloqueadores, ya que hay pocos incentivos para cifrar los datos, puesto que se pueden restaurar fácilmente mediante la sincronización en línea. ^{[ 68 ]} El ransomware móvil suele dirigirse a la plataforma Android , ya que permite la instalación de aplicaciones de fuentes de terceros. ^{[ 68 ] [ 69 ]} La carga útil se distribuye normalmente como un archivo APK instalado por un usuario desprevenido; puede intentar mostrar un mensaje de bloqueo sobre todas las demás aplicaciones, ^{[ 69 ]} mientras que otro utilizó una forma de clickjacking para hacer que el usuario le otorgara privilegios de "administrador del dispositivo" para obtener un acceso más profundo al sistema. ^{[ 70 ]}

Se han utilizado diferentes tácticas en dispositivos iOS , como explotar cuentas de iCloud y usar el sistema Buscar mi iPhone para bloquear el acceso al dispositivo. ^{[ 71 ]} En iOS 10.3 , Apple corrigió un error en el manejo de ventanas emergentes de JavaScript en Safari que había sido explotado por sitios web de ransomware. ^{[ 72 ]} Recientemente se ha demostrado que el ransomware también puede atacar arquitecturas ARM como las que se pueden encontrar en varios dispositivos de Internet de las Cosas (IoT), como los dispositivos de borde de IoT industrial. ^{[ 73 ]}

En agosto de 2019, investigadores demostraron que es posible infectar cámaras DSLR con ransomware. ^{[ 74 ]} Las cámaras digitales suelen usar el Protocolo de Transferencia de Imágenes (PTP) para transferir archivos. Los investigadores descubrieron que era posible explotar vulnerabilidades en el protocolo para infectar las cámaras objetivo con ransomware (o ejecutar cualquier código arbitrario). Este ataque se presentó en la conferencia de seguridad Defcon en Las Vegas como una prueba de concepto (no como malware armado real).

Los primeros ataques se dirigieron a usuarios aleatorios, generalmente infectados a través de archivos adjuntos de correo electrónico enviados por pequeños grupos de delincuentes, que exigían unos cientos de dólares en criptomonedas para desbloquear archivos (normalmente fotografías y documentos personales) que el ransomware había cifrado. A medida que el ransomware se consolidó como negocio, bandas organizadas entraron en escena, publicitando expertos en la web oscura y subcontratando servicios. Esto conllevó una mejora en la calidad del ransomware y en su éxito. En lugar de correos electrónicos aleatorios, las bandas robaban credenciales, encontraban vulnerabilidades en las redes objetivo y mejoraban el malware para evitar ser detectado por los antivirus. Los rescates exigidos aumentaron hasta alcanzar sumas mucho mayores (millones) que una empresa pagaría para recuperar sus datos, en comparación con lo que un particular pagaría por sus documentos (cientos).

En 2016, se observó un aumento significativo en los ataques de ransomware contra hospitales. Según el Informe de Amenazas de Seguridad en Internet de 2017 de Symantec Corp, el ransomware afectó no solo a los sistemas informáticos, sino también a la atención al paciente, las operaciones clínicas y la facturación. Los ciberdelincuentes podrían estar motivados por el dinero disponible y la sensación de urgencia dentro del sistema de salud. ^{[ 75 ]}

El ransomware está creciendo rápidamente entre los usuarios de internet, pero también en el entorno del IoT. ^{[ 60 ]} El gran problema es que algunas organizaciones e industrias pierden millones de dólares al tener que pagar, como el Hollywood Presbyterian Medical Center y MedStar Health. ^{[ 76 ]}

Según el informe ISTR de Symantec de 2019, por primera vez desde 2013, en 2018 se observó una disminución en la actividad de ransomware con una caída del 20 por ciento. Antes de 2017, los consumidores eran las víctimas preferidas, pero en 2017 esto cambió drásticamente, pasando a las empresas. En 2018 esta tendencia se aceleró con un 81 por ciento de infecciones, lo que representó un aumento del 12 por ciento. ^{[ 77 ]} El método de distribución común hoy en día se basa en campañas de correo electrónico.

