Etiqueta: ransomware

Acronis Cyber Protect Cloud, el poder de la integración

Publicado el 1 junio, 20206 noviembre, 2020 por Ricardo V. González Darkin

Acronis Cyber Protect Cloud, integración de protección de datos y ciberseguridad mediante inteligencia artificial. Acronis Cyber Protect Cloud sienta nuevas bases, eliminando la complejidad y poniendo la seguridad en el centro de la solución, garantizando la protección de los clientes y la reducción de costes. Hoy hablaremos de esta excelente solución «All in One» y también de otros 2 nuevos servicios, Acronis Notary y Acronis File Sync & Share que complementan y amplían las funcionalidades de nuestras Soluciones como Proveedor de Servicios Gestionados de Seguridad con Acronis Cyber Cloud.

Los 3 pilares de Acronis Cyber Protect Cloud

Acronis Cyber Protect Cloud sienta nuevas bases mediante la integración de protección de datos y ciberseguridad. Esta sinergia elimina la complejidad y pone la seguridad en el centro de sus soluciones, garantizando la protección de nuestros clientes y la reducción de costes.
Con protección antimalware de pila completa y administración global de endpoints, Acronis Cyber Protect Cloud lucha contra los ciberataques avanzados con una exclusiva integración de tecnologías de protección y, al mismo tiempo, simplifica las operaciones de TI diarias, las implementaciones de endpoints, y la administración y generación de informes. Como Proveedores de Servicios de Seguridad – MSSP – podemos proteger fácilmente todos los datos de nuestros clientes frente a las ciberamenazas modernas, sin necesidad de incrementar procedimientos, generamos tranquilidad y seguridad y reducimos la complejas y a veces engorrosas tareas de la Gestión TIC.

Los 3 pilares sobre los que se baja la Ciberprotección de Acronis son:

Funciones de Acronis Cyber Protect Cloud

Casos de Uso de Acronis Cyber Protect Cloud

Integración/puesta en marcha simplificada. Descubriendo todos los dispositivos que precisan protección e instalando de forma remota un solo agente, en lugar de muchos, para antimalware, copia de seguridad, escritorio remoto, parches, etc.
Protección contra malware y ransomware de día cero. Protección antiransomware líder de Acronis Active Protection, basada en inteligencia artificial, que ha sido ampliada con un analizador estático, además de análisis de comportamientos.
Investigaciones de cumplimiento de normativas y procedimientos de informática forense. Ofrecemos servicios a sectores que tengan requisitos de cumplimiento exigentes; Acronis proporciona copias de seguridad basadas en imagen que incluyen datos forenses, como espacio libre, volcados de memoria, etc. También con nuestro exclusivo servicio NOTARY, que incorpora tecnología «Blockchain» y con las que podemos hacerle un seguimiento exhaustivo a cualquier documentación a través de una huella criptográfica que es única y rastreable.
Mejores SLA (Service Level Agreement). Mantenemos los mejores indicadores
de rendimiento clave (KPI) en cuanto a disponibilidad para nuestros clientes, con una ciberprotección proactiva, activa y reactiva.
Recuperación tras ataques de malware. Reducimos el riesgo de reinfección y minimizamos las operaciones de recuperación con análisis antimalware de las copias de seguridad en ubicaciones centralizadas, así como con la posibilidad de instalar los últimos parches y definiciones de malware durante la recuperación.
Protección para todos los archivos clave. Perciba rápidamente qué datos están protegidos; con el mapa de protección de datos de Acronis es muy fácil.
Aplicación de parches centralizada. Protegemos todo el software de clientes (no solo el de Microsoft) e incluimos a todos los clientes con una herramienta multiinquilino.
Eficacia demostrada ante nuestros clientes. Llevamos años protegiendo los recursos IT de nuestros clientes a través de Acronis Cyber Backup Cloud. Usamos y enviamos informes flexibles y detallados.
Protección en tiempo real de documentos importantes. Disponga de protección de datos permanente para guardar inmediatamente todos los cambios realizados en archivos críticos, incluso entre copias de seguridad.
Respuesta automática a amenazas emergentes. Ajustamos el ámbito y la planificación de sus copias de seguridad o análisis antimalware en función de las alertas en tiempo real de los centros de operaciones de ciberprotección de Acronis.
Mínimo de tiempo de inactividad planificada y no planificada. Simplificamos las rutinas de mantenimiento, permitiéndole a nuestros clientes que disfruten de una protección proactiva con comprobaciones del estado de los discos duros, aplicación puntual de los parches y evaluaciones periódicas de vulnerabilidades, además de la protección en tiempo real y mejorada que ofrece Acronis Active Protection.

Acronis Cyber Protect Cloud forma parte de la potente plataforma Acronis Cyber Cloud, que nos permite como Proveedores de Servicios Gestionados IT utilizar una sola solución para prestar a nuestros clientes servicios de copia de seguridad, recuperación ante desastres, almacenamiento seguro en la nube, sincronización y uso compartido de archivos, certificación y firma digital, etc. Además, con Acronis Cyber Protect Cloud ofrecemos servicios gestionados con un medio de implementación sencillo y rápido, integrados dentro de una misma cartera de soluciones con multitud de servicios que ofrecen identificación, protección, detección, respuesta y recuperación para recursos e infraestructuras IT de todas las dimensiones a costes sumamente atractivos.

Acronis Notary. Añada un nivel de confianza a la autenticidad de sus datos

Acronis Notary es el primer producto de copia de seguridad para consumidores cuyo objetivo es usar la tecnología de la cadena de bloques o blockchain para probar que un archivo es auténtico y que no ha cambiado desde que se añadió a la copia de seguridad.

Acronis Notary crea un certificado para cada archivo certificado por notario. Este certificado conecta las funciones del archivo único con el registro permanente en la cadena de bloques. Esto le permite comprobar su autenticidad. Los certificados de Acronis Notary incluyen toda la información necesaria para verificar datos protegidos con el objetivo de que se puedan comprobar de manera independiente. Esta comprobación la puede realizar una persona o usar un equipo, e incluso la puede llevar a cabo un tercero, siempre que tenga acceso a la cadena de bloques.

¿Qué es la tecnología de la cadena de bloques o Blockchain?

Puede que haya escuchado hablar de blockchain en el contexto de la divisa digital llamada «bitcoin». Más allá del revuelo generado por el bitcoin, no es en absoluto la única aplicación útil de la tecnología de la cadena de bloques. Sin embargo, para comprender el resto de aplicaciones, se debe entender la cadena de bloques. Sencillamente, es una base de datos distribuida que conserva una lista, o cadena, de registros de transacciones de datos que crece sin cesar. Cada parte de su sistema descentralizado cuenta con una copia de la cadena de registros; no existe ninguna copia «oficial». Así, la información está protegida para que no se pueda manipular ni alterar.

¿Cómo se puede usar Acronis Notary y por qué esto es tan importante?

Cuando hace una copia de seguridad de sus datos en discos locales o en la nube, espera correctamente que la solución de copia de seguridad actúe de forma fiel con esos archivos. La tecnología de Acronis Notary puede añadir un nivel de confianza a la autenticidad de sus datos. En el futuro, puede que quiera simplemente asegurarse de que un archivo no ha cambiado. O bien, puede que tenga, o alguien le ofrezca, un archivo y necesite validar si es auténtico, además de si no es diferente del de la copia de seguridad. Entre los casos prácticos se incluyen las copias de registros personales y patrimoniales, cadenas de pruebas para documentos exigidos por los tribunales y archivos a largo plazo que pueden ser objeto de varias auditorias legales y fiscales. En esta página, más adelante, encontrará otros ejemplos.

Acronis Cyber Files Cloud. Acceda, sincronice y comparta archivos de manera segura

Acronis Cyber Files Cloud proporciona funciones para acceder, sincronizar y compartir archivos de manera segura a los usuarios de oficina y móviles en una solución en la nube alojada, fácil de usar, completa y segura. Acronis Cyber Files Cloud es fácil de implementar, ampliando nuestra cartera de productos.

Características esenciales de Acronis Cyber Files Cloud

La seguridad y los controles más intensos de la industria

Proporciona métodos seguros para que los usuarios puedan compartir contenido con cualquier dispositivo
Cifrado en tránsito y en el dispositivo, incluyendo cifrado certificado FIPS 140-2 para iOS
Proporciona controles de usuario para trabajar con archivos y carpetas y compartirlos
Ofrece un seguimiento de auditoría de nivel de gran empresa para gestionar usuarios, aplicaciones y datos

Funcionalidad avanzada para mejorar la productividad de los empleados móviles

Capacita a los usuarios para trabajar con archivos utilizando dispositivos móviles populares, Mac y PC
Se integra con aplicaciones móviles nativas de Microsoft Office para conseguir potencia de edición y control de archivos al máximo
Ofrece funciones potentes de anotación y edición de PDF, convirtiendo el dispositivo móvil en una auténtica plataforma empresarial
Proporciona una experiencia de cliente móvil enriquecida, que incluye marcadores y sincronización de una y dos direcciones.

