Incluso su impresora puede traer malas noticias: Kaspersky revela un nuevo método de chantaje

Las impresoras de oficina comunes se convirtieron en el eslabón final en ataques con cifrado de datos. Los delincuentes bloquearon los discos corporativos con la función estándar de Windows y luego imprimieron las demandas de rescate directamente en las oficinas de las empresas afectadas.

Los especialistas investigaron dos incidentes similares, ocurridos en mayo en México y en junio en Colombia. En ambos casos, los empleados primero notaron un icono de candado cerrado junto a los discos en el Explorador de Windows. Al intentar abrir los archivos, el sistema pedía la clave de recuperación de BitLocker.

En Colombia los delincuentes accedieron al equipo a través del protocolo de Escritorio remoto abierto a internet. A la máquina estaba conectado un disco de 8 TB con información financiera crítica. Tras tomar el control del sistema, los atacantes cambiaron las credenciales, activaron BitLocker solo en el disco necesario y bloquearon el acceso a los archivos.

Tras el cifrado, los delincuentes enviaron las demandas de rescate a las impresoras de la empresa. Para la recuperación de los datos solicitaron $3000. La dirección consideró pagar; sin embargo, la empresa se apresuró a restaurar el sistema antes del inicio de una investigación completa. Como resultado, los especialistas perdieron gran parte de las huellas digitales del ataque.

La intrusión se facilitó por puertos de red abiertos y un acceso remoto mal configurado. Además, en el equipo desactivaron la protección de endpoints debido a problemas de compatibilidad con aplicaciones de trabajo. Los atacantes pudieron revisar el sistema, ejecutar comandos y examinar los discos conectados sin generar alertas en el sistema central de monitorización.

El segundo ataque comenzó en México aproximadamente tres meses antes de su detección. Los integrantes de XEntry Team encontraron credenciales de acceso a la base de datos Microsoft SQL Server en el código fuente que los empleados publicaron por error en GitHub. El servidor de base de datos era accesible desde internet y permitía ejecutar comandos del sistema operativo mediante la función xp_cmdshell.

Al principio, los atacantes comprobaron sus privilegios, relajaron las configuraciones del servidor web e intentaron subir archivos para control remoto. Las herramientas de seguridad bloquearon parte de las acciones y generaron alertas, pero el personal no realizó la verificación necesaria.

Más tarde, los atacantes penetraron en la red interna, encontraron recursos compartidos y obtuvieron acceso a sistemas con configuraciones de red, servicios corporativos e infraestructura en la nube. A principios de mayo instalaron herramientas de administración remota ManageEngine Endpoint Central, Mesh Agent y Tactical RMM.

A través de los programas de administración remota, los atacantes crearon tareas que activaban BitLocker y cifraban los discos por turno. Para cada equipo se generó una clave individual. A mediados de mayo los atacantes propagaron las órdenes mediante las políticas de grupo del dominio. Primero se cifraron servidores críticos y luego todos los equipos relacionados con el controlador de dominio.

Los empleados se dieron cuenta de lo que ocurría cuando los equipos empezaron a mostrar una pantalla azul con la inscripción «Hacked by XEntry Team» y las contraseñas anteriores dejaron de funcionar. Tras unas horas, las impresoras de oficina imprimieron las demandas de rescate.

Ambos ataques demuestran que los delincuentes no siempre necesitan sus propios programas extorsivos. El BitLocker integrado y las herramientas legales de administración remota son suficientes para bloquear una red corporativa completa. Este enfoque reduce los costes de los atacantes y les permite ocultarse durante más tiempo entre las acciones habituales de los administradores de sistemas.

Según el informe de la empresa, más del 13% de los incidentes investigados están relacionados con incumplimientos de políticas de seguridad y errores de configuración. Más del 20% de los casos implicaron el abuso de herramientas de administración remota.

Los especialistas recomiendan bloquear el acceso directo de Escritorio remoto desde internet, limitar la ejecución de aplicaciones, vigilar las conexiones de red y comprobar de inmediato las alertas de los sistemas de seguridad. Tras un ataque no debe apresurarse la restauración de servidores y estaciones de trabajo. Los registros y las huellas digitales conservados ayudan a determinar la vía de intrusión y cerrar los puntos vulnerables.

No se logró confirmar un vínculo directo entre los dos grupos. Sin embargo, los delincuentes utilizaron formulaciones similares sobre su «reputación», cifraron los discos de la misma manera con BitLocker y transmitieron las demandas a través de impresoras corporativas. Los especialistas continúan vigilando ataques similares.