Ryuk es un software malicioso (malware) de alto riesgo usado para apuntar a grandes organizaciones en busca de rescates masivos. Los operadores de ransomware suelen apuntar a organizaciones de salud, escuelas y empresas privadas. Estas organizaciones no pueden darse el lujo de sufrir tiempo de inactividad y muchas veces están dispuestas a pagar millones de dólares en costos de recuperación y rescates en Bitcoin. Pero incluso cuando las empresas deciden no pagar el rescate, los costos siguen siendo altos.
Si bien no existe una forma infalible de evitar el ransomware, esta guía ofrece un análisis práctico del ransomware Ryuk para mejorar tu postura de ciberseguridad. Aprenderás a detectar la amenaza a tiempo y a detener el ataque antes de que el ransomware interrumpa tus sistemas.
Ryuk es un tipo infame de ransomware conocido por el big game hunting. Desde su descubrimiento inicial en 2018, los expertos han investigado varias fuentes del malware y ahora creen que el grupo de habla rusa Wizard Spider lo creó. En lugar de usar un ataque rápido y automatizado, estos actores de amenazas suelen pasar días o semanas dentro de una red comprometida. Durante este tiempo, realizan reconocimiento, roban credenciales e identifican los archivos más críticos para garantizar un rescate alto.
El ransomware comercial (listo para usar) lanza una red amplia y se propaga mediante métodos como el phishing o descargas maliciosas. Los actores de amenazas lo usan para captar a la mayor cantidad posible de víctimas desprevenidas y obtener muchos pagos de rescate más pequeños. Ryuk, en cambio, es una amenaza personalizada y operada por humanos, usada exclusivamente para el big game hunting y así asegurar el rescate más alto posible. Los actores de amenazas suelen usar Trickbot o el malware Emotet para obtener acceso, y luego comprometen manualmente las redes para identificar los activos críticos.
Ryuk permite un ataque lucrativo para los hackers detrás de él, y genera grandes pérdidas en tiempo de inactividad y rescates para las organizaciones afectadas. Algunos ejemplos incluyen:
Los actores de amenazas que usan Ryuk suelen implementar el ransomware con pericia y tomarse su tiempo después de ingresar a un sistema. Saben que permanecer más tiempo dentro del sistema aumenta el daño que pueden infligir a sus víctimas. Sin embargo, pasar largos periodos como huésped no autorizado en un sistema conlleva riesgos adicionales, ya que aumenta la probabilidad de ser detectados. Las organizaciones pueden aprovechar esta ventana para bloquear la amenaza antes de la implementación final.
Los actores de amenazas de Ryuk suelen obtener acceso inicial mediante tácticas de ingeniería social como correos de spear-phishing que contienen archivos adjuntos maliciosos que instalan malware como Emotet o Trickbot para establecer un punto de apoyo persistente. Luego, los atacantes pueden usar herramientas como AdFind para consultar Active Directory y localizar sistemas valiosos a los que apuntar.
Después de la infección inicial, los actores de amenazas suelen usar herramientas como Cobalt Strike o el protocolo de escritorio remoto (RDP) para moverse lateralmente por el sistema. También pueden usar malware como Mimikatz para robar credenciales y escalar privilegios con el objetivo de comprometer un objetivo. En este punto, los actores de amenazas pueden propagar un archivo ejecutable (.exe) o payload a todos los endpoints de la organización.
Antes del ataque final, los actores de amenazas deben deshabilitar las defensas. Logran esto finalizando procesos de seguridad, como agentes de EDR y antivirus, y deshabilitando el registro de eventos siempre que sea posible. También eliminan versiones anteriores (copias shadow) usando la utilidad de línea de comandos vssadmin y detienen los servicios de respaldo. Finalmente, cifran los archivos de producción —y, cuando es posible, eliminan o cifran los respaldos accesibles— para que restaurar sin pagar se vuelva lento, costoso o imposible.
En la etapa final, los actores de amenazas usan la herramienta de línea de comandos PsExec o el directorio de objetos de política de grupo (GPO) para distribuir el payload de Ryuk en todo el dominio. El ataque malicioso usa Advanced Encryption Standard (AES) y cifrado RSA para bloquear archivos, lo que requiere un intercambio seguro de claves. En muchas campañas, los archivos cifrados reciben una nueva extensión (comúnmente `.ryk`), y se deja una nota de rescate en texto en cada directorio.
Nuestros analistas del SOC se han encontrado con Ryuk en numerosas ocasiones y ahora identifican estas señales antes del despliegue. Los equipos de seguridad pueden usar estos indicadores para acelerar la detección en ciberseguridad y bloquear el ataque antes de que se agrave, al identificar:
El antivirus tradicional se enfoca en binarios maliciosos conocidos. Sin embargo, los operadores de Ryuk dependen en gran medida de credenciales robadas, RDP y herramientas administrativas (PsExec, PowerShell, `icacls`, `vssadmin`). Eso significa que gran parte de su actividad parece trabajo administrativo legítimo hasta una etapa muy avanzada del ataque, a menudo cuando el cifrado ya ha comenzado.
Por eso, la mejor ventana para detener este ataque malicioso es lo más pronto posible. Lo ideal es que tu equipo actúe mientras los actores de amenazas todavía están completando el acceso inicial y el reconocimiento.
En las horas previas al despliegue del ransomware Ryuk en UHS, los empleados vieron a los actores de amenazas deshabilitar el software antivirus y acceder a discos duros. Sin embargo, el equipo de ciberseguridad no actuó lo suficientemente rápido para detener el despliegue.
Huntress Managed EDR está diseñado para detectar y responder a comportamientos tipo Ryuk desde el inicio: reconocimiento, movimiento lateral, manipulación de copias de seguridad, para que tu equipo tenga la oportunidad de contener la intrusión antes de un cifrado generalizado.
Nuestro SOC liderado por personas, respaldado por automatización y detecciones impulsadas por IA, ofrece monitoreo las 24 horas, los 7 días de la semana y una respuesta rápida, con un tiempo medio de respuesta (MTTR) medido en minutos para la mayoría de los incidentes escalados.
Al detectar el ransomware operado por humanos en sus primeras etapas, Huntress puede ayudar a reducir la probabilidad y el posible impacto de incidentes de la clase Ryuk, que le han costado a grandes organizaciones decenas de millones de dólares.
El ransomware es un tipo de malware que corta tu acceso a computadoras, sistemas o redes. Mira el video de nuestro el centro de operaciones de seguridad (SOC) para conocer a fondo la ruta de un ataque de ransomware, para que puedas detectarlo a tiempo, detenerlo y evitar que los hackers se lleven el dinero.
Para cuando ves la nota de rescate, el ataque lleva horas en curso, a veces días. El cifrado es el último paso, no el primero. Si solo reaccionas cuando los archivos se bloquean, ya perdiste la parte que importaba.
Muchas intrusiones documentadas de Ryuk han tomado varios días entre el compromiso inicial y el cifrado masivo, y algunas campañas han operado durante semanas. Más recientemente, los equipos de respuesta han visto a los operadores de Ryuk completar un ataque entero, desde el acceso inicial hasta el cifrado total del dominio, en tan solo tres horas.
Los actores de amenazas de Ryuk suelen desactivar manualmente los controles de ciberseguridad desde el inicio del ataque. Por lo tanto, sin importar qué tan eficaz sea la herramienta antivirus, no puede detectar con éxito el acceso no autorizado mientras está desactivada. Sin embargo, algunas herramientas de ciberseguridad pueden detectar los intentos iniciales a tiempo, como marcar el correo de malspam inicial.
Los indicadores tempranos incluyen:
