Ransomware has a new target. Is your backup ready?
BleepingComputer · 7 oct, 16:01
Los grupos de ransomware han intensificado sus ataques contra infraestructuras de copia de seguridad, borrando puntos de recuperación antes de cifrar los sistemas principales para presionar a las víctimas a pagar el rescate. Casos como ALPHV/BlackCat contra Change Healthcare (rescate de 22 millones de dólares) y Gunra demuestran que los atacantes utilizan credenciales comprometidas para acceder a todas las copias de seguridad, incluso en ubicaciones separadas si comparten la misma clave de administración. Las organizaciones deben aislar las copias de seguridad de la red de producción, limitar el acceso administrativo y implementar almacenamiento inmutable para que los atacantes no puedan destruir la vía de recuperación.
Los ataques contra backups siguen patrones predecibles que exponen debilidades organizacionales comunes. El grupo BlackMatter utilizaba credenciales de administrador comprometidas para localizar y borrar todos los dispositivos de almacenamiento de copias de seguridad antes de cifrar el resto de la red. Gunra llevó esta táctica más lejos: en un caso confirmado, eliminó copias de seguridad tanto en el centro de datos principal como en el sitio de recuperación ante desastres usando un único conjunto de credenciales robadas.
Las defensas insuficientes se deben a que las copias de seguridad comparten red y credenciales con los sistemas de producción, reciben parches con menor frecuencia y cuentan con monitorización más débil que los entornos de producción. El coste medio de un incidente de ransomware es de 5,08 millones de dólares según IBM, pero sin copias de seguridad accesibles, los atacantes eliminan la palanca que permite a las organizaciones rechazar el pago. Las medidas de protección incluyen almacenamiento inmutable (WORM), aislamiento real de red y credenciales, autenticación multifactor para infraestructura de backups y parcheo con la misma urgencia que los sistemas de producción.
Puntos clave
- ALPHV/BlackCat cifró Change Healthcare tras acceder sin MFA; rescate de 22 millones, costes totales de 1.600 millones
- BlackMatter y Gunra borraban todas las copias de seguridad usando credenciales comprometidas, incluso en sitios de recuperación ante desastres
- Implementa almacenamiento inmutable (object lock) como requisito mínimo
- Aísla la red de backups de producción: no compartir cuentas administrativas ni acceso de red
- Parchea software de backup con la misma urgencia que sistemas de producción