Después de un hackeo o ransomware: recuperarse sin volver a infectarse

Módulo 8: Cuando algo sale mal · Tiempo de lectura: 11 minutos

Objetivo de la lección: Después de esta lección podrá recorrer la fase de recuperación tras un hackeo o ransomware: contener, averiguar cómo ocurrió, restaurar de forma limpia, presentar denuncia, comunicar y aprender de ello.

Conceptos clave: contención, aislamiento, acceso inicial, persistencia, investigación forense, reinstalación limpia, orden de recuperación, denuncia, No More Ransom, rescate, ciberseguro, evaluación

El mayor error: "restaurarlo todo" demasiado rápido

Un desarrollador web recibe el martes un aviso: el sitio WordPress de un cliente redirige a los visitantes a una tienda falsa. Restaura la copia de seguridad de la semana anterior, el sitio vuelve a funcionar, asunto resuelto. El jueves vuelve a ocurrir. El atacante había entrado a través de un plugin desactualizado y había dejado una cuenta de administrador adicional y un archivo oculto. La copia de seguridad de la semana anterior ya los contenía. Restaurar sin saber cómo entró alguien también vuelve a dejar la puerta abierta.

Lo mismo ocurre con el ransomware en una red de oficina. Los delincuentes suelen llevar ya días o semanas dentro antes de cifrar los datos. En ese tiempo crean cuentas adicionales, instalan software de acceso remoto y buscan las copias de seguridad. Quien solo restaura los archivos cifrados mantiene al atacante dentro.

Por eso la recuperación se realiza en cinco pasos, en este orden.

Paso 1: contener

Contener significa: asegurarse de que la situación no empeore. Los primeros minutos están recogidos en su tarjeta de incidentes (lección 8.1).

• Aísle los dispositivos afectados: desconecte el cable de red, apague el wifi y los datos móviles, o active el modo avión. INCIBE aconseja no apagar los sistemas afectados sino desconectarlos; el modo de suspensión sí está permitido. Así se conservan los rastros en la memoria y se detiene la propagación.
• Desconecte discos externos y soportes de copia de seguridad y no los conecte a un dispositivo que pueda estar infectado.
• Si no puede aislar un sistema, desconecte la unidad de red. Si toda la red se ha visto afectada, aíslela de internet (por ejemplo, cerrando la conexión a internet o el cortafuegos).
• Cambie las contraseñas desde un dispositivo limpio, empezando por las más importantes: cuentas de administrador, correo, el gestor de contraseñas, el banco. Cierre todas las sesiones en todas partes. No lo haga desde un ordenador que pueda contener un infostealer o un registrador de teclas (lección 1.4), porque entonces le estaría comunicando la nueva contraseña directamente al atacante.
• Conserve las pruebas: fotografía del mensaje de rescate, los correos, las solicitudes de pago, las direcciones de criptomonedas, las horas. No tire nada.

En el caso de un sitio web hackeado, contener significa: poner el sitio temporalmente fuera de línea o en modo mantenimiento, cambiar todas las contraseñas (administración, FTP, base de datos, alojamiento) y avisar a su proveedor de alojamiento.

Paso 2: averiguar qué ocurrió

Quiere saber tres cosas:

1. ¿Cómo entraron? El acceso inicial: un correo de phishing, una contraseña robada sin 2FA, un servidor VPN o un plugin desactualizado, una conexión abierta para la gestión remota.
2. ¿Qué dejaron atrás? La persistencia: cuentas adicionales, tareas programadas, software de gestión remota, reglas de reenvío en los buzones de correo, archivos adicionales en el servidor web.
3. ¿Qué se llevaron? En el ransomware moderno, los delincuentes suelen copiar primero los datos y amenazar con publicarlos (doble extorsión, lección 1.3). En ese caso también tiene una filtración de datos (lección 8.2).

Para una pequeña empresa, esto rara vez se puede hacer por cuenta propia. Recurra a su proveedor de TI o a una empresa especializada en respuesta a incidentes. Muchos ciberseguros tienen un número fijo para un equipo de este tipo. Pregunte a una empresa externa qué experiencia tiene con su tipo de incidente y acuerde de antemano qué abarca la investigación.

En el caso de un sitio web, ayudan el registro de accesos y el registro de errores del servidor web, un análisis de malware de los archivos y una comparación con una copia limpia del CMS y los plugins.

Paso 3: restaurar de forma limpia

Solo cuando sepa cómo entró el atacante y haya cerrado esa vía, empiece con la recuperación.

Recupérese en el orden que haya fijado en su plan (lecciones 8.1 y 6.3): primero lo que la empresa necesita para seguir funcionando. Mantenga la parte ya recuperada separada de lo que aún no se ha revisado.

Aquí es donde se comprueba si su copia de seguridad es fiable. Una copia de seguridad que estaba conectada a la red suele quedar también cifrada o borrada. Una copia de seguridad sin conexión o inmutable (lección 6.2) y un procedimiento de restauración probado (lección 6.3) marcan la diferencia entre días y semanas de parada.

Paso 4: denuncia, notificación y rescate

Denuncia. Presente denuncia ante la Policía Nacional (https://www.policia.es/) o la Guardia Civil (https://www.guardiacivil.es/). Lleve consigo las pruebas (mensaje de rescate, correos, datos de pago). La denuncia es necesaria para la investigación, ayuda a la policía a establecer conexiones, y las aseguradoras suelen solicitarla.