A finales de 2019, el grupo de ransomware Maze descargó archivos confidenciales de empresas antes de bloquearlos y amenazó con filtrar los datos públicamente si no se pagaba el rescate; en al menos un caso, cumplieron su amenaza. Muchos otros grupos siguieron su ejemplo; se crearon "sitios de filtración" en la web oscura donde se podía acceder a los datos robados. Ataques posteriores se centraron en la amenaza de filtrar datos, sin necesariamente bloquearlos, lo que anuló la protección que ofrecían a las víctimas los sólidos procedimientos de copia de seguridad. A partir de 2023Existe el riesgo de que gobiernos hostiles utilicen ransomware para ocultar lo que en realidad es recopilación de inteligencia. ^{[ 78 ]}

La primera muerte reportada tras un ataque de ransomware ocurrió en un hospital alemán en octubre de 2020. ^{[ 79 ]}

Se produjo un aumento significativo de los ataques de ransomware durante la pandemia de COVID-19 de 2020. La evidencia reveló que las instituciones objetivo de estos ataques incluían el gobierno, las finanzas y la atención médica. Los investigadores han argumentado que varios factores diferentes pueden explicar el aumento de los ataques durante este período. Sin embargo, un factor importante es que el trabajo remoto , que se convirtió en la norma para muchas industrias en 2020, provocó el aumento de los ataques debido a la falta de seguridad en comparación con los entornos de trabajo tradicionales. ^{[ 80 ]}

Se estima que los ataques de ransomware dieron lugar a pagos por un total de 1100 millones de dólares en 2019, 999 millones en 2020 y un récord de 1250 millones en 2023. Esta cifra disminuyó a 813 millones en 2024, con una fuerte caída en la segunda mitad del año, según la firma de investigación Chainalysis , atribuida a la negativa de las víctimas a pagar y a la actuación de las fuerzas del orden. Sin embargo, Chainalysis afirmó que la tendencia a la baja en los pagos era frágil y que los ataques de ransomware seguían siendo frecuentes. ^{[ 81 ]} Una operación internacional coordinada en febrero de 2024 desmanteló la banda LockBit , y la banda BlackCat/ALPHV desapareció. ^{[ 81 ]}

A principios de 2025, el Reino Unido estaba considerando prohibir que las escuelas, el NHS y los ayuntamientos locales realizaran pagos de rescate, exigir a las empresas privadas que informaran sobre los pagos propuestos y exigir la notificación obligatoria de los ataques de rescate. ^{[ 81 ]}

En 2012, comenzó a propagarse un importante troyano de ransomware conocido como Reveton. Basado en el troyano Citadel (que a su vez se basa en el troyano Zeus ), su carga útil muestra una advertencia supuestamente de una agencia policial que afirma que el ordenador se ha utilizado para actividades ilegales, como la descarga de software sin licencia o pornografía infantil . Debido a este comportamiento, se le conoce comúnmente como el "troyano policial". ^{[ 82 ] [ 83 ] [ 84 ]} La advertencia informa al usuario de que, para desbloquear su sistema, tendría que pagar una multa mediante un cupón de un servicio anónimo de pago prepago como Ukash o paysafecard . Para aumentar la ilusión de que el ordenador está siendo rastreado por las fuerzas del orden, la pantalla también muestra la dirección IP del ordenador , mientras que algunas versiones muestran imágenes de la webcam de la víctima para dar la ilusión de que el usuario está siendo grabado. ^{[ 7 ] [ 85 ]}

Reveton comenzó a propagarse inicialmente en varios países europeos a principios de 2012. ^{[ 7 ]} Las variantes se localizaron con plantillas que incluían los logotipos de diferentes organizaciones policiales según el país del usuario; por ejemplo, las variantes utilizadas en el Reino Unido contenían la marca de organizaciones como el Servicio de Policía Metropolitana y la Unidad Nacional de Delitos Informáticos de la Policía . Otra versión contenía el logotipo de la sociedad de gestión colectiva de derechos de autor PRS for Music , que acusaba específicamente al usuario de descargar música ilegalmente. ^{[ 86 ]} En un comunicado en el que advertía al público sobre el malware, la Policía Metropolitana aclaró que nunca bloquearían un ordenador de esa manera como parte de una investigación. ^{[ 7 ] [ 20 ]}