Estamos aquí para facilitar y convertirnos en su aliado tecnológico, más aún en las actuales circunstancias que nos obligan a potenciar el Teletrabajo y la gestión remota, con la profesionalidad y el trato personalizado que nos caracteriza. Sabemos que es un gran reto, pero si lo lleva a cabo preferiblemente de la mano de un partner especializado todo será más fácil.

Usted es nuestra prioridad. Porque sabemos que su infraestructura, sea del tamaño que sea, es muy importantes y una prioridad para mantener su negocio operativo.

Si desea contactarnos, le ofrecemos nuestros medios de contacto, estaremos encantados de ayudarle:

Formulario de Contacto PCNOVA
EMAIL: atencionalcliente@pcnova.es
TELEFONO: +34 935.185.818
TWITTER: @pcnovatccc
FACEBOOK: https://www.facebook.com/pcnovatccc

Ricardo González Darkin

Consultor Técnico / Especialista en Soluciones IT para Educación y la Pequeña y Mediana Empresa

Proveedor de Servicios Gestionados IT: Cloud – Conectividad – Comunicación – Domótica – Impresión – Movilidad – Seguridad – Virtualización y Web

WannaCry: El Ransomware ¿o Ransomworm? de escala mundial. Protégase frente a este Ciberataque

Publicado el 13 mayo, 201715 mayo, 2017 por Ricardo V. González Darkin

Lo comentábamos hace poco tiempo en nuestro artículo «Las Amenazas a la Seguridad Informática de las Organizaciones es Real. PCNOVA Security & IT Defense» y todo parece indicar que ha llegado: WannaCry es el temido Ransomware o más bien Ransomworm que «encripta y secuestra» los datos de los usuarios, pero aprovecha una vulnerabilidad de Windows para combinarse con un gusano que infecta a otros ordenadores de la red . Esta vulnerabilidad ya había sido detectada por Microsoft (Boletín de Seguridad MS17-010) y debidamente parcheada el 14 de Marzo del 2017, más muchos por desconocimiento y otros por falta de tiempo o sencillamente por descuido no la han instalado y por tanto son ALTAMENTE vulnerables a este ataque, al punto de que la recomendación es APAGAR Y DESCONECTAR LOS EQUIPOS DE LA RED en caso de observar algún comportamiento anómalo. Probablemente el malware que ha infectado al “paciente 0”, para el caso de las organizaciones, ha llegado a través de un adjunto, una descarga aprovechando una vulnerabilidad de un ordenador. La versión del malware según los análisis es un WanaCrypt0r, una variante de WCry/WannaCry.

Noticias del mundo respecto al ataque:

El Mundo: El ciberataque con el virus WannaCry se extiende a nivel mundial
El Pais: El ataque de ‘ransomware’ se extiende a escala global
INCIBE – Instituto de Ciberseguridad: Importante oleada de ransomware afecta a multitud de equipos
CN-Cert Centro Criptográfico Nacional: Identificado ataque de ransomware que afecta a sistemas Windows
ABC: El ciberataque afecta a varios países y es muy virulento

Quién ha sido atacado por este Malware tipo Ransomworm?

Lo que en un principio parecía una amenaza local en España se ha convertido en un ciberataque a nivel mundial que se ha extendido por el sistema de salud de Reino Unido y que ha afectado en distintos niveles a EEUU, Canadá, Rusia, China, Italia o Taiwan. El ataque ha aprovechado una brecha de seguridad de la que Microsoft había alertado el 14 de marzo y hasta los momentos hay constancia de que ha afectado ya a 74 países por todo el mundo.

En España fue hackeada la red interna de Telefónica y de otras grandes empresas como Iberdrola o Gas Natural y en Reino Unido el Sistema Nacional de Salud, NHS, ha confirmado esta tarde que al menos 25 hospitales y centros médicos por todo el país han sido víctimas del ciberataque. Ya en horas de la tarde de ayer viernes se habían detectado más de 57.000 (algunos hablan de 99.000) ataques por todo el globo. Otro dato interesante y que fue desvelado porp Costin Raiu de Kaspersky Lab es que el mensaje que encabeza el ciberataque esta escrito en Rumano, más al parecer no por un nativo, además «el mayor número de intentos de ciberataque se han detectado en Rusia»

Qué hace WannaCry en los dispositivos, cómo se ejecuta.

Según hemos podido investigar, el vector inicial del ataque ha seguido siendo posiblemente email tipo spam en donde se notifica de facturas, ofertas de trabajo o cualquier otro mensaje enviado a través de email. Cómo siempre, dicho correo contiene un archivo en formato comprimido .zip que al descomprimirse, ejecuta el código. Luego, el ataque se comparte a través de la red LAN usando una vulnerabilidad P2P SMB (Server Message Block protocol) conocida como ETERNALBLUE, que según algunos especialistas ejecuta otro código tipo gusano para expandirse a través de la red interna. Lo más grave es que al verse comprometido el primer dispositivo, el mismo código busca otros dispositivos en la red interna que igualmente sea vulnerables al no disponer de la actualización MS17-010 de Microsoft y «sin hacer nada» este equipo también es infectado. Luego de infectado, todos los archivos presentan la extensión .wncry, mostrando la notificación @Please_Read_Me@.txt

Jaime Blasco, director de los laboratorios de Alienvault en San Francisco, aporta más información: El ataque ya está parado tras la difusión de un parche de Windows por parte de Microsoft. ..»Uno de los vectores de infección parece ser un exploit que consigue la ejecución de código remoto en sistemas Windows. Este exploit (llamado EternalBlue) se hizo público como parte de uno de as filtraciones de Shadowbrokers. Se recomienda aplicar todas las actualizaciones publicadas por Microsoft para parchear esta vulnerabilidad», reitera. Es, por tanto, uno de los archivos liberados en la última denuncia de Wikileaks.

Qué sistemas operativos estan siendo afectados por este ataque

Microsoft Windows Vista SP2
Windows Server 2008 SP2 and R2 SP1
Windows 7
Windows 8.1
Windows RT 8.1
Windows Server 2012 and R2
Windows 10
Windows Server 2016

Qué soluciones debe aplicar en caso de no contar con un Soporte Técnico Informático Profesional y NO estar infectado.

Para detener la multiplicación del ataque en su red interna, debe actualizar el sistema operativo Windows con los últimos parches de seguridad ya que el malware aprovecha una vulnerabilidad para el que ya existe un parche de seguridad desde el pasado més de marzo y que podrá encontrar en la siguiente dirección: Boletín de Seguridad MS17-010 . Dicha actualización de seguridad impide que el malware se pueda propagar fácilmente por la red.

En caso de que no sea posible aplicar los parches de seguridad, se debería optar por las siguientes medidas de mitigación:

Aislar la red donde haya equipos infectados.
Aislar los equipos infectados.
Bloquear la comunicación de los puertos 137/UDP y 138/UDP así como los puertos 139/TCP y 445/TCP en las redes de las organizaciones.

Si observa un comportamiento errático del ordenador y que éste se reinicia abruptamente, NO INICIE EL ORDENADOR, puede ser que usted ya haya sido infectado y que al reiniciar se complete el proceso y por tanto sus archivos queden encriptados. Lo recomendable es que pueda iniciar el ordenador a través de un pendrive o un DVD con un sistema operativo arrancable y desde allí haga una copia de seguridad de los archivos antes de volver a iniciar su dispositivo, puede que así pueda salvar sus datos de ser encriptados. Esta última recomendación la hacemos sobre todo a aquellas personas que aún trabajen con SO Windows XP, dado que NO EXISTEN PARCHES PARA ESTE SISTEMA OPERATIVO, por tanto muy probablemente sean los más vulnerables y puedan infectarse próximamente. Para otros SO como Windows Vista, 7,8,8.1 y 10, si usted ha mantenido una política de actualizaciones correcta, en principio NO DEBERÍA SER UN BLANCO FÁCIL de este ataque, pero MANTÉNGASE ALERTA.

Qué soluciones debe aplicar en caso de no contar con un Soporte Técnico Informático Profesional y SI estar infectado.

En caso de que no sea posible aplicar los parches de seguridad, se debería optar por las siguientes medidas de mitigación:

– Aislar la red donde haya equipos infectados.

– Aislar los equipos infectados.

– Desactivar el servicio SMBv1.

– Bloquear la comunicación de los puertos 137/UDP y 138/UDP así como los puertos 139/TCP y 445/TCP en las redes de las organizaciones.

– Bloquear el acceso a la red de anonimato Tor.

¿Cómo recuperar los datos cifrados?

El Instituto Nacional de Ciberseguridad de España (INCIBE) a través del CERT de Seguridad e Industria (CERTSI) dispone de un servicio gratuito de análisis y descifrado de ficheros afectados por ciertos tipos de ransomware denominado Servicio Antiransomware.
Para poder identificar el tipo de virus y verificar si los datos son recuperables, sigue los pasos del siguiente artículo para ponerte en contacto: Nuevo Servicio Antiransomware, recupera el control de tu información.
Debido a que la prestación de este servicio de análisis y descifrado se realiza en colaboración con una entidad externa a INCIBE y a pesar de tener acuerdo de confidencialidad con la misma, es recomendable que los ficheros que se envíen no contengan información privada o confidencial, ya que serán compartidos con la citada entidad para su análisis.