No More Ransom. En https://www.nomoreransom.org (una iniciativa de, entre otros, Europol y la policía neerlandesa) puede hacer identificar un archivo cifrado o el mensaje de rescate. Para algunas familias de ransomware existe un descifrador gratuito. Para la mayoría de las variantes nuevas no, pero comprobarlo cuesta poco tiempo.

Notificación. Compruebe qué notificaciones son necesarias: una filtración de datos ante la AEPD en un plazo de 72 horas (lección 8.2, notificación a la AEPD a través de su sede electrónica), un incidente significativo si su organización está sujeta a la transposición española de NIS2 (lección 9.1), y lo que haya acordado con sus clientes o contratantes.

Rescate. INCIBE aconseja no pagar el rescate; la recomendación habitual es "mejor no pagar". Las razones:

• No tiene garantía de recibir una clave que funcione, ni de que los datos no se publiquen de todos modos.
• Los datos que recupere pueden estar dañados o alterados.
• Quien paga queda identificado como alguien dispuesto a pagar. Algunas víctimas vuelven a ser extorsionadas o atacadas de nuevo más adelante.
• Está financiando el próximo ataque.

Si aun así se plantea pagar, o ya ha pagado, notifíquelo siempre a la policía: los datos del pago pueden ayudar a la investigación. Esta decisión corresponde a la persona designada como responsable en su plan de incidentes, no a quien vea el mensaje en primer lugar.

Ciberseguro. Un ciberseguro puede cubrir los costes de investigación, recuperación y daños al negocio, y a menudo da acceso a un equipo de respuesta a incidentes. Lea las condiciones: muchas pólizas exigen medidas básicas como la 2FA y las copias de seguridad, y piden que se notifique con rapidez. INCIBE señaló, basándose en el análisis de numerosos incidentes de ransomware en pymes, que los atacantes, tras entrar, buscan archivos con nombres como "seguro" o "póliza" para reforzar su posición negociadora. Compruebe, por tanto, con qué facilidad podría un intruso encontrar su póliza, y evite guardarla en una unidad compartida. Un seguro no sustituye a las medidas de seguridad: paga los daños, pero no los evita.

Paso 5: comunicar y aprender

Deje que la persona designada como comunicadora en su plan transmita un mensaje claro y único al personal, los clientes y los proveedores: qué ha ocurrido, qué significa para ellos, qué deben hacer (por ejemplo: prestar atención a correos que parezcan venir de nosotros) y cuándo recibirán más noticias. Ser honesto y actuar a tiempo funciona mejor que guardar silencio hasta que se filtre.

Planifique una evaluación en pocas semanas: qué salió bien, qué salió mal, qué va a cambiar. Casi siempre surgen los mismos puntos: faltaba la 2FA en algún sitio, un sistema no estaba actualizado, la copia de seguridad no se había probado, o nadie sabía quién podía decidir. Incorpore esos puntos a su plan de la lección 9.3, con un responsable y una fecha.

En la práctica: así es como se ve

En el caso de un sitio web hackeado en un paquete de alojamiento, suele trabajarse con las herramientas de su proveedor de alojamiento. En WebOké, por ejemplo, se dispone de un análisis de malware (Imunify360), los archivos de registro en DirectAdmin, la restauración de una copia de seguridad desde WebOké Backups y un procedimiento paso a paso en el manual de DirectAdmin. En otros proveedores de alojamiento existen herramientas similares; pregunte a su proveedor qué está disponible y hasta qué fecha llegan las copias de seguridad, antes de necesitarlo.

Resumen

• Recuperación en cinco pasos: contener, investigar, restaurar de forma limpia, denunciar y notificar, comunicar y aprender.
• Aísle, no apague, y cambie las contraseñas solo desde un dispositivo limpio.
• No restaure nada antes de saber cómo entró el atacante; de lo contrario, también volverá a dejar la puerta abierta.
• Reinstale los dispositivos infectados y recupere desde una copia de seguridad anterior a la intrusión.
• Presente denuncia, consulte No More Ransom y, a ser posible, no pague el rescate.

Cuestionario

Ejercicio

Ejercicio A8.3: Ponga el proceso de recuperación en el orden correcto. Recibirá un caso y diez pasos sueltos (por ejemplo, "restaurar copia de seguridad", "desconectar el cable de red", "averiguar cómo entró el atacante", "presentar denuncia"). Póngalos en el orden correcto. El programa comprueba si se cumplen las reglas fijas de orden (por ejemplo: aislar antes de restaurar, determinar la causa antes de restaurar, reinstalar antes de restaurar los datos) y explica el motivo de cada error.

Para saber más

Los pasos de los artículos de WebOké se aplican al entorno de WebOké; en otros proveedores el funcionamiento es similar.

• Manual de DirectAdmin 18.2: Mi sitio web ha sido hackeado: plan de acción
• ¡Ayuda! Mi web ha sido hackeada. ¿Cómo puedo solucionarlo o evitarlo?
• Escáner Imunify360
• WebOké Backups: ver, restaurar o descargar una copia de seguridad
• INCIBE, recursos para empresas: https://www.incibe.es/empresas
• Línea de Ayuda en Ciberseguridad de INCIBE (017): https://www.incibe.es/linea-de-ayuda-en-ciberseguridad
• No More Ransom: https://www.nomoreransom.org/es/index.html