En mayo de 2012, los investigadores de amenazas de Trend Micro descubrieron plantillas para variaciones para Estados Unidos y Canadá , lo que sugiere que sus autores podrían haber estado planeando atacar a usuarios en Norteamérica. ^{[ 87 ]} En agosto de 2012, una nueva variante de Reveton comenzó a propagarse en Estados Unidos, afirmando requerir el pago de una multa de $ 200 al FBI mediante una tarjeta MoneyPak . ^{[ 8 ] [ 9 ] [ 85 ]} En febrero de 2013, un ciudadano ruso fue arrestado en Dubái por las autoridades españolas por su conexión con una red criminal que había estado utilizando Reveton; otras diez personas fueron arrestadas por cargos de lavado de dinero . ^{[ 88 ]} En agosto de 2014, Avast Software informó que había encontrado nuevas variantes de Reveton que también distribuyen malware de robo de contraseñas como parte de su carga útil. ^{[ 89 ]}

El ransomware de cifrado reapareció en septiembre de 2013 con un troyano conocido como CryptoLocker , que generaba un par de claves RSA de 2048 bits y las subía a un servidor de comando y control, para luego cifrar archivos usando una lista blanca de extensiones de archivo específicas . El malware amenazaba con eliminar la clave privada si no se realizaba un pago en Bitcoin o un cupón de efectivo prepagado dentro de los 3 días posteriores a la infección. Debido al tamaño extremadamente grande de la clave que utilizaba, los analistas y los afectados por el troyano consideraron que CryptoLocker era extremadamente difícil de reparar. ^{[ 29 ] [ 90 ] [ 91 ] [ 92 ]} Incluso después de que venciera el plazo, la clave privada aún podía obtenerse usando una herramienta en línea, pero el precio aumentaba a 10 BTC, que costaban aproximadamente US$2300 en noviembre de 2013. ^{[ 93 ] [ 94 ]}

CryptoLocker fue aislado tras la incautación de la botnet Gameover ZeuS como parte de la Operación Tovar , según anunció oficialmente el Departamento de Justicia de los Estados Unidos el 2 de junio de 2014. El Departamento de Justicia también presentó públicamente una acusación contra el hacker ruso Evgeniy Bogachev por su presunta participación en la botnet. ^{[ 95 ] [ 96 ]} Se estimó que se extorsionaron al menos 3 millones de dólares estadounidenses con el malware antes de su cierre. ^{[ 12 ]}

En septiembre de 2014, surgió una ola de troyanos ransomware que primero atacaron a usuarios en Australia , bajo los nombres CryptoWall y CryptoLocker (que, al igual que CryptoLocker 2.0, no está relacionado con el CryptoLocker original). Los troyanos se propagaron a través de correos electrónicos fraudulentos que afirmaban ser avisos de entrega de paquetes fallidos de Australia Post ; para evadir la detección de los escáneres automáticos de correo electrónico que siguen todos los enlaces en una página para escanear malware, esta variante fue diseñada para requerir que los usuarios visiten una página web e ingresen un código CAPTCHA antes de que se descargue la carga útil, lo que impide que dichos procesos automatizados puedan escanear la carga útil. Symantec determinó que estas nuevas variantes, que identificó como CryptoLocker.F , nuevamente, no estaban relacionadas con el CryptoLocker original debido a diferencias en su funcionamiento. ^{[ 97 ] [ 98 ]} Una víctima notable de los troyanos fue la Australian Broadcasting Corporation ; La programación en directo de su canal de noticias de televisión ABC News 24 se interrumpió durante media hora y se trasladó a los estudios de Melbourne debido a una infección de CryptoWall en los ordenadores de su estudio de Sídney . ^{[ 99 ] [ 100 ] [ 101 ]}

