Ransomware NailaoLocker

El escenario en constante evolución de las amenazas cibernéticas hace que sea esencial que las personas y las instituciones tomen medidas proactivas para proteger sus activos digitales. Entre los muchos tipos de software dañino que circulan en línea, el ransomware sigue siendo uno de los más disruptivos. El ransomware NailaoLocker, una incorporación relativamente nueva a la creciente lista de amenazas basadas en cifrado, ha sido observado atacando a organizaciones, particularmente en Europa. Comprender cómo opera y cómo defenderse de él es fundamental para minimizar los posibles daños.

Cómo funciona el ransomware NailaoLocker

El ransomware NailaoLocker está escrito en el lenguaje de programación C++ y está diseñado para cifrar archivos en dispositivos infectados. Una vez activo, bloquea sistemáticamente los archivos y añade la extensión ".locked" a sus nombres. Por ejemplo, un documento llamado "report.doc" se renombraría como "report.doc.locked", lo que lo haría inaccesible para la víctima. Después de completar el proceso de cifrado, el ransomware deja una nota de rescate que contiene instrucciones sobre cómo recuperar el acceso a los archivos afectados.

Se informa a las víctimas de que sus datos solo se recuperarán si pagan un rescate en bitcoins. La nota advierte que, si no se cumplen las exigencias de los atacantes en el plazo de una semana, los archivos se eliminarán de forma permanente. Además, advierte de que no se deben intentar descifrar o modificar manualmente los archivos bloqueados, ya que dichas acciones podrían provocar una mayor pérdida de datos.

Enlaces a actividades cibercriminales anteriores

NailaoLocker ha sido observado en ataques que guardan similitudes con los orquestados por conocidos actores de amenazas chinos. Aunque no se ha hecho ninguna atribución directa, los investigadores especulan que este ransomware podría ser operado por un grupo con vínculos con China. Curiosamente, mientras que la mayoría de las campañas de ransomware modernas emplean tácticas de doble extorsión (robar datos confidenciales antes de cifrarlos), NailaoLocker no menciona explícitamente la exfiltración de información en su mensaje de rescate. Sin embargo, la evidencia sugiere que intenta recopilar datos del sistema, posiblemente con fines de recopilación de inteligencia.

Las limitaciones técnicas de NailaoLocker

A pesar de ser una amenaza disruptiva, NailaoLocker carece de algunas de las funciones sofisticadas que se encuentran en las cepas de ransomware más avanzadas. No emplea técnicas antidepuración ni intenta deshabilitar procesos esenciales del sistema antes de iniciar el cifrado. Esta limitación genera inquietudes de que el ransomware podría dejar inoperativo un sistema infectado sin darse cuenta al cifrar archivos críticos necesarios para su funcionamiento.

Cómo NailaoLocker infecta los sistemas

NailaoLocker ha sido vinculado a ataques que explotan vulnerabilidades en el software Check Point VPN, específicamente la falla identificada como 'CVE-2024-24919'. Los investigadores descubrieron que el ransomware se implementó en sistemas comprometidos a través de otras herramientas maliciosas, como el malware ShadowPad y el troyano de acceso remoto (RAT) PlugX. Estas amenazas proporcionaron a los atacantes acceso remoto a las máquinas objetivo, lo que les permitió ejecutar NailaoLocker y comenzar el proceso de cifrado.

Sin embargo, el ransomware suele propagarse mediante múltiples tácticas de distribución. Los vectores de infección más comunes incluyen:

• Archivos adjuntos y enlaces fraudulentos en mensajes de phishing
• Descargas automáticas desde sitios web comprometidos o engañosos
• Explotación de vulnerabilidades en software e infraestructura de red obsoletos
• Actualizaciones de software falsas y programas pirateados
• Aplicaciones troyanizadas que parecen legítimas pero contienen amenazas ocultas
• Acceso remoto no autorizado habilitado a través de contraseñas débiles o fugas de credenciales

Por qué es arriesgado pagar el rescate

Para las víctimas de ataques de ransomware, recuperar archivos cifrados suele ser imposible sin la clave de descifrado que poseen los atacantes. Lamentablemente, pagar el rescate exigido no garantiza que se les proporcione la herramienta de descifrado prometida. Los ciberdelincuentes no tienen obligación de cumplir su parte del trato y algunas víctimas han tenido que pagar grandes sumas de dinero para recibir un software de descifrado incompleto o que no funciona. Además, los pagos de rescates alientan la continuación de esta actividad ilegal, lo que financia más delitos cibernéticos.

Mejores prácticas de seguridad para defenderse del ransomware

Para prevenir las infecciones de ransomware se necesita una estrategia de seguridad de varias capas que incluya tanto defensas técnicas como concienciación del usuario. Si se implementan las siguientes prácticas recomendadas, el riesgo de ser víctima de amenazas como NailaoLocker se reducirá significativamente:

• Copias de seguridad de datos periódicas : mantenga varias copias de los archivos esenciales en diferentes ubicaciones, incluidas copias de seguridad sin conexión almacenadas en unidades externas y almacenamiento en la nube con capacidades de control de versiones. Esto garantiza que, incluso si los archivos están cifrados, se puedan recuperar sin pagar un rescate.

El ransomware NailaoLocker pone de relieve la continua evolución de las amenazas cibernéticas. Ataca a las organizaciones aprovechando las vulnerabilidades del software y las configuraciones de seguridad débiles. Si bien este ransomware en particular puede no ser la cepa más avanzada, no se debe subestimar su capacidad para cifrar archivos e interrumpir las operaciones. Implementar defensas de ciberseguridad sólidas, mantener copias de seguridad adecuadas de los datos y mantenerse informado sobre las amenazas emergentes son las mejores formas de prevenir los ataques de ransomware.