Por último, si no lo has hecho ya, puedes poner la correspondiente denuncia de lo ocurrido ante las Fuerzas y Cuerpos de Seguridad del Estado:

Lecciones aprendidas en base al ataque de WannaCry . Cómo PCNOVA y sus Servicios SOLUCION NOVA y NOVA ADAPTIVE DEFENSE le estan ayudando contra este Ciberataque.

Mantenga una política de Administración de Parches: Gracias a la Solución NOVA (Standard, Premium y Platinum) mantenemos una administración remota y automática de los parches y las vulnerabilidades de Microsoft y de otros fabricantes, de esta forma los equipos monitorizados estan actualizados, contando para ello con un Servicio Gestionado desde la nube 100% garantizado, eliminando la posibilidad de que su infraestructura informática sea presa de este tipo de ataques de Malware por la no aplicación de un parche o actualización de seguridad.

Mantenga una política de copias de seguridad no sólo local, también remotas (fuera de su organización). Todas nuestras SOLUCIONES DE BACKUP GESTIONADO a través de la Solución NOVA (Standard, Premium y Platinum), cuentan con el servicio de copia de Seguridad externa a la organización en servidor seguro y con copia encriptada, además con la posibilidad de realizar un versionado de copias de seguridad, con lo cual contará con al menos 7 días hábiles de copia de seguridad (y hasta 30 días calendario) de sus archivos, lo cual le permitirá mantenerse completamente protegido respecto a un ataque de estas dimensiones, incluso podría recuperar archivos borrados o sobreescritos por accidente, al igual que estos archivos encriptados.
No trabaje sólo con un antivirus que le proteja en base a firmas. Algunos fabricantes de antivirus aún trabajan sólo con actualizaciones en base a firmas, ésto dificulta la protección frente a ataques de Día Cero como Wannacry. Nuestros partner de Seguridad ESET ANTIVIRUS y PANDA SECURITY no trabajan sólo con protección antivirus en base a firmas. NUESTRA EXCLUSIVA SOLUCION NOVA ADAPTIVE DEFENSE es un COMPLEMENTO PERFECTO al antivirus ya que detiene con una efectividad de hasta el 100% este tipo de ataques Zero Day.

Protección de Red. Cada vez se hace más críticas que la pequeña y mediana empresa este protegida contra este tipo de ataques monitorizando la red con dispositivos de Seguridad de Red. Nuestras Soluciones de Watchguard y Stormshield Network Security le garantizan que su red esté debidamente monitorizada y protegida frente a este tipo de ataques.

Actualización de Información Sábado 13/05/2017 17:00. Microsoft decide lanzar un Parche de Actualización para SO sin soporte

Debido a la afectación que está habiendo a nivel mundial, Microsoft ha decidido publicar parches de seguridad para versiones de su sistema operativo que ya no contaban con soporte oficial como son Windows XP, Windows Server 2003 y Windows 8 a través de su Blog Oficial

Actualización de Información Lunes 15/05/2017 5:00. 10.000 Organizaciones, 200.000 infectados en 150 países y se teme que hoy Lunes crezca sustancialmente. Nueva variante de Wannacry.

Estas son las cifras y el mapa «en vivo» del Ransomware Wannacry:

FUENTE: https://intel.malwaretech.com/botnet/wcrypt — Fuente: https://intel.malwaretech.com/botnet/wcrypt

Durante el fin de semana una nueva variante comenzó a emerger y fue detenida con la misma estrategia que la primera, se determinó cuál era el dominio al cuál el malware accede para descargar el agente infeccioso y se tomó control sobre el mismo. Una segunda variante ha sido detectada este domingo, pero al parecer no se ha ejecutado por un error en su programación, pero se ha desplegado. Se espera que nuevas variantes salgan a la luz en las próximas horas o días.

Se ha creado mucha información por parte de varios fabricantes y especialistas (desafortunadamente algunas de estas informaciones está en inglés). Siga los enlaces y tome nota de las recomendaciones:

MICROSOFT: Guía para clientes del ataque de Wannacrypt

TROY HUNT. MVP Microsoft. Todo lo que necesita saber acerca de WannaCry

CHEMA ALONSO. Hacker Ético. Alto responsable de Seguridad de Telefónica. El ataque de Ransomware #Wannacry

INCIBE: Actualización informativa sobre los ciberataques producidos.

Actualización de Información Lunes 15/05/2017 12:30. El Centro Criptológico nacional ha emitido un comunicado en donde informe de una vacuna y medidas para la detección y desinfección de Wannacry

Hasta ahora se mantiene la cifra de usuarios afectados por debajo de los 200.000, se temía por un aumento en los afectados al encender los ordenadores este lunes.

El CCN-CERT ha actualizado además la vacuna para impedir la ejecución del código dañino en todos los sistemas Windows
El informe recoge el análisis preliminar de la campaña masiva que ha afectado a nivel global con varias muestras de ransomware de la familia WannaCry, que realizan un cifrado masivo de ficheros y solicitan un rescate para recuperarlos.
El CCN-CERT acaba de publicar en su portal el Informe de Código Dañino: CCN-CERT ID-17/17 Código Dañino. WannaCry, que recoge el análisis preliminar de la campaña de ransomware de la familia WannaCry, iniciada este viernes, 12 de mayo, y que realiza un cifrado masivo de ficheros para, después, solicitar un rescate para recuperarlos.

Esta variante de ransomware incorpora código para realizar la explotación de la vulnerabilidad publicada por Microsoft el día 14 de marzo descrita en el boletín MS17-010 y conocida como ETERNALBLUE. Hasta el momento todas las máquinas han sido atacadas mediante este exploit.

Vacuna para prevenir la infección

El CCN-CERT ha actualizado su herramienta desarrollada para prevenir la infección por el código dañino WannaCry 2.0. Se trata de «CCN-CERT NoMoreCry Tool«, una aplicación que impide la ejecución del malware antes de que el equipo esté infectado (la herramienta no es útil en el caso de que la máquina esté infectada).

La herramienta funciona ya en todos los sistemas operativos de Windows.

Otras medidas recomendadas por el CERT Gubernamental Nacional frente a este ransomware son las siguientes:

Actualizar los sistemas a su última versión o parchear según informa el fabricante
Se recomienda instalar el parche de seguridad de Microsoft que impide la propagación del malware al resto de la red.
Para los sistemas sin soporte o parche se recomienda aislar de la red o apagar según sea el caso (se recuerda que Microsoft.
Bloquear la comunicación a los puertos 445 y 139 en las redes de las organizaciones.
Establecer reglas que detecten el ataque en los sistemas NIDS.
Descubrir qué sistemas, dentro de su red, pueden ser susceptibles de ser atacados a través de la vulnerabilidad de Windows, en cuyo caso, puedan ser aislados, actualizados y/o apagados.

Si necesita más información o que colaboremos con usted de manera puntual o urgente frente a este Ciberataque, estamos alertas y preparados ante las necesidades de nuestros clientes .

[jotform id=»61704784792365″]

Estamos a la expectativa ante este ataque y procuraremos actualizar la información al respecto en cuanto sea posible. Estamos convencidos de que podemos protegerle como MSP y MSSP, será un privilegio poder atender, gestionar y mejorar la seguridad de su infraestructura informática.

Ricardo González Darkin

Consultor Técnico / Especialista en Soluciones IT para Educación y la Pequeña y Mediana Empresa

Proveedor de Servicios Gestionados, Cloud – Conectividad – Comunicación – Impresión – Movilidad – Seguridad – Virtualización. Consultoría especializada en Soluciones IT para Emprendedores, Sector Educativo, Sector Comercio /Restauración y la Pequeña y Mediana Empresa. Servicios Gestionados para Windows, OSX y Linux , Servicios en la nube (Office 365 – Windows Intune – Windows Azure), Conectividad (TP-LINK – DLINK – Ubiquity), Comunicaciones Unificadas, Internet y Telefonía IP (Office 365 – LCRCom – Innovaphone ), Servicios Gestionados de Impresión MPS Multimarca, Movilidad (Windows Phone – Android), Seguridad Perimetral, Seguridad del Endpoint y Seguridad de los datos, Virtualización para Empresas y Educación (NComputing). Servicio Técnico, mantenimiento Informático y Asistencia remota.

Cómo protegerse ante ataques de Día Cero: Protección Antiransomware – PCNOVA Security & IT Defense

Publicado el 2 mayo, 20173 mayo, 2017 por Ricardo V. González Darkin

De acuerdo con Panda Security, denominamos ‘ataque Zero Day’ a cualquier malware lanzado aprovechando la ventana de oportunidad producida por vulnerabilidades recién descubiertas: es decir, un ataque rápido desplegado por cibercriminales antes de que los proveedores de seguridad hayan sido capaces de reparar la vulnerabilidad… o incluso de que hayan oído hablar de su existencia. Por tanto este tipo de ataque goza de una notable capacidad destructiva (cuando decide usarlas en su propio beneficio). También son un recurso muy utilizado por determinados gobiernos para socavar sistemas críticos de otros países o de las empresas originarias de los mismos.

