El Ransomware en la Nube: Un Desafío que Evoluciona en 2024
En el dinámico panorama de la ciberseguridad, el ransomware enfocado en la nube sigue transformándose, aprovechando las crecientes migraciones hacia entornos cloud y las configuraciones vulnerables. Aunque las soluciones en la nube suelen ser más seguras debido a su limitada superficie de ataque, los atacantes han desarrollado técnicas especializadas que amenazan estos entornos críticos.
¿Cómo Operan los Ataques de Ransomware en la Nube?
Los ataques en la nube generalmente se centran en servicios de almacenamiento como Amazon S3 o Azure Blob Storage. Estas son las principales tácticas utilizadas:
- Uso de configuraciones permisivas: Los atacantes explotan permisos incorrectos en buckets de almacenamiento, accediendo con credenciales válidas o vulnerabilidades de configuración. Luego copian y cifran los archivos o los eliminan, dejando al propietario sin acceso.
- Cifrado de volúmenes en la nube: Técnicas más avanzadas apuntan a servicios como Amazon Elastic Block Store (EBS), donde los atacantes crean claves de cifrado personalizadas para cifrar y eliminar volúmenes críticos. Aunque los proveedores como AWS implementan ventanas de recuperación de 7 días, los atacantes aprovechan el tiempo antes de que los clientes reaccionen.
- Explotación de claves personalizadas: Algunos actores de amenazas utilizan claves gestionadas por el cliente (CMK) y almacenes externos (XKS) para cifrar datos, complicando la recuperación, ya que las claves de descifrado no están disponibles para el proveedor.
Uso de Servicios en la Nube para Exfiltración de Datos
Además de atacar directamente los servicios en la nube, los ciberdelincuentes los utilizan como herramientas de exfiltración. Por ejemplo:
- Grupos como BianLian y Rhysida emplean Azure Storage Explorer para extraer datos en lugar de herramientas tradicionales como MEGAsync.
- Otros actores han integrado funciones de exfiltración a través de scripts de Python como RansomES, diseñados para robar y cifrar datos locales antes de enviarlos a servicios como Amazon S3 o FTP.
Ataques a Aplicaciones Web Basadas en la Nube
Las aplicaciones web en la nube, debido a su diseño más minimalista, también son un objetivo. Herramientas como el script Pandora o los backdoors del grupo IndoSec explotan vulnerabilidades en servidores PHP para cifrar archivos, a menudo utilizando técnicas innovadoras como APIs remotas para realizar el cifrado.
Un caso notable fue el de la campaña de ransomware del grupo Cl0p en 2023, que aprovechó vulnerabilidades en aplicaciones de transferencia de archivos administradas por Azure Blob Storage, mostrando cómo los atacantes combinan infraestructura local y cloud en sus estrategias.
Cómo Defenderse Contra el Ransomware en la Nube
- Gestión de Configuración:
- Utilizar soluciones de Gestión de Postura de Seguridad en la Nube (CSPM) para detectar configuraciones incorrectas.
- Evitar permisos excesivos en buckets de almacenamiento y restringir el acceso a APIs críticas como kms:CreateCustomKeyStore.
- Gestión de Identidad y Acceso:
- Implementar autenticación multifactor (MFA) en todas las cuentas administrativas.
- Supervisar el acceso a través de políticas de control de servicio (SCP).
- Protección en Tiempo de Ejecución:
- Desplegar soluciones de protección que monitoreen actividades sospechosas en tiempo real en cargas de trabajo en la nube.
- Preparación y Resiliencia:
- Establecer planes de recuperación y pruebas regulares para garantizar la continuidad del negocio.
- Aprovechar las ventanas de recuperación ofrecidas por los proveedores de nube para revertir el impacto de un ataque.
El ransomware en la nube es una amenaza que no solo se está sofisticando, sino que también muestra cómo los ciberdelincuentes adaptan sus estrategias a los entornos digitales modernos. La clave está en adoptar prácticas de seguridad proactivas, combinando herramientas avanzadas con una gestión rigurosa de los entornos cloud.
Fuente: https://www.sentinelone.com/blog/the-state-of-cloud-ransomware-in-2024/
