Pese a las mil y una advertencias de no pagar un rescate después de un ataque de ransomware, una de las más importantes instituciones de investigación médica que trabaja en un la búsqueda de una vacuna para el Covid-19, la Universidad de California en San Francisco (UCSF), ha admitido que pagó a los ciberdelincuentes un rescate de 1,14 millones de dólares (1.02 millones de euros) después de una negociación encubierta presenciada por BBC News.

• La Universidad de California en San Francisco (UCSF) reveló que pagó aproximadamente $ 1.14 millones a los cibercriminales para recuperar datos después de un ataque de ransomware conocido como NetWalker.
• Netwalker se ha relacionado con al menos otros dos ataques de ransomware en universidades en los últimos dos meses.

A fines de la semana pasada, la Universidad de California en San Francisco (UCSF) admitió haber pagado aproximadamente $ 1.14 millones a los cibercriminales para recuperar datos cifrados durante un ataque de ransomware que tuvo lugar el 1 de junio.

En respuesta al ataque, los sistemas de TI dentro de la Facultad de Medicina fueron puestos en cuarentena.

UCSF dijo que contenía inmediatamente la amenaza, pero que ciertos sistemas se vieron afectados. La USCF y las redes del campus no se vieron afectadas, la organización señaló que la prestación de atención al paciente y las operaciones COVID-19 tampoco se vieron afectadas. La Universidad cree que el ataque fue oportunista y que no apuntó a sistemas o datos específicos dentro de la organización.

"Mientras detuvimos el ataque mientras ocurría, los actores lanzaron malware que cifraba un número limitado de servidores dentro de la Facultad de Medicina, haciéndolos temporalmente inaccesibles", se lee en un comunicado publicado por la UCSF.

• https://www.ucsf.edu/news/2020/06/417911/update-it-security-incident-ucsf

“Los atacantes obtuvieron algunos datos como prueba de su acción, para usar en su demanda de un pago de rescate. Continuamos nuestra investigación, pero actualmente no creemos que se hayan expuesto los registros médicos de los pacientes ".


Los actores de la amenaza accedieron a parte del trabajo académico y lo cifraron, pero debido a la importancia de los documentos, la universidad decidió pagar una parte del rescate, aproximadamente $ 1.14 millones, para descifrarlo.

UCSF ha estado trabajando con un consultor líder en seguridad cibernética y otros expertos externos para investigar el incidente y prevenir ataques similares en el futuro. La universidad espera restaurar completamente los servidores afectados pronto.


Llama la atención las divertidas conversaciones filtradas en un blog con los delincuentes dónde bromean:




Al momento de escribir este artículo, la organización aún no ha proporcionado detalles sobre el ataque, pero los expertos creen que los sistemas fueron infectados por los operadores de ransomware NetWalker, los mismos de la Universidad de Michigan (MSU)

• https://msutoday.msu.edu/news/2020/msu-provides-update-on-it-based-intrusion

"Una forma de ransomware conocido como NetWalker agregó dos universidades más a su lista de víctimas el miércoles al afirmar haber robado archivos del Columbia College de Chicago y de la Universidad de California, San Francisco, según las capturas de pantalla publicadas en un blog mantenido por los piratas informáticos detrás los ataques ". informó el sitio web edscoop.com.

"Este incidente refleja el uso cada vez mayor de malware por parte de ciberdelincuentes en todo el mundo que buscan ganancias monetarias, incluidos varios ataques recientes contra instituciones de educación superior. Continuamos cooperando con las fuerzas del orden público, y apreciamos que todos comprendan que estamos limitados en lo que podemos compartir mientras continuamos con nuestra investigación ". La declaración concluye.



Una negociación encubierta presenciada por BBC News y un aviso anónimo permitió a BBC News seguir las negociaciones de rescate en un chat en vivo en la web

A primera vista, su página web oscura parece un sitio web estándar de servicio al cliente, con una pestaña de preguntas frecuentes (FAQ), una oferta de una muestra "gratuita" de su software y una opción de chat en vivo.

Pero también hay un temporizador de cuenta regresiva que llega a un momento en que los piratas informáticos duplican el precio de su rescate o eliminan los datos que han codificado con malware.

Al observar que UCSF ganaba miles de millones al año, los piratas informáticos exigieron $ 3 millones

Pero el representante de UCSF, que puede ser un negociador especialista externo, explicó que la pandemia de coronavirus había sido "financieramente devastadora" para la universidad y les rogó que aceptaran $ 780,000.

Después de un día de negociaciones de ida y vuelta, UCSF dijo que había reunido todo el dinero disponible y podría pagar $ 1.02 millones, pero los delincuentes se negaron a ir por debajo de $ 1.5 millones.

Horas después, la universidad regresó con detalles de cómo había obtenido más dinero y una oferta final de $ 1,140,895.

Y al día siguiente, 116.4 bitcoins fueron transferidos a las billeteras electrónicas de Netwalker y el software de descifrado enviado a UCSF.

UCSF ahora está ayudando al FBI con sus investigaciones, mientras trabaja para restaurar todos los sistemas afectados.


"Por lo tanto, tomamos la difícil decisión de pagar una parte del rescate, aproximadamente $ 1.14 millones, a las personas detrás del ataque de malware a cambio de una herramienta para desbloquear los datos cifrados y la devolución de los datos que obtuvieron.

Pero Jan Op Gen Oorth, de Europol, que dirige un proyecto llamado No More Ransom, dijo: "Las víctimas no deberían pagar el rescate, ya que esto financia a los delincuentes y los alienta a continuar sus actividades ilegales.

Brett Callow, analista de amenazas de la compañía de ciberseguridad Emsisoft, dijo: "Las organizaciones en esta situación no tienen una buena opción.

"Incluso si pagan la demanda, simplemente recibirán una promesa rosada de que se eliminarán los datos robados.

"Pero, ¿por qué una empresa criminal despiadada eliminaría datos que podrían monetizar aún más en una fecha posterior?"

La mayoría de los ataques de ransomware comienzan con un correo electrónico atrapado en piquetas y la investigación sugiere que las pandillas criminales utilizan cada vez más herramientas que pueden obtener acceso a los sistemas a través de una sola descarga. Solo en la primera semana de este mes, los analistas de seguridad cibernética de Proofpoint dicen que vieron más de un millón de correos electrónicos con el uso de una variedad de señuelos de phishing, incluidos los resultados falsos de la prueba Covid-19, enviados a organizaciones en los EE. UU., Francia, Alemania, Grecia e Italia.

Se alienta a las organizaciones a realizar copias de seguridad de sus datos sin conexión regularmente.

Pero Ryan Kalember de Proofpoint dijo: "Las universidades pueden ser entornos difíciles de proteger para los administradores de TI.

"La población estudiantil en constante cambio, combinada con una cultura de apertura e intercambio de información, puede entrar en conflicto con las reglas y controles que a menudo se necesitan para proteger eficazmente a los usuarios y sistemas de los ataques".

No pagar el rescate puede costar mucho más que pagarlo, ya que las organizaciones pierden productividad sin ordenadores, pueden perder datos valiosos y generalmente tienen que contratar consultores costosos para restaurar sus sistemas. La ciudad de Baltimore vivió uno de los casos más famosos de no pagar: los delincuentes exigieron 76.000 dólares para liberar el sistema informático paralizado de la ciudad, el ayuntamiento se negó y, finalmente, sus pérdidas supusieron más de 18 millones de dólares.


Fuentes:
https://unaaldia.hispasec.com/2020/07/como-unos-ciberdelincuentes-extorsionaron-114-millones-de-dolares-a-la-universidad-de-california.html
https://www.bbc.com/news/technology-53214783