Defender sus dispositivos de un ataque no es sencillo. Su protección debe incluir una amplia gama de mecanismos de defensa que incluya un antivirus/anti-malware tradicional, firewall personal, filtrado Web y de correo, y control de dispositivos. Además, toda protección debe proporcionar defensas adicionales contra amenazas difíciles de detectar, como ataques dirigidos y de día cero.

Es importante tener en cuenta otro aspecto de las vulnerabilidades Zero Day: si los hackers que la descubren deciden no difundirla y eligen un método discreto para explotarla, los usuarios pueden pasar semanas, meses o años expuestos a una vulnerabilidad que desconocen (ésta es la base de las APT o ‘amenazas persistentes avanzadas‘).

El más temible ataque de día Cero, El Ransomware. Lo próximo y peor aún, el Ransomworm.

EL RANSOMWARE

Existen distintos tipos de ransomware, según Watchguard: Scareware, Locking ransomware, MBR Ransomware, Ransomware Policía, SMS Ransomware y Crypto Ransomware Ha escuchado de Ransomware, cierto? Si no es así y es la primera vez que escucha este término, le amplío la información a través de la descripción obtenida de uno de nuestros aliados en seguridad, Panda Security. El Ransomware es un software malicioso que al infectar nuestro equipo le da al ciberdelincuente la capacidad de bloquear el PC desde una ubicación remota y encriptar nuestros archivos quitándonos el control de toda la información y datos almacenados. Para desbloquearlo el virus lanza una ventana emergente en la que nos pide el pago de un rescate. Uno de los Ransomware más famosos fue el Virus de la Policía. La vergüenza, la necesidad de recuperar sus datos y la presión ante un mensaje alarmante y desconocido, son algunos de los factores que provocan que algunos de los afectados por este tipo de virus terminen pagando el rescate de su ordenador.

Watchguard nos facilita una clasificación del Ransomware:

Scareware: Asusta para obtener de la víctima un pago por falsos software o servicios.
Locking Ransomware: Dificulta al usuario usar e interactuar con el ordenador.
MBR Ransomware. Muy dañino, cambia el Master boot record del disco duro e impide arrancar el equipo hasta que realice un pago.
Ransomware Policía: despliega un mensaje falso que le informa que esta cometiendo un delito y que debe pagar para evitarlo.
SMS Ransomware: demanda el pago de mensajes de texto a una tarifa premium para recuperar su sistema
Crypto Ransomware: Muy dañino, encripta (codifica) sus datos y solicita un pago para desencriptarlo.

Pues ahora comenzará a escuchar el término RANSOMWORM: se trata de la unión entre las capacidades de cifrado del ransomware y las de expansión de los gusanos de red, ¿Imagina el daño que puede causarle a una organización, escuela, universidad o pyme? sería relativamente sencillo (y ya ha ocurrido) que un estudiante o trabajador se infecte en su casa y traiga el malware en un usb (sin darse cuenta) a su escuela o a la empresa donde trabaja. Ya hemos tenido conocimiento de organizaciones que han tenido que pagar rescates de varios miles de Euros al haber sido atacadas por este tipo de gusano. Por tanto los datos son el elemento más importante pero a la vez menos valorado y para poder cuantificarlo sólo le hago 2 preguntas a nuestros clientes:

¿Cuánto tiempo le ha llevado crear esos datos?
¿Cuanto tiempo puede trabajar sin esos datos?

Visto de esta manera, generalmente sí se percibe el valor de nuestros datos. En nuestro caso tenemos información que se ha ido recopilando desde hace más de 20 años en el sector y sinceramente sería imposible poder generar una factura, un presupuesto o buscar un manual o refrescar una formación si dispusieramos de la información en cualquier dispositivo y al instante, además debidamente asegurada y con sistemas de backup automatizados y correctamente configurados. El problema de la información es que es un intangible al que es difícil ponerle valor y que sólo se hace tangible cuando no disponemos de ella.

La revista PYMES en su edición de Abril 2017 nos ofrece una visión de la práctica, cada vez más extendida, del secuestro de la información en la pequeñas y medianas empresas a través de técnicas de Encriptación. Según comentan en su artículo «El secuestro de la información o “criptolocker” crece exponencialmente en las pymes y son muchas las empresas que han tenido que pagar un rescate para recuperar sus datos, según la consultora TI Sistel. Sólo una de cada 10 empresas hace regularmente copias de seguridad, muy pocas tienen un sistema de firewall eficaz y casi ninguna dispone de un plan de contingencia en casos de desastre que les permita recuperar su información. Según Sistel, la ciberseguridad sigue siendo la gran asignatura pendiente de las medianas y pequeñas empresas». (https://revistapymes.es/criptolocker-secuestro-informacion-una-practica-afecta-vez-mas-pymes/)

NOVA Adaptive Defense: La «Única» Solución que garantiza la Seguridad de todas las aplicaciones ejecutadas.

Las soluciones tradicionales antivirus resultan eficaces para bloquear malware conocido utilizando técnicas de detección basadas en ficheros de firmas y algoritmos heurísticos. Sin embargo, no son efectivas contra los ataques de día cero y ataques dirigidos, diseñados para aprovecharse de la ‘ventana de oportunidad del malware’ a través de herramientas, tácticas, técnicas, y procedimientos maliciosos (TTPs).

La “ventana de oportunidad” es cada vez mayor, lo que es aprovechado por los hackers para introducir virus, ransomware, troyanos y otros tipos de malware avanzado y ataques dirigidos en las empresas.

La familia de productos y servicios de Adaptive Defense es la solución a este tipo de ataques. Como Partner Certificado de Panda Security, PCNOVA y su Solución NOVA Adaptive Defense ofrece un servicio gestionado de detección y respuesta en el endpoint capaz de clasificar cada una de las aplicaciones que se ejecutan en la organización de forma precisa, permitiendo ejecutar únicamente lo que es confiable.

NOVA Adaptive Defense se fundamenta en un modelo de seguridad basado en tres principios:

Monitorización continua de las aplicaciones de los puestos y servidores de la empresa.
Clasificación automática mediante técnicas de Machine Learning en una plataforma Big Data en la nube.
Análisis en profundidad por parte de técnicos expertos de aquellas aplicaciones no clasificadas automáticamente, con el fin de conocer el comportamiento de todo aquello que se ejecuta en vuestra organización.

Las verdaderas soluciones de seguridad deben combinar tecnologías avanzadas e inteligencia humana y computacional, es decir, machine learning en manos de expertos en seguridad. Para que una solución de seguridad sea tomada en serio, debe ofrecer el tipo de prevención, detección, visibilidad e inteligencia que pueda detener y prevenir ciberataques de cualquier tipo de forma ininterrumpida. Creemos firmemente que los que toman decisiones deben buscar los siguientes elementos claves a la hora de decantarse por una solución de seguridad para el endpoint:

Monitorización continua, mediante el registro y supervisión de toda la actividad desarrollada por los procesos en los dispositivos y equipos para detener el software no confiable en el momento de la ejecución, detectar amenazas avanzadas en tiempo real, responder en segundos y recuperarse de forma instantánea.
Detección de la ejecución de archivos no confiables, que permite a la empresa reducir la superficie de ataque en los equipos y dispositivos. Debe asegurarse de que la solución de seguridad que busca clasifique como confiables o maliciosas todas las aplicaciones ejecutadas en sus equipos y dispositivos.
Automatización de la detección de amenazas. La amenaza es más veloz que cualquier equipo o dispositivo que quiera proteger. Por tanto, no permita que deleguen en usted la supervisión de la respuesta. Las soluciones de seguridad eficaces deben poder funcionar de forma autónoma y automatizada para adaptarse así al entorno operativo, que es único y característico de su organización.
Respuesta rápida y automatizada. Las organizaciones están saturadas con el volumen de eventos y alertas generados por los sistemas, pero una vez que el cibercriminal se infiltra, el robo de información es cuestión de segundos. Por eso, la solución de seguridad elegida debe ser capaz de identificar rápidamente un ataque en curso, establecer medidas para evitar los daños y aliviar la carga del equipo. De esta forma, se reducen costes y se automatizan tareas que antes suponían días de trabajo.

Cómo funciona NOVA Adaptive Defense Antiransomware.

La protección avanzada rastrea toda la actividad de los programas ejecutados en tus equipos, detectando y bloqueando de manera inmediata los programas maliciosos. Además actúa en tiempo record ante cualquier duda o riesgo identificado gracias a la supervisión directa de los técnicos del laboratorio.

Modos de funcionamiento:

Audit : Se rastreará toda la actividad de los programas ejecutados en los equipos pero no actuará ante ninguna detección.
Hardening: Los programas maliciosos y potencialmente maliciosos serán eliminados. Los programas desconocidos que vienen de Internet permanecerán bloqueados hasta que nuestro laboratorio determine si se trata de malware o no. El resto de programas desconocidos inicialmente se permitirán y pasarán a ser analizados en nuestro laboratorio.
Lock: Los programas maliciosos y potencialmente maliciosos serán eliminados. Los programas desconocidos permanecerán bloqueados hasta que nuestro laboratorio determine si se trata de malware o no. El resto de programas desconocidos inicialmente se bloquearan y pasarán a ser analizados en nuestro laboratorio. En esta modalidad nuestro servicio gestionado de seguridad estaría en capacidad (en caso de que el cliente lo requiera) de desbloquear desde el panel algún programa, en caso de que fuese fidedigno y por tanto el cliente requiriera autorizarlo.

