Según el Informe trimestral de IBM X-Force Threat Intelligence, cuarto trimestre de 2015, las principales fuentes de ataque de ransomware son las vulnerabilidades sin parches, las infecciones no autorizadas y los correos electrónicos de spear-phishing:

Fuente: IBM X-Force

Cómo prevenir ataques de ransomware

Educación del usuario

Eduque a sus usuarios para que no descarguen archivos de contactos desconocidos. Por lo general, el ransomware se envía en correos electrónicos reclamando facturas pendientes con documentos de Word. Cuando abra el documento, el ransomware se instalará y comenzará a hacer su trabajo.

Escanear y filtrar servidores de correo

Escanee sus servidores de correo para evitar que los intentos de phishing lleguen a los destinatarios previstos.

Realice copias de seguridad de los datos con regularidad

Asegúrese de realizar copias de seguridad de sus datos importantes con regularidad y protegerlos. Esto le ayudará a evitar pagar el rescate y reducir el tiempo de recuperación.

¿Vulnerabilidad? Parche el software crítico y el sistema operativo de inmediato

Parchee su software crítico como su navegador, complementos de navegador, clientes de correo electrónico y sistemas operativos inmediatamente después de recibir una notificación. ¿Sabías que la filtración de los Papeles de Panamá (2,6 TB de datos) se produjo debido a de servidores web vulnerables y servidores de correo?

Observe el crecimiento del ransomware en los últimos tres años:

Fuente: McAfee Labs, 2015.

Si bien las medidas que describe en su pregunta no son incorrectas, tampoco son correctas:

• Los documentos tampoco son seguros para abrir.

  • A menudo, los exploits vienen en forma de interestingFile.txt.exe.

    Windows oculta el .exe de forma predeterminada para los usuarios potenciales pensar que es solo un archivo de texto cuando de hecho ejecutan código.

    Hay otras formas de evitar que el usuario reconozca el código ejecutable como tal. Por ejemplo, usando Unicode y la marca de derecha a izquierda también, como PlasmaHH sugirió en los comentarios.

  • Existe una variedad de malware de macro para productos de Office.

• Explotaciones no autorizadas

  Esos son una amenaza real para todos, no solo para el uso de 2-3 sitios web y para todos los que siguen ciegamente los enlaces.

  Esto es especialmente cierto ya que hay (¿muchos?) Exploits de día cero que son desconocidos para el público y, por lo tanto, No arreglado todavía. Incluso hay eventos como pwn2own, que muestran tales explotaciones en vivo, yendo a un sitio web preparado, eso puede ser.

De hecho, como Philipp señala correctamente en los comentarios, las infecciones pueden ocurrir básicamente en cualquier sitio web que incluya contenido de otro lugar, por ejemplo, anuncios.

La otra parte de su pregunta tiende a ser

¿Por qué hay tanto ransomware ahora y antes no había tantas infecciones?

Bueno, porque el ransomware tiende a ser más rentable que usar infecciones para establecer una red de bots, que por lo general pasaba desapercibida para la mayoría de los usuarios (y ese era el punto).

Por lo tanto, no ha habido un aumento real de las infecciones, solo un aumento en la visibilidad de las infecciones.

Para abordar la pregunta sobre el sistema operativo de los comentarios

Windows suele ser, ya que tiene la mayor participación de mercado, el objetivo más frecuente (por todo el malware), pero el ransomware también existe para sabores * NIX. Esto incluye Mac OS X y Linux.

Si no me equivoco, se ha demostrado que Mac OS X está siendo explotado desde el interior de este año como Pwn2Own.

¿Está a salvo del ransomware simplemente por no descargar archivos sospechosos?

Desafortunadamente, es un error asumir que está a salvo del ransomware simplemente por no descargar archivos de sitios web sospechosos.

