La firma estadounidense de administración de viajes CWT pagó 4.5 millones de dólares esta semana a los operadores del ransomware Ragnar Locker que robaron una gran cantidad de archivos corporativos confidenciales y dijeron que habían desconectado 30,000 computadoras, según un registro de las negociaciones de rescate vistas por Reuters. Se filtran las conversaciones privadas con los operadores del ransomware, que les da una serie de consejos muy útiles.

• Compañía CWT paga U$S4,5 millones por recuperase de  un ataque de ransomware

Una compañía estadounidense de gestión de viajes de negocios y eventos que ha sido puesta en jaque por uno o varios delincuentes informáticos que han conseguido infectar con el ransomware Ragnar Locker su red. Conocemos cuánto pedían inicialmente los delincuentes, cómo ha sido la negociación y cuánto dinero en bitcoins ha pagado finalmente CWT, pero lo más sorprendente es que toda su conversación ha quedado registrada en un chat que finalmente ha sido exhibido en Twitter. Regateo incluido. Y no tiene desperdicio.

• https://twitter.com/jc_stubbs/status/1289199296328298497

Las negociaciones subsiguientes entre los operadores del ransomware y un representante de CWT permanecieron accesibles públicamente en un grupo de chat en línea, proporcionando una visión poco común de la relación tensa entre los ciberdelincuentes y sus víctimas corporativas.


Llegan a piropear a CWT agradeciendo al responsable de la compañía su profesionalidad.

"It's a pleasure to work with professionals."

Cabe destacar que son recomendaciones de los propios atacantes y para ayudar a empresas grandes atacadas por ransomware profesional.


Les dicen CWT una detallada lista de recomendaciones que puede ayudar a esta compañía a prevenir futuros ataques de esta envergadura en el futuro.

• Deshabilitar las contraseñas locales
• Forzar la finalización de sesiones de administradores
• Evitar que WDigest (Digest Authentication) usado en LDAP, almacene las contraseñas en memoria
• Actualizar las contraseñas cada mes
• Reduce los permisos de usuarios para que accedan a lo imprescindible
• Applocker y el uso de las aplicaciones necesarias
• No cuentes con los antivirus a corto plazo
• Instala un EDR (EndPoint Detection and Response) y que los técnicos sepan trabajar con él
• Trabajar las 24 horas del día

CWT, que registró ingresos de $ 1.5 mil millones el año pasado y dice que representa más de un tercio de las compañías en el índice bursátil S&P 500 de EE. UU., Confirmó el ataque pero se negó a comentar los detalles de lo que dijo que era una investigación en curso.

CWT dijo que había informado de inmediato a las autoridades policiales estadounidenses y a las autoridades europeas de protección de datos.

Una persona familiarizada con la investigación dijo que la compañía creía que la cantidad de computadoras infectadas era considerablemente menor de las 30.000.

La sorprendente negociación, paso a paso

Inicialmente exigieron un pago de $ 10 millones para restaurar los archivos de CWT y eliminar todos los datos robados, según los mensajes revisados ​​por Reuters. "Probablemente sea mucho más barato que los gastos judiciales (sic), la pérdida de reputación causada por la fuga", escribieron los atacantes el 27 de julio.

El representante de CWT en las negociaciones, quien dijo que actuaban en nombre del director financiero de la empresa, dijo que la compañía había sido gravemente afectada por la pandemia COVID-19 y acordó pagar $ 4.5 millones en la moneda digital bitcoin.



"Está bien, hagamos que esto avance. ¿Cuáles son los siguientes pasos?" dijo el representante después de aceptar el rescate.

Un libro público de pagos en moneda digital, conocido como blockchain, muestra que una billetera en línea controlada por ellos recibió el pago solicitado de 414 bitcoins el 28 de julio.



En una nota de rescate que se dejó en computadoras CWT infectadas y capturas de pantalla publicadas en línea, afirmaron haber robado dos terabytes de archivos, incluidos informes financieros, documentos de seguridad y datos personales de los empleados, como direcciones de correo electrónico e información salarial.

No estaba claro si los datos pertenecían a alguno de los clientes de CWT, incluido Thomson Reuters, se vio comprometido.

Los funcionarios de seguridad occidentales dicen que los ataques de ransomware son una amenaza constante y grave para las empresas y las empresas privadas.

Se cree que tales ataques cuestan miles de millones de dólares cada año, ya sea en pagos extorsionados o en costos de recuperación.


Los expertos en ciberseguridad dicen que la mejor defensa es mantener copias de seguridad de los datos seguras, y que pagar rescates fomenta nuevos ataques criminales sin ninguna garantía de que los archivos cifrados serán restaurados.

Fuentes:
https://empresas.blogthinkbig.com/recomendaciones-criminales-industria-ransomware/
https://www.reuters.com/article/us-cyber-cwt-ransom/payment-sent-travel-giant-cwt-pays-4-5-million-ransom-to-cyber-criminals-idUSKCN24W25W
https://www.xataka.com/seguridad/hackers-han-ganado-han-hecho-publico-su-surrealista-negociacion-compania-cwt-ha-sido-exhibida-chat