Hace algunos días nuestros ingenieros fueron contactados por uno de nuestros clientes de red LAN y Wireless en la ciudad de Pasto. El cliente identificó fácilmente que en dos de sus computadores no se podía acceder a los datos locales, y encontró un archivo en bloc de notas con información en inglés que lo invitaba a conectarse a una VPN de TOR (acceso a la deep web) para hacer el pago de los bitcoins requeridos para descifrar la información. Adicionalmente, le ofrecían una prueba de descifrado de una porción de sus datos.
Los ingenieros de Netmask, certificados en Cisco Security, iniciaron un análisis con los firewall y Access Point de la infraestructura del cliente y se identificó que el servidor de archivos era el puente para el ransomware de la red, con la buena suerte de que los datos de estos servidores aún no habían sido cifrados —el ataque inició por los datos de los clientes—. Por medio del firewall se bloquearon las IP destino a las cuales se comunicaba, pero, con un comportamiento normal, este cambia las IP. La decisión rápida fue desplegar un demo de Cisco Umbrella: con solo cambiar los DNS en el DHCP o en el Directorio Activo de la clínica, un procedimiento que tarda menos de 10 minutos, logramos frenar mediante DNS el ataque y restaurar los 2 computadores, evitando la propagación del ransomware.
Es por esto que se identifica la necesidad de una capa adicional de protección a nivel de DNS. Podemos recordar el ataque mundial de ransomware llamado WannaCry, el cual, después de infectar a millones de empresas, fue frenado por un usuario en su casa comprando el dominio DNS que usaba el ataque para comunicarse con los servidores. Adicionalmente, vale la pena tener en mente que aproximadamente el 91% de las empresas ha experimentado algún tipo de ataque en los últimos 24 meses; y, por experiencia, el otro 9% también lo tuvo, pero no lo identificó.
Sebastián Castrillón Ospina