Otro troyano de esta oleada, TorrentLocker , inicialmente contenía un fallo de diseño comparable al de CryptoDefense; utilizaba la misma secuencia de claves para todos los ordenadores infectados, lo que hacía que el cifrado fuera trivial de superar. Sin embargo, este fallo se corrigió posteriormente. ^{[ 42 ]} A finales de noviembre de 2014, se estimaba que más de 9000 usuarios habían sido infectados por TorrentLocker solo en Australia, superada únicamente por Turquía con 11 700 infecciones. ^{[ 102 ]}

Otro importante troyano de ransomware que ataca a Windows, CryptoWall, apareció por primera vez en 2014. Una variante de CryptoWall se distribuyó como parte de una campaña de publicidad maliciosa en la red publicitaria Zedo a finales de septiembre de 2014, dirigida a varios sitios web importantes; los anuncios redirigían a sitios web fraudulentos que utilizaban exploits de complementos del navegador ^{[ 103 ]} para descargar la carga útil. Un investigador de Barracuda Networks también señaló que la carga útil estaba firmada con una firma digital para parecer confiable ante el software de seguridad. ^{[ 104 ]} CryptoWall 3.0 utilizaba una carga útil escrita en JavaScript como parte de un archivo adjunto de correo electrónico, que descargaba ejecutables disfrazados de imágenes JPG . Para evadir aún más la detección, el malware crea nuevas instancias de explorer.exe y svchost.exe para comunicarse con sus servidores. Al cifrar archivos, el malware también elimina las copias de instantáneas de volumen e instala software espía que roba contraseñas y carteras de Bitcoin . ^{[ 105 ]}

El FBI informó en junio de 2015 que casi 1.000 víctimas se habían puesto en contacto con el Centro de Denuncias de Delitos en Internet de la agencia para denunciar infecciones de CryptoWall, y que las pérdidas estimadas ascendían a al menos 18 millones de dólares. ^{[ 13 ]}

La versión más reciente , CryptoWall 4.0, mejoró su código para evitar la detección de antivirus y cifra no solo los datos de los archivos, sino también los nombres de los archivos. ^{[ 106 ]}

Fusob es una importante familia de ransomware móvil. Entre abril de 2015 y marzo de 2016, alrededor del 56 por ciento del ransomware móvil detectado fue Fusob. ^{[ 107 ]}

Como la mayoría de los programas de ransomware, utiliza tácticas de intimidación para extorsionar una suma considerable al usuario. ^{[ 108 ]} La aplicación se presenta como una notificación de las autoridades , exigiendo a la víctima el pago de una multa de entre 100 y 200 dólares estadounidenses o , de lo contrario, enfrentará un cargo penal ficticio. A diferencia de la mayoría de los programas de ransomware que utilizan criptomonedas, Fusob solicita tarjetas de regalo de iTunes como forma de pago.

Para infectar dispositivos, Fusob se disfraza de reproductor de vídeo pornográfico. ^{[ 109 ]} Al instalarse, primero comprueba el idioma del sistema del dispositivo. Si el idioma es ruso o de Europa del Este, Fusob permanece inactivo. De lo contrario, bloquea el dispositivo y exige un rescate. Alrededor del 40 % de las víctimas se encuentran en Alemania, mientras que el Reino Unido concentra el 14,5 % y Estados Unidos el 11,4 %. Fusob y Small (otra familia de ransomware) representaron más del 93 % del ransomware móvil entre 2015 y 2016.