Como ejemplo, el mes pasado, la versión OS X del popular cliente BitTorrent Transmission (v2.90) fue infectada con ransomware. Esta versión infectada de Transmission se distribuyó a través del sitio web oficial de Transmission (su servidor principal estaba comprometido) durante uno o dos días, por lo que cualquiera que la descargara en ese momento habría sido infectado. Sorprendentemente, intentar actualizar dentro de la aplicación (Transmission usa el marco Sparkle) habría sido seguro, ya que los atacantes aparentemente no actualizaron la suma de comprobación para Sparkle en la versión comprometida, lo que provocó el (potencialmente automático ) la actualización en la aplicación falla con una discrepancia de firma.

Desafortunadamente, este ransomware casi me atrapa. Debido a una vulnerabilidad en el marco Sparkle que se reveló recientemente en ese momento, estaba actualizando manualmente todas mis aplicaciones que usaban el marco Sparkle en lugar de actualizarlas en la aplicación, y eso incluía la actualización a Transmission v2. .90 descargándolo manualmente desde el sitio web oficial. Solo logré salir ileso gracias a que lo descargué unos días antes de que ocurriera el compromiso del servidor. Honestamente, estaba bastante asustado cuando me enteré del compromiso unos días después. Yo diría que aprendí una lección valiosa aquí, que fue que nunca puedes confiar ciegamente en una aplicación que has descargado de Internet, incluso de desarrolladores en los que confías (a menos que examines el código fuente tú mismo). .

Mitigar el daño del ransomware

El problema con el ransomware es que cifra todos sus archivos. Si tiene una forma de evitar que las aplicaciones puedan leer o escribir en cualquier archivo arbitrario en su sistema (ejecutando todas las aplicaciones descargadas en una caja de arena, por ejemplo), eso debería esencialmente hacer que el ransomware sea benigno. En Windows, puede proteger las aplicaciones con Sandboxie. En OS X, puede interceptar todas las lecturas y escrituras de las aplicaciones que se ejecutan en su sistema con Hands Off! (demostrado aquí).

Otra solución es para usar Qubes OS, que es un sistema operativo que esencialmente le permite hacer sandbox en diferentes actividades / aplicaciones dentro de diferentes máquinas virtuales de una manera muy elegante. También admite el uso de Windows 7 dentro de una de esas máquinas virtuales.

La parte de su pregunta sobre cómo llega allí ya ha sido bien respondida, así que buscaré algunas formas de protegerse, aunque la única forma de estar realmente seguro es no usar una computadora conectada a Internet, ya que incluso los siguientes no son 100% seguros.

• No abra ningún documento desde cualquier lugar a menos que haya estado esperando recibirlo y de esa persona / empresa específica.
• Si no quieres ser tan paranoico, solo abre documentos de fuentes confiables, es decir, personas que conoces y con las que te comunicas con frecuencia *, o de un sitio web en el que confíes y hayas solicitado explícitamente un documento para descargar (o enviar uno para usted).
• Cuando navegue por Internet, hágalo en una máquina virtual ^. Tenga una imagen estándar que clone antes de navegar, independientemente de si se trata de sitios web en los que siempre confía. Una vez que haya terminado, elimine el clon para que cualquier infección que haya detectado haya desaparecido y aún tenga la instalación estándar.
• Mantenga una copia de seguridad de todo lo que valora. No confíe siempre en proveedores externos de la nube, ya que es posible que no conserven los documentos durante el tiempo que indiquen, o incluso que tengan un control de versiones para volver a un punto en el tiempo en el que no estaba infectado.
• Mantenga su computadora actualizada. Muchos ataques dependerán de las vulnerabilidades de determinadas aplicaciones. Si se reparan, no pueden funcionar a través de ese vector. Si no actualiza su software, deja esos agujeros abiertos.

Probablemente haya muchos más, pero estos son los que le vienen a la mente de inmediato.

* Menciono la parte de la comunicación frecuente para las personas que conoce, ya que si se infectan pueden terminar enviando correos electrónicos con archivos adjuntos infectados sin su conocimiento. Si normalmente no recibe un correo electrónico o un archivo adjunto de ellos, no confíe en él.

^ Este es un camino bastante largo y no es una opción para mucha gente, o no es deseable para la mayoría