Ransomware que paraliza empresas sin cifrar archivos
Kaspersky documentó una variante del ransomware Payload que bloqueó equipos de una empresa sin cifrar archivos: los atacantes entraron con cuentas de administrador y usaron las políticas de grupo de Active Directory para mostrar notas de rescate y deshabilitar cuentas. Un respaldo no basta si las cuentas con más permisos y el acceso remoto no están bien controlados.
Qué encontró Kaspersky
Su equipo global de respuesta a emergencias (GERT) analizó el caso en una empresa manufacturera. Los atacantes obtuvieron derechos de administrador, probablemente por phishing, y entraron por los accesos remotos y VPN con credenciales privilegiadas, por lo que parecían personal de TI legítimo. Crearon una política de grupo llamada "PAYLOAD" que deshabilitó cuentas de administrador locales, mostró notas de rescate y cambió el fondo de pantalla. Además sustrajeron datos corporativos y los publicaron en la dark web.
Por qué importa
El ataque no necesitó un virus que cifrara archivos; bastó con tener credenciales con permisos amplios. Las empresas medianas con pocas personas administrando la red suelen concentrar esos permisos.
Qué recomienda Kaspersky
- Vigilar cada creación o cambio de políticas de grupo.
- Exigir autenticación multifactor resistente al phishing (por ejemplo, llaves físicas) en sistemas de administración y VPN.
- Limitar los permisos para que ningún administrador tenga "llaves maestras" de todos los equipos.
Dónde entra K-ONE
Ningún equipo reemplaza el control de cuentas de administrador. K-ONE integra en un solo equipo conectividad, respaldo automático, firewall y administración de la red, con funcionalidades de seguridad según el plan contratado. Solicita tu diagnóstico inicial gratuito.