En mayo de 2017, el ataque de ransomware WannaCry se propagó por Internet, utilizando un vector de explotación llamado EternalBlue , que supuestamente fue filtrado de la Agencia de Seguridad Nacional de EE . UU. El ataque de ransomware, de escala sin precedentes, ^{[ 110 ]} infectó más de 230 000 computadoras en más de 150 países, ^{[ 111 ]} utilizando 20 idiomas diferentes para exigir dinero a los usuarios mediante la criptomoneda Bitcoin . WannaCry exigió US$300 por computadora. ^{[ 112 ]} El ataque afectó a Telefónica y a varias otras grandes empresas en España, así como a partes del Servicio Nacional de Salud británico (NHS), donde al menos 16 hospitales tuvieron que rechazar pacientes o cancelar operaciones programadas, ^{[ 113 ]} FedEx , Deutsche Bahn , Honda , ^{[ 114 ]} Renault , así como al Ministerio del Interior ruso y a la empresa de telecomunicaciones rusa MegaFon . ^{[ 115 ]} Los atacantes dieron a sus víctimas un plazo de 7 días a partir del día en que sus computadoras fueron infectadas, después del cual los archivos cifrados serían eliminados. ^{[ 116 ]}

Petya se descubrió por primera vez en marzo de 2016; a diferencia de otras formas de ransomware de cifrado, este malware tenía como objetivo infectar el registro de arranque maestro ( MBR ), instalando una carga útil que cifra las tablas de archivos del sistema de archivos NTFS la próxima vez que el sistema infectado arranque, impidiendo que el sistema inicie Windows hasta que se pague el rescate. Check Point informó que, a pesar de lo que consideraba una evolución innovadora en el diseño de ransomware, había provocado relativamente menos infecciones que otros ransomware activos en el mismo período. ^{[ 117 ]}

El 27 de junio de 2017, una versión muy modificada de Petya se utilizó para un ciberataque global dirigido principalmente a Ucrania (pero que afectó a muchos países ^{[ 118 ]} ). Esta versión había sido modificada para propagarse utilizando la misma vulnerabilidad EternalBlue que WannaCry. Debido a otro cambio de diseño, tampoco puede desbloquear un sistema después de que se pague el rescate; esto llevó a los analistas de seguridad a especular que el ataque no tenía como objetivo generar ganancias ilícitas, sino simplemente causar interrupciones. ^{[ 119 ] [ 120 ]}

El 24 de octubre de 2017, algunos usuarios en Rusia y Ucrania reportaron un nuevo ataque de ransomware, llamado "Bad Rabbit", que sigue un patrón similar a WannaCry y Petya al cifrar las tablas de archivos del usuario y luego exigir un pago en Bitcoin para descifrarlas. ESET creía que el ransomware se había distribuido a través de una actualización falsa del software Adobe Flash . ^{[ 121 ]} Entre las agencias afectadas por el ransomware se encontraban: Interfax , el Aeropuerto Internacional de Odesa , el Metro de Kiev y el Ministerio de Infraestructura de Ucrania. ^{[ 122 ]} Dado que utilizó estructuras de red corporativas para propagarse, el ransomware también se descubrió en otros países, incluidos Turquía, Alemania, Polonia, Japón, Corea del Sur y Estados Unidos. ^{[ 123 ]} Los expertos creían que el ataque de ransomware estaba vinculado al ataque de Petya en Ucrania (especialmente porque el código de Bad Rabbit tiene muchos elementos superpuestos y análogos al código de Petya/NotPetya, ^{[ 124 ]} agregando a CrowdStrike Bad Rabbit y la biblioteca de vínculos dinámicos (DLL) de NotPetya comparten el 67 por ciento del mismo código ^{[ 125 ]} ) aunque la única identidad de los culpables son los nombres de personajes de la serie Juego de Tronos incrustados en el código. ^{[ 123 ]}

Los expertos en seguridad descubrieron que el ransomware no utilizó la vulnerabilidad EternalBlue para propagarse, y el 24 de octubre de 2017 se encontró un método sencillo para infectar una máquina no afectada que ejecutaba versiones antiguas de Windows. ^{[ 126 ] [ 127 ]} Además, los sitios que se habían utilizado para propagar la actualización falsa de Flash se desconectaron o eliminaron los archivos problemáticos a los pocos días de su descubrimiento, acabando así con la propagación de Bad Rabbit. ^{[ 123 ]}