Requiera más protección? NOVA Adaptive Defense Antiransomware + Advanced Defense 360 Móvil

En algunos casos, existen dispositivos móviles que salen de la organización y que por tanto no gozan de la protección de un Firewall o un UTM (Unified Threat Management), dispositivos de hardware que le adiciona una capa de seguridad que permite:

Disponer de un Firewall avanzado
Disponer de un control de Aplicaciones
Disponer de un IPS (Intrusion Prevention System)
Disponer de un Filtrado y Monitorización Web

También es posible agregar otra capa de seguridad que active un DLP en el Endpoint (Sistema de prevención de pérdida de datos o Data Loss Prevention) para control la extracción incorrecta de datos a través dispositivos a conectar como Pendrives, unidades de almacenamiento externas, unidades bluetooh o dispositivos de captura de imágenes, todo con el mismo agente. Por lo tanto, sería posible permitir o bloquear:

Unidades de almacenamiento extraíbles
Dispositivos móviles
Unidades de CD/DVD/Blu-ray
Dispositivos de captura de imágenes
Dispositivos Bluetooth
Módems

…y además 100% Gestionado

Con NOVA Adaptive Defense recibirá (si usted lo requiere y solicita) alertas inmediatas en el momento en que se identifique malware en la red, con un informe completo detallando su localización, las máquinas infectadas y las acciones realizadas por el malware. Nuestro SERVICIO 100% GESTIONADO nos permite gestionar cuarentenas, ficheros sospechosos o desinfecciones y reinstalaciones de los equipos infectados. NOVA Adaptive Defense clasifica todas las aplicaciones de forma automática mediante técnicas de Machine Learning en entornos Big Data bajo la continua supervisión de los técnicos especializados, que controlan en todo momento el proceso.

Además, su exclusivo Análisis Forense le permitirá visualizar mediante grafos de ejecución los eventos desencadenados por el malware, obteniendo información visual del destino de las comunicaciones del malware, los ficheros creados y mucho más con los Mapas de Calor. Aún más, con NOVA Adaptive Defense podrá localizar el software con vulnerabilidades conocidas instalado en su red para eliminarlo o actualizarlo.

Requisitos para la puesta en marcha de NOVA Adaptive Defense

El agente puede ser instalado en dispositivos con sistema operativo Windows, Linux e incluso en dispositivos móviles con Android.

Instalación del Agente:

Equipos: Desde Windows XP SP2 a Windows 10 (plataformas de 32/64 bits). (Próximamente MAC OSX, Linux y Android)
Servidores: Desde Windows 2003 a 2012 (bajo cualquier configuración o arquitectura).

Requisitos de Software:

El agente del servicio Adaptive Defense es una aplicación que requiere la instalación de los siguientes componentes estándar:

Windows:

.NET Framework, versión 2.0 SP2 o posterior. Por ejemplo .NET Framework 3.5 SP1. El instalador comprobará si se encuentra instalado o no, pero no lo instalará en caso de que no lo encuentre.
Visual C++ 2008 Redistributable Package. El instalador comprobará si está instalado o no, y lo instalará en caso necesario: (http://www.microsoft.com/es-es/download/details. aspx?id=5582).

Certificados Raiz Windows Actualizados.

Si tiene una urgencia por ataques de Día Cero tipo Ransomware o decide estar preparado para que no sea una víctima de este tipo de malware, sólo tiene que rellenar el siguiente formulario y con ello conseguirá NOVA Adaptive Defense por 30 días COMPLETAMENTE GRATIS.

[jotform id=»61704784792365″]

Esperamos haber aclarar y mejorar su conocimiento de este silencioso pero importante problema de Seguridad informática, los ataques «Zero Day». Estamos convencidos de que podemos protegerle como Proveedores de Servicios de Seguridad Gestionados, será un privilegio poder atender, gestionar y mejorar la seguridad de su infraestructura informática.

Ricardo González Darkin

Consultor Técnico / Especialista en Soluciones IT para Educación y la Pequeña y Mediana Empresa

Las Amenazas a la Seguridad Informática de las Organizaciones es Real. PCNOVA Security & IT Defense

Publicado el 23 abril, 201719 mayo, 2017 por Ricardo V. González Darkin

La amenaza de la Seguridad IT para todo tipo de organizaciones es real, ciertamente. No queremos alarmarlo pero lo que estamos viendo a nivel de seguridad IT no lo habíamos visto nunca antes a este nivel: Autónomos, micro y pequeña empresa. Adicionalmente y en base a la progresión de los ataques estamos convencidos de que cualquier Organización que no decida protegerse, sea del tamaño que sea, podría ser víctima a muy corto plazo.

Nuestro compromiso siempre ha sido ofrecer Soluciones Económica, fáciles y rápidamente desplegables, adaptadas a las necesidades y presupuesto de Profesionales, Emprendedores, micro, pequeña y mediana Empresa, Sector Educativo y Restauración. Éste ha sido el objetivo de PCNOVA desde sus inicios y es por ello que nace PCNOVA Security & IT Defense de la mano de 4 de los principales fabricantes de Seguridad del mundo: ESET, Panda Security, Stormshield y Watchguard.

PCNOVA Security & IT Defense. Nos convertimos en MSSP (Managed Security Service Provider o Proveedor de Servicios de Seguridad Gestionados)

Antecedentes

Solución NOVA. Control de inicios de sesion que ha permitido detectar ataques de fuerza bruta.

Como MSP (Manage Service Provider o Proveedores de Servicios Gestionados) podemos tener una visión muy amplia de los dispositivos que gestionamos: vulnerabilidades, servicios, situación del antivirus, situación del backup, etc. Todo cuanto técnicamente se ejecuta en los ordenadores, servidores, tabletas y teléfonos que gestionamos es visible en nuestro panel de control y uno de los parámetros que controlamos es el relacionado con los «inicios de sesión», por ejemplo, en un servidor. Gracias a esta capacidad ya hemos detectado casos de servidores que comenzamos a controlar y que estaban siendo atacados a través de lo que se conoce como ataques de fuerza bruta, llegándose a realizar más de 60.000 intentos para la identificación del usuario y la contraseña del administrador, en un sólo día.

Ataques_detectados_Watchguard_2016_725x300

Según El Confidencial, España es el tercer país del mundo con más ataques Cibernéticos. Dice el ministro del Interior «estos ataques cibernéticos se dirigieron tanto a particulares como a instituciones», por tanto no crea que los ataques van dirigidos «sólo» a grandes empresas y que sus datos no son interesantes para atacarle, TODOS somos objetivo de los ciberdelicuentes, esta siendo un gran negocio de las mafias desde hace relativamente poco tiempo. Otro dato interesante lo obtenemos de Watchguard, quien gracias a sus dispositivos desplegados por todo el mundo puede darnos una cifra precisa de la cantidad de detecciones durante el 2016: más de 3MM de ataques de red y 18,7MM de variantes de Malware, por tanto en este sentido continúa el crecimiento exponencial de los ataques año a año. Como bien se nos ha comentado en el último evento que asistimos de este fabricante hace unos días: en este momento existen 2 tipos de organizaciones, las que ya han sido atacadas y afectadas por el ransomware y las que van a ser atacadas. La amenaza es muy seria y si no la tomamos así podemos ser víctimas de ella con mucha facilidad, mientras más grande sea la organización más riesgos hay de que hoy usted sea la próxima víctima.

Ataques Perimetrales detectados.

Hasta hace poco tiempo no observábamos ninguna amenaza perimetral, sobre todo en la pequeña Empresa. Esta misma semana hemos monitorizado servidores que han recibido más de 300 intentos de intrusión (logueo e intento de descubrimiento de usuario y contraseña del usuario administrador) . Me gustaría en este punto dar algunas pruebas de lo dicho. Por ejemplo, tomemos las 2 ip´s que aparecen en la imagen anterior y veamos qué aparece respecto a ellas:

110.78.146.121

212.83.152.157

-Como podemos observar, estas 2 IP´s ya han sido reportadas por algún ataque de fuerza bruta, incluso una de ellas se ha utilizado para otros ataques como escaneo de puertos, ataques de denegación de servicio, etc.

Pero esto pareciera poco para alarmarnos, vamos a trabajar varias IP´s del siguiente listado: PCNOVA – ATAQUE DE INTRUSIÓN 12-04 MAYOR ATAQUE – PCNOVA Proveedor de Servicios de Seguridad Gestionados en donde observamos:

135 ataques de intrusión por fuerza bruta de la misma ip en 15 minutos:

1.34.121.41

Ahora, 15 IP´s seleccionadas al azar de otro listado de intentos de intrusión del mismo servidor, entre el 10 y el 16/04/2017

Qué le parece? y esto es de uno de los servidores (un sencillo dispositivo para copias de seguridad que gestionamos). Imagine la cantidad de servidores publicados en internet que estan siendo atacados (posiblemente el suyo ya lo esta siendo) y que por no tenerlo debidamente configurado y gestionado no esta en capacidad de conocer su situación, quizá hoy mismo (dependiendo de la seguridad de la que disponga) esté a punto de ser hackeado, parece una película de ciencia ficción, cierto?

