Lilocked es una nueva variante de ransoware que también es popularmente conocido por el nombre de Lilu, y es un software malicioso que está infectando servidores basados en Linux. Comenzó a infectar servidores a mediados de julio de este año, pero en las últimas semanas los ataques han empezado a ser más frecuentes, y ya ha comenzado con su propagación a gran escala, situación que debería de ocuparnos.
El primer caso conocido del ransomware Lilocked tiene su registro en el mes de julio cuando fue reportado por primera vez por el investigador de malware Michael Gillespie, que observó el primer caso de Lilocked cuando un usuario cargó una nota de ransomware en su sitio web ID Ransomware. Este sitio web se puede utilizar para identificar diferentes variantes de ransomware.
El principal objetivo de Lilocked son los servidores y conseguir acceso root en los mismos. El mecanismo que usa para conseguir ese acceso aún es desconocido. Pero lo más probable es que se haya esparcido utilizando las técnicas que la mayoría de los ransomware utilizan para infectar equipos, es decir, que se puedo haber esparcido mediante 1) campañas de correo electrónico no deseado; 2) fuentes de descarga de software de terceros; 3) falsas actualizaciones de software; 4) falsas 'herramientas de craqueo' y 5) troyanos.
Lo preocupante sobre Lilocked es que solo hasta ahora, dos meses después de su descubrimiento, se ha sabido que Lilu ha infectado poco más de 6700 servidores basados en Linux, y si la tendencia continua podría convertirse en una amenaza global en los meses por venir.
¿Cómo opera Lilocked?
Por su nombre podemos deducir que lo que hace una vez que infecta los servidores bloquea los accesos a los archivos alojados en estos servidores con una extensión .lilocked, es decir, este software malicioso modifica los archivos, les cambia la extensión a .lilocked y los deja totalmente inservibles, a menos que se pague un rescate para poder restaurarlos, por lo que también te deja una nota indicándote que accedas a un sitio de Onion dentro de la red profunda y pagues 0.03 BTC o US $ 325 para descifrar los archivos afectados.
Únicamente afecta a los archivos alojados
Lilu no afecta el funcionamiento del sistema de los servidores víctimas, pero si afecta archivos como los HTML, SHTML, JS, CSS, PHP, INI y otros formatos de imágenes. Esto significa que el sistema funcionará con total normalidad, solo que no se podrá acceder a los archivos bloqueados. El “secuestro” recuerda un poco al del “Virus de la policía”, con la diferencia de que aquel sí que impedía el uso del sistema operativo.
Pensamientos Finales
A la fecha no se conoce el mecanismo que usa Lilocked para funcionar, por lo que no hay ningún parche que aplicar. Por lo que se recomienda que usemos contraseñas fuertes, mantener el software siempre bien actualizado y utilizar tecnología de nueva generación que ayude a prevenir y protegerte de malware conocido, desconocido y de día cero.
Para estar más protegido contra Lilocked y cualquier otra variante de ransomware te recomiendo utilizar las siguientes medidas preventivas:
- Usar contraseñas seguras y únicas
- Conocer las fallas de seguridad en las aplicaciones que usas
- Actualizar todas las aplicaciones a sus últimas versiones con los parches de seguridad necesarios.
- Evitar abrir archivos adjuntos de correo electrónico de remitentes desconocidos.
- Utilizar un filtrado de URL.
- Generar listas de negras de reputación.
- Bloquear ciertos tipos de archivos a través de SMTP.
- Bloquear o alertar al identificar archivos cifrados y comprimidos puede reducir el riesgo de infección.
- Bloquear las solicitudes a dominios que estén categorizados como maliciosos o direccionalos a una IP falsa o interna (Sinkhole) y realiza un análisis más exhaustivo.
- Adoptar un enfoque preventivo hacia la administración de datos.
- Haz copias de seguridad de todos tus archivos críticos de forma habitual tanto en servidores locales fuera de la red y en la nube.
- Solamente pagar si no cuentas con algún respaldo de la información cifrada, desafortunadamente esto no te da ninguna garantía de que la podrás recuperar, prácticamente tenemos que apelar a la buena voluntad de que los atacantes nos devolverán nuestra información, porque después de que el ransomware ha infectado los sistemas, hay poco que hacer.
En nuestros próximos blogs y futuros podcasts te estaremos informando sobre las noticias más relevantes y los mejores consejos para hacer tu vida digital más simple, sencilla y segura.