En 2016, surgió una nueva variante de ransomware que atacaba servidores JBoss . ^{[ 128 ]} Esta variante, denominada " SamSam ", eludía el proceso de phishing o descargas ilícitas y, en cambio, explotaba vulnerabilidades en servidores débiles. ^{[ 129 ]} El malware utiliza un ataque de fuerza bruta de Protocolo de Escritorio Remoto para adivinar contraseñas débiles hasta que una se descifra. El virus ha estado detrás de ataques contra objetivos gubernamentales y de salud, con ataques notables contra la ciudad de Farmington, Nuevo México , el Departamento de Transporte de Colorado , el condado de Davidson, Carolina del Norte , y, más recientemente, un ataque de ransomware contra la infraestructura de Atlanta . ^{[ 129 ]}

Mohammad Mehdi Shah Mansouri (nacido en Qom , Irán, en 1991) y Faramarz Shahi Savandi (nacido en Shiraz , Irán, en 1984) son buscados por el FBI por presuntamente lanzar el ransomware SamSam. ^{[ 130 ]} Se alega que ambos obtuvieron 6 millones de dólares mediante extorsión y causaron más de 30 millones de dólares en daños utilizando el malware. ^{[ 131 ]}

El 7 de mayo de 2021, se produjo un ciberataque contra el oleoducto Colonial Pipeline de Estados Unidos. El FBI identificó a DarkSide como el responsable del ataque de ransomware contra Colonial Pipeline , perpetrado mediante código malicioso , que provocó el cierre voluntario del principal oleoducto que suministra el 45% del combustible a la costa este de Estados Unidos . El ataque fue descrito como el peor ciberataque hasta la fecha contra la infraestructura crítica estadounidense . DarkSide extorsionó con éxito a Colonial Pipeline, exigiendo aproximadamente 75 Bitcoin (casi 5 millones de dólares). Las autoridades estadounidenses investigan si el ataque fue puramente criminal o si contó con la participación del gobierno ruso u otro Estado patrocinador. Tras el ataque, DarkSide publicó un comunicado en el que afirmaba: «Somos apolíticos, no participamos en la geopolítica ... Nuestro objetivo es ganar dinero, no crear problemas para la sociedad».

En mayo de 2021, el FBI y la Agencia de Seguridad de Infraestructuras y Ciberseguridad (CISA, por sus siglas en inglés) emitieron una alerta conjunta instando a los propietarios y operadores de infraestructuras críticas a tomar ciertas medidas para reducir su vulnerabilidad al ransomware DarkSide y al ransomware en general.

Syskey es una utilidad que se incluía en los sistemas operativos basados ​​en Windows NT para cifrar la base de datos de cuentas de usuario , opcionalmente con una contraseña. En ocasiones, la herramienta se ha utilizado eficazmente como ransomware en estafas de soporte técnico , donde una persona con acceso remoto al equipo puede usarla para bloquear el acceso del usuario a su computadora con una contraseña conocida solo por ella. ^{[ 132 ]} Syskey se eliminó de versiones posteriores de Windows 10 y Windows Server en 2017, debido a que estaba obsoleto y "se sabía que los hackers lo usaban como parte de estafas de ransomware". ^{[ 133 ] [ 134 ]}

El ransomware como servicio (RaaS) se convirtió en un método notable después de que el grupo REvil, con sede en Rusia ^{[ 135 ]} o de habla rusa ^{[ 136 ],} llevara a cabo operaciones contra varios objetivos, incluyendo a JBS SA , con sede en Brasil, en mayo de 2021, y a Kaseya Limited, con sede en Estados Unidos , en julio de 2021. ^{[ 137 ]} Después de una llamada telefónica el 9 de julio de 2021 entre el presidente de Estados Unidos, Joe Biden , y el presidente ruso , Vladimir Putin , Biden dijo a la prensa: "Le dejé muy claro que Estados Unidos espera que cuando una operación de ransomware provenga de su territorio, aunque no esté patrocinada por el Estado, actúen si les proporcionamos suficiente información para que puedan actuar sobre quién es el responsable". Biden agregó más tarde que Estados Unidos desactivaría los servidores del grupo si Putin no lo hacía. ^{[ 138 ] [ 139 ]} Cuatro días después, los sitios web y otra infraestructura de REvil desaparecieron de internet. ^{[ 140 ]}