EL RANSOMWARE

Watchguard nos facilita una clasificación del Ransomware:

Scareware: Asusta para obtener de la víctima un pago por falsos software o servicios.
Locking Ransomware: Dificulta al usuario usar e interactuar con el ordenador.
MBR Ransomware. Muy dañino, cambia el Master boot record del disco duro e impide arrancar el equipo hasta que realice un pago.
Ransomware Policía: despliega un mensaje falso que le informa que esta cometiendo un delito y que debe pagar para evitarlo.
SMS Ransomware: demanda el pago de mensajes de texto a una tarifa premium para recuperar su sistema
Crypto Ransomware: Muy dañino, encripta (codifica) sus datos y solicita un pago para desencriptarlo.

¿Cuánto tiempo le ha llevado crear esos datos?
¿Cuanto tiempo puede trabajar sin esos datos?

LA SEGURIDAD DEL PUESTO DE TRABAJO (ENDPOINT SECURITY)

UNA CONSTATACIÓN: LOS PUESTOS DE TRABAJO Y LOS SERVIDORES ESTÁN TODAVÍA EN RIESGO. Así de tajante es la afirmación de Stormshield. La nueva amenaza que se ha desplegado con el Malware de tipo Ransomware (o cualquier otro ataque futuro de Día Cero) se esta convirtiendo en un peligroso riesgo de seguridad que a través de internet y el correo electrónico llega a nuestro buzón y es capaz de hacer inaccesibles nuestros datos en cuestión de minutos, además sin mayor aviso que el que conseguimos cuando intentamos abrir el archivo y nuestro dispositivo no lo reconoce, lamentablemente ya ha sido encriptado.

Se hace necesario entonces proteger a sus equipos de ataques de malware, exploits y otras amenazas sofisticadas, incluyendo ataques de Ransomware. Aunque las soluciones tradicionales de protección tipo Antivirus esten instaladas, estas se basan en librerías y listas negras de malware que sólo son capaces de detectar aquellos ataques que ya tienen registrados en sus bases de datos. Con PCNOVA Adaptive Defense o Stormshield Endpoint Security, le proveemos de una solución de seguridad que detecta el comportamiento sospechoso en tiempo real y es capaz de bloquear las amenazas más avanzadas, antes de que actúen en el PC.

NOVA Adaptive Defense. La única Solución que garantiza la Seguridad de todas las aplicaciones ejecutadas.

La familia de productos y servicios de Adaptive Defense es la solución de Panda Security a este tipo de ataques. Como Partner Certificado de Panda Security, PCNOVA Adaptive Defense ofrece un servicio gestionado de detección y respuesta en el endpoint capaz de clasificar cada una de las aplicaciones que se ejecutan en la organización de forma precisa, permitiendo ejecutar únicamente lo que es confiable. La ventaja de nuestra solución es que no necesita de ningún otro dispositivo, tan sólo una conexión a internet le permite disponer en pocos minutos de una herramienta eficaz y económica, que le permite estar protegido frente ataques Ransomware y de cualquier otro tipo clasificados como «Zero Day» o de Día Cero.

PCNOVA Adaptive Defense se fundamenta en un modelo de seguridad basado en tres principios: monitorización continua de las aplicaciones de los puestos y servidores de la empresa, clasificación automática mediante técnicas de Machine Learning en nuestra plataforma Big Data en la nube y, por último, el análisis en profundidad por parte de técnicos expertos de aquellas aplicaciones no clasificadas automáticamente, con el fin de conocer el comportamiento de todo aquello que se ejecuta en tu organización.

Si desea más información puede descargarse nuestra presentación de producto: PCNOVA 2017 ADAPTIVE DEFENSE CAPACIDADES. DIFERENCIAS_AV_VS_AD

Stormshield Endpoint Security

Una afirmación, los puestos de trabajo y los servidores estan todavía en riesgo. Stormshield Endpoint Security es una solución completa de seguridad para estaciones de trabajo. Protege a sus equipos de ataques de malware, exploits y otras amenazas sofisticadas, incluyendo ataques de Ransomware.

A diferencia de las soluciones tradicionales de protección, Stormshield Endpoint Security no está basado en librerías y «listas negras» de malware. Detecta el comportamiento sospechoso en tiempo real y es capaz de bloquear las amenazas más avanzadas, antes de que actúen en el PC.

Stormshield Endpoint Security es compatible con las soluciones tradicionales de antivirus y supone una segunda línea de defensa contra las amenazas nuevas y ataques sofisticados, que las soluciones de anti-malware basadas en firmas no pueden detectar.

Herramientas tradicionales insuficientes.

A pesar de los millones invertidos, las empresas se enfrentan al fracaso de las herramien-tas de defensa tradicionales en la lucha contra los ataques dirigidos o sofisticados.
Las herramientas de tipo antivirus o HIPS proponen, en efecto, un enfoque reactivo y no proactivo para detectar los programas y los comportamientos maliciosos. Utilizan una base de firmas que se limita a las amenazas conocidas y suelen verse impotentes contra los ataques completamente nuevos. Además, los hackers ponen en práctica mecanismos de camuflaje avanzados para disi-mular sus movimientos y, de ese modo, saltarse esas protecciones basadas en firmas.

Ataques cada vez más avanzados y dirigidos.

Se considera que un ataque es sofisticado cuando es capaz de eludir los mecanismos de seguridad tradicionales. Esta sofisticación se obtiene gracias a la combinación de múltiples métodos de ataque avanzados como, por ejemplo, la explotación de una vulnerabilidad de aplicaciones (servidor web, lector de archivos PDF) y después la propagación de un software malicioso a través de la red de la empresa o obtención de la acceso a de los activos sensibles median-te la elevación de privilegios.

Si desea más información puede descargarse nuestra presentación de producto: StormShield Endpoint Security PCNOVA

LA SEGURIDAD PERIMETRAL (NETWORK SECURITY)

Las soluciones de seguridad perimetral protegen la red y los recursos de la organización contra amenazas, ataques y degradaciones de servicio. El portfolio que podemos ofrecer incluye las soluciones más avanzadas del mercado para proteger la red contra ataques persistentes, ataques dirigidos, exploits sofisticados, ataques DDoS, ataques de día cero y otras amenazas que las soluciones tradicionales no son capaces de detectar.

Para cumplir con este objetivo, somos Partner Tecnológico Certificado de 3 de los fabricantes más reconocidos del mercado: Panda Security, Stormshield y Watchguard. No obstante, esta protección no estaría completa si no fuesemos capaces de detectar los ataques para poder preveerlos y detenerlos, es así como nuestra exclusiva SOLUCION NOVA que ofrece servicios de gestión, monitorización y prevención, complementa nuestra oferta y como bien comentábamos al principio, ha sido capaz de proteger infraestructuras que ni siquiera tenían conocimiento de que estaban siendo atacadas para hacerse con el control de las mismas y por tanto de los valiosos datos que en estos dispositivos contenían.

Nuestro compromiso siempre ha sido y será el mismo: Ofrecer Soluciones Económica, fáciles y rápidamente desplegables, adaptadas a las necesidades y presupuesto de Profesionales, Emprendedores, micro, pequeña y mediana Empresa, Sector Educativo y Restauración. Éste ha sido el objetivo de PCNOVA desde sus inicios y es por ello nuestra alianza como Partner Tecnológico Certificado con estos 3 fabricantes de Seguridad.

Cómo puede ayudarle PCNOVA Security & IT Defense a mejorar la Seguridad Perimetral de su Organización

SOLUCIONES PARA ESCUELAS, COLEGIOS, PROFESIONALES Y LA PEQUEÑA EMPRESA

Panda Gatedefender

Con Panda Gatedefender, los Entornos de red, expuestos a una gran variedad de Amenazas, obtienen una Solución de Seguridad completa, facil de gestionar y flexible a la hora de integrar.

PROTECCIÓN

Protección de la red. Navegación y correo seguro
Acceso a contenidos de forma segura a través de WiFi
Protección de aplicaciones web

GESTIÓN

Consola de gestión centralizada desde la nube
Informes y Monitorización de la red en tiempo real

PRODUCTIVIDAD

Liberación de correo no productivo
Navegación por las categorías web adecuadas para el negocio
Acceso seguro para empleados en itinerancia, entre oficinas remotas y para dispositivos propios BYOD (Bring Your Own Device)
Prioridad al tráfico productivo de la empresa
Salida redundante a Internet 24×7 sin cortes
Reducción del coste total de la propiedad

FLEXIBILIDAD

Disponible en versiones Hardware, Virtual y Software

StormShield Network Security

Arkoon y Netasq, subsidiarias 100% de Airbus Defence and Space CyberSecurity, es la propietarias de Stormshield, ofreciendo soluciones innovadores de Seguridad «end-to-end» para proteger redes (Stormshield Network Security), Estaciones de trabajo (Stormshield Endpoint Security) y datos (Stormshield Data Security).

