No es la primera vez que un organismo, ya sea un hospital, o incluso una comisaría de Policia, paga el soborno de un rescate un ataque informático de Ransomware. Pero si parece ser la primera vez que lo hace aún teniendo una copia de seguridad válida. ¿El motivo? El tiempo estimado para la restauración de la copia de seguridad era de varios días o incluso semanas, así que decidieron que sería mucho más rápido pagar. Y es que el tiempo es dinero. Y es que si su sistema de restauración de copia de seguridad tardará semanas en restaurar los datos, eso sugiere que necesitan un nuevo sistema de restauración de copia de seguridad.....



Un hospital de Indiana pagó un rescate de 55,000$ para deshacerse del ransomware que había infectado sus sistemas y estaba obstaculizando las operaciones la semana pasada.

• https://www.hancockregionalhospital.org/2018/01/cyber-attack/

At approximately 9:30 PM on Thursday, January 11, 2018, an attack on the information systems of Hancock Health was initiated by an as-yet unidentified criminal group.  The attack used ransomware, a kind of computer malware that locks up computers until a ransom is paid, usually in the form of Bitcoin.  Through the effective teamwork of the Hancock technology team, an expert technology consulting group, and our clinical team, Hancock was able to recover the use of its computers, and at this time, there is no evidence that any patient information was adversely affected.   Hancock is continuing to work with national law enforcement to learn more about the incident.  We plan to provide additional information to our community regarding this act soon.

La infección se produjo la semana pasada, el jueves 11 de enero, cuando los atacantes entraron en la red de Hancock Health, un hospital regional en la ciudad de Greenfield, Indiana.


El hospital, con sede en Greenfield, Ind., explicó que un exitoso ataque de ransomware el jueves retuvo a los sistemas de TI del hospital, exigiendo un pago de rescate en Bitcoin (BTC) a cambio de ña clave de descifrado.

• Los archivos fueron renombrados a "I'm sorry" - "Lo siento"

Los atacantes desplegaron el ransomware SamSam, que cifró los archivos y los renombró con la frase "lo siento", según un periódico local que dió la noticia la semana pasada.

Las operaciones del hospital se vieron afectadas de inmediato. El personal de TI intervino y paró toda la red, pidiendo a los empleados que apaguen todas las computadoras para evitar que el ransomware se propague a otras computadoras.

Para el viernes, al día siguiente, el hospital estaba lleno de carteles pidiendo a los empleados que apagaran cualquier computadora hasta que se resolviera el incidente.


Mientras que algunos sitios de noticias informaron que el hospital cerró las operaciones, el personal médico y de gestión continuó su trabajo, pero con lápiz y papel en lugar de computadoras. Los pacientes continuaron recibiendo atención en la premisa del hospital.

El hospital tenía copias de seguridad, pero decidió pagar la demanda de rescate

El hospital dijo que a pesar de tener copias de seguridad, optó por pagar la demanda de rescate de 4 Bitcoin, que valía alrededor de $ 55,000 en el momento en que el hospital pagó la suma, el sábado por la mañana.

La gerencia del hospital le dijo a la prensa local que la restauración de las copias de seguridad no era una solución, ya que habría llevado días e incluso semanas tener todos los sistemas en funcionamiento. Por lo tanto, decidieron pagar el rescate era más rápido.

Para el lunes, todos los sistemas estaban en funcionamiento, y el hospital emitió una breve declaración en su sitio admitiendo el incidente, pero con muy pocos otros detalles.


Long dijo que aunque las copias de seguridad se podrían haber usado para recuperar los sistemas infectados y los archivos cifrados por el ransomware, puede haber tomado "días, tal vez incluso semanas" para restaurar el orden.

Tal esfuerzo también habría sido costoso, por lo que el ejecutivo le dijo a The Reporter que "desde el punto de vista comercial, pagar un pequeño rescate tenía más sentido".

Cuando una empresa paga tales demandas, no solo financian más las operaciones de ransomware, sino que también corren un riesgo. Es posible que las claves de desencriptación prometidas no se materialicen ni funcionen, lo que deja a las víctimas fuera de su bolsillo y sin acceso a sus archivos.


Sin embargo, en este caso, los hackers entregaron las claves de descifrado en funcionamiento una vez que recibieron su pago de chantaje. Para el lunes, la vida había vuelto a la normalidad.

Ransomware de SamSam se propagó a través de ataques RDP en el pasado

SamSam, el ransomware utilizado en este incidente, apareció por primera vez hace dos años y solo se utilizó en ataques dirigidos. El equipo de SamSam normalmente escanea Internet para computadoras con conexiones RDP abiertas. Los atacantes se abren paso en grandes redes forzando brutales estos extremos RDP y luego se extienden a incluso más computadoras. Una vez que tienen una presencia suficientemente fuerte en la red, los atacantes implementan SamSam y esperan a que la compañía pague la demanda de rescate o los arranque de su red.

Si bien el hospital no confirmó el típico escenario de ataque de SamSam, sí dijeron que la infección no era el caso de un empleado que abría un correo electrónico infectado con malware.

El FBI ha pedido a las compañías y personas afectadas por ransomware que informen sobre cualquier infección a través del portal IC3 para que la Oficina pueda comprender mejor la amenaza y tenga los motivos legales para perseguir a dichos grupos.

Fuentes:
https://www.bleepingcomputer.com/news/security/hospital-pays-55k-ransomware-demand-despite-having-backups/
http://www.zdnet.com/article/us-hospital-pays-55000-to-ransomware-operators/