El sector sanitario ha sido objeto de ataques de ransomware de forma desproporcionada, lo que ha impulsado medidas regulatorias destinadas a reforzar los requisitos para las organizaciones que manejan datos confidenciales de pacientes. En Estados Unidos, el ciberataque Change Healthcare de 2024 interrumpió el procesamiento de pagos sanitarios en todo el país y afectó a aproximadamente 100 millones de personas, poniendo de manifiesto las vulnerabilidades de la infraestructura sanitaria. ^{[ 157 ]}

Varios sistemas de archivos guardan instantáneas de los datos que contienen, las cuales pueden utilizarse para recuperar el contenido de los archivos de un momento anterior al ataque de ransomware, en caso de que este no los desactive.

• En Windows, la función de instantáneas de volumen (VSS) se utiliza a menudo para almacenar copias de seguridad de los datos; el ransomware suele atacar estas instantáneas para impedir la recuperación, por lo que a menudo es recomendable deshabilitar el acceso del usuario a la herramienta VSSadmin.exe para reducir el riesgo de que el ransomware pueda deshabilitar o eliminar copias anteriores.
• En Windows 10, los usuarios pueden agregar directorios o archivos específicos al Acceso controlado a carpetas en Windows Defender para protegerlos del ransomware. ^{[ 158 ]} Se recomienda agregar copias de seguridad y otros directorios importantes al Acceso controlado a carpetas.
• A menos que el malware obtenga acceso de administrador al sistema host ZFS mediante un ataque programado para emitir comandos administrativos de ZFS, los servidores de archivos que ejecutan ZFS son en general inmunes al ransomware, ya que ZFS es capaz de crear instantáneas incluso de un sistema de archivos grande varias veces por hora, y estas instantáneas son inmutables (solo lectura) y se pueden revertir o recuperar archivos fácilmente en caso de corrupción de datos. ^{[ 159 ]} En general, solo un administrador puede eliminar (pero no modificar) las instantáneas.

Hay varias herramientas destinadas específicamente a descifrar archivos bloqueados por ransomware, aunque la recuperación exitosa puede no ser posible. ^{[ 2 ] [ 160 ]} Si se usa la misma clave de cifrado para todos los archivos, las herramientas de descifrado usan archivos para los que hay copias de seguridad no corruptas y copias cifradas (un ataque de texto plano conocido en la jerga del criptoanálisis ; este ataque solo funciona cuando el cifrado que usó el atacante era débil desde el principio, siendo vulnerable a un ataque de texto plano conocido); la recuperación de la clave, si es posible, puede tomar varios días. ^{[ 161 ]} Las herramientas gratuitas de descifrado de ransomware pueden ayudar a descifrar archivos cifrados por las siguientes formas de ransomware: AES_NI, Alcatraz Locker, Apocalypse, BadBlock, Bart, BTCWare, Crypt888, CryptoMix, CrySiS, EncrypTile, FindZip, Globe, Hidden Tear , Jigsaw, LambdaLocker, Legion, NoobCrypt, Stampado, SZFLocker, TeslaCrypt , XData. ^{[ 162 ]} El cifrado de ransomware que ha sido descifrado por investigadores de seguridad generalmente se abandona con fines criminales; por lo tanto, en la práctica, la mayoría de los ataques no se pueden revertir rompiendo el cifrado. ^{[ 163 ]}

El proyecto No More Ransom es una iniciativa de la Unidad Nacional de Delitos de Alta Tecnología de la policía de los Países Bajos , el Centro Europeo de Delitos Cibernéticos de Europol , Kaspersky Lab y McAfee para ayudar a las víctimas de ransomware a recuperar sus datos sin pagar un rescate. ^{[ 164 ]} Ofrecen una herramienta gratuita, CryptoSheriff, para analizar archivos cifrados y buscar herramientas de descifrado. ^{[ 165 ]}

Además, es posible que existan copias antiguas de archivos en el disco que hayan sido eliminados previamente. En algunos casos, estas versiones eliminadas aún pueden recuperarse utilizando software diseñado para tal fin .