La principal fortaleza radica en que como fabricante Europeo, implementa tecnologías certificadas al más alto nivel en Europa (RESTRICTED UE, NATO RESTRICTED, EAL3+ y ANSI EAL4 +). Las certificaciones y calificaciones otorgadas garantizan un nivel de protección adaptado a los datos estratégicos de las corporaciones y organizaciones más sensibles. Gracias a estas certificaciones, los productos de Stormshield Network Security son un componente clave para asegurar el cumplimiento de estándares, regulaciones y normas que requieren control de acceso (PCI-DSS, ISO 27001 o la Ley de Protección de Datos -próximamente RGPD, etc.).

Otro aspecto muy importante de las Soluciones de Seguridad de Stormshield consiste en la integración de todos los elementos vulnerables de una infraestructura IT: Seguridad de red (Network Securiy), Seguridad del puesto de Trabajo (Endpoint Security) y Seguridad de los datos (Data Security), convirtiéndose en uno (sino el único) fabricante de seguridad capaz de ofrecer la Seguridad Colaborativa Multicapa en todo el entorno de dispositivos informáticos, lo cual amplia su rango de acción y optimiza los procesos al disponer con un mismo fabricante de todos los componentes necesarios para mejorar la Seguridad.

El conjunto de soluciones de este fabricante destaca por:

SEGURIDAD PREPARADA PARA EL FUTURO: Stormshield Network Security ofrecen la modularidad necesaria y las características para mantenerse al corriente de los cambios futuros en los sistemas de información.
SEGURIDAD SIN FISURAS: La única manera de que la seguridad sea efectiva es cuando es perfecta para usuarios y administradores.
SEGURIDAD COLABORATIVA: Seguridad colaborativa de varias capas. Este modelo holístico, basado en la colaboración activa entre los motores de seguridad en nuestras diversas soluciones, marca el futuro de la defensa del sistema de información en profundidad.
SEGURIDAD COMPROBADA:

Si desea más información puede descargarse nuestra presentación de producto: StormShield Network Security PCNOVA

WATCHGUARD

La cúspide de la pirámide alimenticia de la seguridad de red. Un completo portfolio de seguridad avanzada en red. Soluciones para proteger las organizaciones, sus datos, sus empleados y sus clientes. Un completo portfolio con Gestion Unificada de Amenazas (UTM) y Firewall de nueva generación (NGFW) con el mayor rendimiento de red a pesar de trabajar con todos los servicios activados. Los dispositivos Wifi de Watchguard le proveen de Wi-Fi segura y Gestión en la nube de una forma Segura, sencilla e inteligente, lo cual nos permite gestionar oficinas remotas, Wi-Fi para invitados, acceso corporativo, puntos de acceso públicos y funciones de seguridad líderes en el sector, tecnología de prevención de intrusiones inalámbricas (WIPS) patentada, análisis empresariales, potentes herramientas de administración y muchas otras funciones.

Firewall de nueva generación (NGFW)

La seguridad que necesita, con capacidad suficiente para garantizar la protección de la red de las grandes empresas.

Gestión unificada de amenaza (UTM)

Máxima seguridad y rendimiento en un dispositivo integral que le permitirá contar con margen adicional para el futuro.

Redes inalámbricas seguras

Características diferenciales de Watchguard

Grado Empresarial: Best-in-class en servicios de seguridad sin el coste o la complejidad.
Simplicidad: Configuración fácil y directa de desplegar con gestión centralizada.
El mejor rendimiento UTM: Mejor rendimiento UTM en todos los rangos de precios.
Visibilidad de amenazas: Visibilidad completa de tu redcon el podr de tomar acciones inmediatamente
Equipos preparados para el futuro: El acceso mas rápido a las nuevos y mejorados servicios de seguridad.

Es así como anunciamos la creación de la división de Security & IT Defense de PCNOVA, cuyo único objetivo es la Prevención, Detección y Visibilidad ante los crecientes ataques que estamos identificando utilizando nuestras herramientas de Monitorización y Gestión de nuestra SOLUCION NOVA. Gracias a ellas, una vez más cumplimos nuestro compromiso de ser Proactivos y no reactivos ante los inminentes problemas de Seguridad que día a día vemos con preocupante incremento en la Pyme, una víctima fácil al estar desprotegida, ya que como muchos de nuestros clientes nos han comentado “mi información no es del interés de estas grandes mafias tecnológicas”, por tanto creen que no serán un objetivo de ataque.

Afortunadamente, así como las organizaciones criminales crecen en dimensión y efectividad, igualmente se incrementan de forma exponencial las herramientas tecnológicas de Prevención y Protección, lo que hemos denominado IT Defense. Reiteramos nuestro compromiso de proponerle Soluciones Económica, fáciles y rápidamente desplegables para proteger su Organización en el Perímetro, en el puesto de trabajo e incluso en sus datos, sobre todo ante ataques de Ransomware y cualquier otro tipo de ataque Zero Day.

No queremos alarmarle, pero en base a la progresión de los ataques ESTAMOS CONVENCIDOS de que su Organización (sea del tamaño que sea) podría ser víctima a muy corto plazo. Estamos seguros de que con esta solución (que complementa a otras incluidas en las Soluciones NOVA) incrementamos sustancialmente la Seguridad y Defensa de su Infraestructura IT. No espere a ser víctima, protéjase cuanto antes.

Ricardo González Darkin

Consultor Técnico / Especialista en Soluciones IT para Educación y la Pequeña y Mediana Empresa

Locky y TeslaCrypt inundan las bandejas de nuestros correos, escondiendo una peligrosa variante de ransomware en documentos de Office.

Publicado el 11 marzo, 201611 marzo, 2016 por Ricardo V. González Darkin

Ya hemos tenido varias consultas de nuestros clientes respecto a estos nuevos ransomware llamados Locky y TeslaCrypt. Locky se esconde detrás de un «inocente» archivo de Office, de ahí la enorme posibilidad de que usted pueda ser infectado. TeslaCrypt utiliza el típico archivo comprimido para intentar convencerle que lo ejecute.

Locky es un Troyano que utiliza una técnica que se pensaba extinguida: el uso de macros maliciosas en documentos de Microsoft Office, algo que se consideraba más que superado desde hace años pero que se ha demostrado estar aún vigente a día de hoy. Una vez el usuario abre el fichero ofimático en forma de archivo de Word o Excel, se le solicita que permita la ejecución de macros para ver su contenido. Si el usuario accede, entonces el malware ejecuta su código malicioso, infecta el sistema y lo incluye dentro de una botnet controlada por los atacantes.

TeslaCrypt por otro lado también aumenta sus ataques y a través de un mensaje de correo que adjunta un archivo comprimido e intenta convencer al usuario indicándole que hay un problema con un pedido, una factura impagada o cualquier otra excusa.

Su objetivo es la obtención de dinero fácil por parte de los delincuentes, lo cual se ha estado incrementando durante los últimos meses. Esta es una nueva variante que ha ido acompañada de una importante campaña de propagación para intentar obtener el mayor número de víctimas posible.Es por ésto que nos hacemos eco de un artículo publicado en el Blog de Ontinet (representante del fabricante ESET en España) y que explica en detalle el funcionamiento de este nuevo ransomware:

Locky: nuevo ransomware con características comunes al troyano bancario Dridex

Propagación por email de un documento malicioso

Una de estas campañas se está produciendo durante esta semana, concretamente desde el martes 16 de febrero, a través de mensajes de correo electrónico en inglés que nos hablan de una supuesta factura. Esta factura viene adjunta al mensaje en forma de un documento de Microsoft Word, tiene como nombre InvoiceXXXXXX.doc (donde XXXXXX es un número aleatorio).

locky1

Imagen1 – Ejemplo de correo con adjunto malicioso

Los remitentes pueden ser usuarios de cualquier parte del mundo, por lo que estamos ante una campaña global, aunque, como veremos más adelante, su éxito depende del país o región que analicemos.

Si descargamos el fichero adjunto y lo descomprimimos, observaremos que aparentemente se trata de un inofensivo documento de Microsoft Word, el conocido procesador de textos de la suite de Office.

locky5

Imagen 2 – Ejemplo de documento Word malicioso

La trampa se encuentra dentro de ese documento, puesto que los delincuentes utilizan macros maliciosas para descargar y ejecutar el ransomware. Estas macros vienen desactivadas por defecto como medida de seguridad, y es que esta técnica de ejecución de malware es algo que viene existiendo desde hace casi 20 años.

Locky en acción

Si hemos sido lo suficientemente desprevenidos para descargar este documento, abrirlo y permitir la ejecución de macros, nos encontraremos con que, al cabo de unos minutos, gran parte de los ficheros de nuestro sistema estarán cifrados y aparecerá una imagen como la que vemos a continuación sustituyendo nuestro fondo de pantalla:

locky6

Imagen 3 – Fondo de pantalla avisando del secuestro de nuestros ficheros

Si nos fijamos, este tipo de instrucciones es muy similar a variantes anteriores de ransomware. En esta pantalla se nos proporcionan varios enlaces donde se explica el tipo de cifrado usado, una dirección desde donde poder recibir la clave privada correspondiente a los ficheros cifrados en nuestro sistema, e instrucciones para descargar Tor y acceder a un sitio en esta red desde donde proceder a pagar el rescate.

