Historia del Ransomware
Historia del Ransomware
Primeros Casos Documentados: AIDS Trojan
El ransomware tiene sus orígenes en la década de 1980, con el primer ataque registrado ampliamente conocido como AIDS Trojan o el Troyano del SIDA, desarrollado por el biólogo Joseph Popp en 1989. Este caso marcó el inicio de los ataques de ransomware, aunque en su forma más rudimentaria.
- ¿Cómo funcionaba?
- El virus se distribuía mediante disquetes que contenían información sobre el SIDA. Popp envió alrededor de 20,000 disquetes a investigadores y profesionales de salud.
- Una vez instalado, el malware cifraba los nombres de los archivos en el directorio principal de la computadora y ocultaba los archivos reales.
- Para "recuperar" el acceso a los datos, los usuarios debían enviar $189 dólares a una dirección en Panamá.
- Limitaciones técnicas:
- El cifrado utilizado era débil y fácilmente reversible.
- El método de distribución (disquetes físicos) limitaba la escala del ataque.
- Impacto:
- Aunque el AIDS Trojan no causó un daño masivo, sentó las bases conceptuales del ransomware: la extorsión digital mediante cifrado de datos.
Evolución hacia Ransomware-as-a-Service (RaaS)
A partir de los años 2000, el ransomware comenzó a evolucionar de simples experimentos a ataques más sofisticados y lucrativos. Esta evolución culminó en la creación del modelo de Ransomware-as-a-Service (RaaS), que ha revolucionado la industria del cibercrimen.
Fase 1: Ransomware básico (2000-2010)
- Los ataques comenzaron a utilizar cifrado más avanzado, como RSA y AES, haciendo casi imposible recuperar datos sin la clave de descifrado.
- Ejemplos notables:
- GPCode (2006): Usó RSA-1024 para cifrar archivos.
- WinLock (2007): Primer ransomware de tipo "Locker", que bloqueaba pantallas en lugar de cifrar archivos. Solicitaba el pago mediante SMS.
Fase 2: Ransomware avanzado y criptomonedas (2010-2016)
- Innovación técnica:
- Uso de criptomonedas como Bitcoin para realizar pagos anónimos.
- Distribución mediante correos electrónicos de phishing y kits de explotación.
- Ejemplos notables:
- CryptoLocker (2013):
- Utilizó cifrado RSA-2048, distribuyéndose mediante correos electrónicos y botnets.
- Estableció el modelo "pagar o perder los datos", causando millones en pérdidas.
- TeslaCrypt (2015):
- Enfocado en videojuegos y archivos asociados a software de entretenimiento.
- Locky (2016):
- Introdujo una mayor automatización y distribución masiva a través de macros en documentos de Microsoft Word.
Fase 3: Nacimiento del RaaS (2016-presente)
¿Qué es RaaS?
- Es un modelo en el que los desarrolladores de ransomware ofrecen su software como un servicio a otros ciberdelincuentes (afiliados).
- Los afiliados realizan los ataques, y los ingresos de los rescates se dividen entre el creador del ransomware y los afiliados.
Características del RaaS:
- Accesibilidad: Plataformas alojadas en la dark web donde los afiliados pueden registrarse fácilmente.
- Modelo de negocio: Los creadores reciben una comisión (generalmente 20-30%) por cada rescate pagado.
- Escalabilidad: Permite lanzar campañas masivas con mínima experiencia técnica por parte de los afiliados.
- Soporte técnico: Algunos grupos incluso ofrecen atención al cliente para asegurar que las víctimas puedan pagar el rescate.
Ejemplos destacados de RaaS:
- Cerber (2016): Uno de los primeros modelos exitosos de RaaS.
- REvil (2020): También conocido como Sodinokibi, operó con gran efectividad contra empresas.
- LockBit (2020-presente): Dominante en el panorama actual, con iteraciones constantes que mejoran la eficiencia del ransomware.
- BlackCat (2021): Diseñado en Rust, ha establecido un nuevo estándar de sofisticación.
Impacto del RaaS
- Democratización del cibercrimen: Ya no es necesario ser un experto técnico para realizar ataques de ransomware.
- Aumento de los ataques dirigidos: Los afiliados de RaaS realizan campañas específicas, eligiendo objetivos de alto valor como hospitales, empresas financieras y gobiernos.
- Incremento de la doble y triple extorsión:
- Doble extorsión: Cifrar datos y amenazar con publicarlos si no se paga.
- Triple extorsión: Incluir ataques DDoS como presión adicional.
Resumen
La evolución del ransomware desde el AIDS Trojan hasta el modelo RaaS ilustra cómo el ransomware ha pasado de ser un experimento rudimentario a una industria multimillonaria.
Este contexto es esencial para comprender las tácticas y técnicas que se enfrentarán en los incidentes modernos.
19 comments