Una investigación de ProPublica de 2019 reveló que las empresas de ciberseguridad Proven Data Recovery y Monstercloud, que anunciaban servicios de descifrado sin rescate, generalmente pagaban el rescate y cobraban a la víctima un precio más alto. ^{[ 163 ]} Los hackers de SamSam trataban con Proven Data con tanta frecuencia que recomendaban la empresa a las víctimas que tenían dificultades técnicas para realizar el pago. ^{[ 163 ]} Otras empresas, como Coveware, eran más transparentes al ofrecer el servicio de pagar a los hackers y parchear los sistemas inseguros. ^{[ 163 ]} Muchas víctimas estadounidenses descubrieron que el monto del rescate era demasiado bajo para cumplir con el umbral del Departamento de Justicia de los Estados Unidos para la intervención federal, pero que la policía local carecía de las capacidades técnicas para ayudar y, a menudo, también eran víctimas. ^{[ 163 ]}

Un estudiante británico, Zain Qaiser, de Barking, Londres, fue encarcelado durante más de seis años en el Tribunal de la Corona de Kingston upon Thames por sus ataques de ransomware en 2019. ^{[ 166 ]} Se dice que fue "el ciberdelincuente más prolífico en ser sentenciado en el Reino Unido". Comenzó a operar a los 17 años. Contactó al controlador ruso de uno de los ataques más poderosos, que se cree que fue la banda de malware Lurk, y acordó un reparto de sus ganancias. También contactó a ciberdelincuentes de China y Estados Unidos para transferir el dinero. ^{[ 166 ]} Durante aproximadamente un año y medio, se hizo pasar por un proveedor legítimo de promociones en línea de publicidad de libros en algunos de los sitios web de pornografía legal más visitados del mundo. Cada uno de los anuncios que se promocionaban en los sitios web contenía la cepa de ransomware Reveton del malicioso Angler Exploit Kit (AEK) ^{[ 167 ]} que tomaba el control de la máquina. Los investigadores descubrieron ganancias por aproximadamente 700.000 libras esterlinas, aunque su red podría haber ganado más de 4 millones. Es posible que ocultara parte del dinero mediante criptomonedas. El ransomware instruía a las víctimas para que compraran cupones GreenDot MoneyPak e introdujeran el código en el panel Reveton que aparecía en la pantalla. Este dinero ingresaba en una cuenta MoneyPak gestionada por Qaiser, quien luego depositaba los pagos de los cupones en la tarjeta de débito de su cómplice estadounidense, Raymond Odigie Uadiale. Uadiale fue estudiante de la Universidad Internacional de Florida entre 2012 y 2013 y posteriormente trabajó para Microsoft. Uadiale convertía el dinero en la criptomoneda Liberty Reserve y lo depositaba en la cuenta Liberty Reserve de Qaiser. ^{[ 168 ]}

Un avance, en este caso, ocurrió en mayo de 2013 cuando las autoridades de varios países confiscaron los servidores de Liberty Reserve, obteniendo acceso a todas sus transacciones e historial de cuentas. Qaiser estaba ejecutando máquinas virtuales encriptadas en su Macbook Pro con sistemas operativos Mac y Windows. ^{[ 169 ]} No pudo ser juzgado antes porque fue internado (internado involuntariamente) bajo la Ley de Salud Mental del Reino Unido de 1983 en el Hospital Goodmayes , donde se descubrió que estaba usando el Wi-Fi del hospital para acceder a sus sitios publicitarios. Su abogado afirmó que Qaiser había sufrido una enfermedad mental. ^{[ 166 ]} La policía rusa arrestó a 50 miembros de la banda de malware Lurk en junio de 2016. ^{[ 170 ]} Uadiale, un ciudadano estadounidense naturalizado de ascendencia nigeriana, fue encarcelado durante 18 meses. ^{[ 171 ]}