En este punto, los ficheros que no sean esenciales para el funcionamiento del sistema ya estarán cifrados. Los tipos de ficheros que busca Locky en nuestro sistema van desde las imágenes a los documentos y abarcan prácticamente cualquier archivo que pueda tener un mínimo valor para el usuario. Sin embargo, se cuida mucho de no cifrar aquellos archivos que resulten esenciales para el funcionamiento del sistema, de forma que la víctima pueda seguir las instrucciones.

Además, Locky no se centra únicamente en cifrar los ficheros del sistema que infecta, sino que también buscará unidades de red, aunque estas no se encuentren mapaeadas, para proceder a cifrarlas. Esta técnica se está volviendo cada vez más común, por lo que los administradores de sistemas de pequeñas y grandes empresas harían bien en revisar a qué usuarios conceden permisos de acceso a los recursos compartidos de red y bloquear lo antes posible a aquellos que ejecuten comandos de cifrados desde su sistema.

Otra característica que dificulta la recuperación de los datos es la eliminación de las Shadow Copies en el sistema. Si bien esta técnica se viene realizando desde hace tiempo, no deja de ser un problema no poder contar con las copias de seguridad generadas de forma automática por Windows.

Por último, en cada una de las carpetas donde se haya cifrado al menos un fichero, el ransomware deja un fichero de texto con instrucciones para recuperar la información, instrucciones que dirigen a la víctima a la siguiente página web para que realice el pago del rescate.

locky2b

Imagen 4 – Instrucciones para proceder al pago del rescate

Propagación de Locky a nivel mundial

Como hemos indicado anteriormente, nos encontramos ante una campaña de propagación que está afectando notablemente a varios países de todo el mundo. Los países en los que se han detectado el mayor número de muestras coinciden con algunas de las zonas más desarrolladas y encontramos, por ejemplo, a Canadá, Estados Unidos, Nueva Zelanda, Australia, Japón o buena parte de la Unión Europea.

locky4

Imagen 5 – Niveles de propagación de Locky en el mundo

En lo que respecta a España, el documento de Word con las macros maliciosas que descarga el ransomware (detectado por las soluciones de ESET como VBA/TrojanDownloader.Agent.ASL) ha obtenido elevados ratios de detección tanto el miércoles 17 como el jueves 18 de febrero. Nuestra previsión es que permanezca unos días más en el puesto número 1 de las amenazas más detectadas, por lo que recomendamos tomar medidas de protección para evitar vernos afectados.

locky3

Imagen 6 – Porcentaje de detección de Locky en España

Conexiones con otras familias de malware

Debido al diseño de este ransomware y su similitud con otras variantes avanzadas, se ha especulado mucho sobre quién podría estar detrás de esta campaña de propagación. Algunos expertos apuntan a que detrás de Locky podría estar la misma organización criminal que tanto daño ha causado con el troyano bancario Dridex.

Si bien es cierto que utiliza uno de los métodos de propagación que tan buenos resultados le ha dado a los creadores de Dridex, también hay que decir que hay muchas otras familias de malware que utilizan documentos de Microsoft Office con macros maliciosas para infectar a sus víctimas.

Además, algunos investigadores han descubierto que Locky también se está propagando usando los mismos identificadores que utiliza el kit de exploits Neutrino para propagar amenazas como Necurs. Por si fuera poco, en ambos casos los rescates apuntan a la misma cartera de Bitcoin y parece que utilizan la misma infraestructura.

Estas coincidencias pueden significar que ambas amenazas están siendo gestionadas y manejadas por el mismo grupo de delincuentes o que se está utilizando una distribución por medio de afiliados, algo bastante más probable viendo ejemplos recientes.

TESLACRYPT.

El email, de nuevo el principal vector de ataque

A pesar de que existen métodos automatizados que permiten infectar a usuarios con sistemas y aplicaciones vulnerables mediante kits de exploits, parece que los delincuentes que se encuentran detrás de esta campaña han confiado de nuevo en el correo electrónico como método principal de propagación.

De esta forma, y con un mensaje en inglés que lleva días inundando las bandejas de entrada de usuarios de todo el mundo, los delincuentes intentan convencer al usuario para que abra el fichero. Para conseguirlo, se intenta convencer al usuario indicándole que hay un problema con un pedido, una factura impagada o cualquier otra excusa.

locky_march1

Obviamente, el objetivo final es que se descomprima y ejecute el fichero adjunto, fichero que contiene un archivo Javascript y que las soluciones de ESET detectan como JS/TrojanDownloader.Nemucod. Este malware actúa en realidad como pasarela a otros códigos maliciosos, puesto que, una vez comprometido el sistema, puede descargar lo que le apetezca a los delincuentes, siendo en este caso variantes de los ransomware TeslaCrypt y Locky.

El resultado final es bien conocido por todos. El ransomware descargado por Nemucod comenzará a cifrar los archivos existentes en el sistema, eliminará los originales y cambiará el fondo de pantalla con instrucciones para pagar el rescate solicitado por los criminales.

locky6

Propagación de esta oleada de malware en el mundo

Cada vez que se observa que una variante de ransomware está infectando a una cantidad importante de usuarios, se intenta acotar su propagación y comprobar si es una campaña dirigida a un país en concreto, como la infame campaña que suplantó a Correos España durante varios meses.

En este caso, observamos que, desde la primera detección de Locky a mediados de febrero, la tasa de detecciones no ha dejado de crecer en las sucesivas oleadas de propagación de ransomware que se han producido desde entonces. En la actualidad se están observando picos de detección por encima del 40 % de las muestras enviadas a nuestros laboratorios por parte de los usuarios gracias al sistema Live Grid, integrado en las soluciones de seguridad de ESET.

locky_march3

A nivel mundial, observamos una propagación similar por países afectados en anteriores campañas de ransomware, siendo la región de Europa, Norteamérica, Australia y, especialmente, Japón, los países que más detecciones han tenido hasta el momento.

locky_march4

En lo que respecta a España, como ya hemos dicho, las detecciones de Nemucod, el malware encargado de descargar estas variantes de ransomware, ya han superado el 40 % del total de muestras detectadas. Es posible que esta cifra aumente, puesto que nos encontramos en los días en que se produce el pico de propagación, por lo que conviene extremar las precauciones.

locky_march2

Es importante recordar que estos porcentajes corresponden al número de detecciones realizadas por las soluciones de ESET instaladas en los ordenadores de los usuarios. Esto significa que el antivirus ha conseguido detectar la amenaza y, en la mayoría de ocasiones, bloquearla antes de que esta consiga infectar el sistema.

Precisamente para favorecer este tipo de detecciones tempranas, cada vez que aparece una amenaza especialmente peligrosa, recomendamos a los usuarios de ESET activar el sistema Live Grid. De esta forma, colaboran a que las detecciones se hagan más rápidamente y se protegen de forma más efectiva frente a ellas.

Recomendaciones

Tal y como venimos comentando cada vez que analizamos un caso de ransomware, especialmente si su propagación es bastante elevada (como es el caso), resulta vital tomar las medidas de prevención adecuadas. Las copias de seguridad han de estar al día y desconectadas de la red una vez finalizadas para evitar que este ransomware también las cifre. De esta forma se podrá restaurar la información afectada sin mayores pérdidas que el tiempo que tardemos en realizar esta operación.

Una vez más hacemos incapié en las Copias de Seguridad Externas como una vía segura y fiable de garantizar que sus datos (en caso de ser atacados) puedan ser recuperados en un 100%. Las Soluciones de Backup de PCNOVA le permiten disponer de una solución segura y económica para realizar copias de seguridad remotas y locales de los datos y gestionarlos a través de nuestra plataforma online. Además de ello, como Partner de ESET quedamos a su disposición para recomendar éste y cualquier otro producto relacionado con la seguridad de equipos e infraestructuras. Búsquenos a través de nuestro FORMULARIO DE CONTACTO, llámenos al 935.185.818 o visítenos en nuestro portal para conocer de ésta y otras promociones http://www.pcnova.es,

Ricardo González Darkin

Experto en Tecnología para la Pequeña y Mediana Empresa

Proveedor de Servicios Informáticos Profesionales para emprendedores, Profesionales y Micro Empresas. Servicios Gestionados para Windows, OSX y Linux (Asistencia Remota – Monitorización – Backup – Seguridad), Servicios en la nube (Office 365 – Windows Intune- Windows Azure ), Movilidad (Windows Phone). Servicio Técnico y mantenimiento Informático Equipos (Windows-Mac), Comunicaciones (Internet-Telefonía IP), Consultoría LOPD, Hardware y Software especializado (ClassicGes – PRIMAVERA Software)

FUENTE: Locky: nuevo ransomware con características comunes al troyano bancario Dridex – blog.protegerse.com – ONTINET