Ransomware as a service (RaaS): Qué es, cómo funciona y ejemplos

El ransomware as a service (RaaS) es un modelo de negocio cibercriminal que ha ganado popularidad en los últimos años debido a su simplicidad y eficacia. El RaaS permite que incluso actores maliciosos sin muchos conocimientos técnicos puedan lanzar ataques de ransomware contra empresas y particulares sin mucha dificultad. En las siguientes líneas explicamos qué es el ransomware como servicio, cómo funciona y cómo protegerse.

¿Qué es el ransomware como servicio (RaaS)?

El ransomware como servicio es un «modelo de negocio» criminal, en el que un grupo de cibercriminales especializados en ransomware crean ponen a disposición de terceros kits de este tipo de malware para llevar a cabo un ciberataque, por el que a cambio reciben una compensación económica o una comisión de las ganancias obtenidas por los atacantes.

En otras palabras, el denominado «RaaS system» funciona como el SaaS (software como servicio), pero en vez de ofrecer programas legítimos, ofrecen kits para desplegar un ataque de ransomware a terceros, ya sea vendiéndolos o usando una estructura de afiliados en la dark web. De esta forma, cualquier persona puede usar estos kits y desplegar un ciberataque sin necesidad de tener muchos conocimientos técnicos.

Teniendo en cuenta la cantidad de ataques de ransomware que se han producido en los últimos años, como los ataques sufridos por el SEPE (protagonizado por el ransomware Ryuk) o el Clínic de Barcelona, parece evidente que el ransomware-as-a-service seguirá siendo tendencia entre los ciberdelincuentes y una preocupación más para muchas empresas, especialmente porque, según han detectado algunas empresas de ciberseguridad, en los foros de la dark web relativos al RaaS, se buscan afiliados dentro de las propias empresas u organizaciones, lo que supone una seria amenaza interna, ya que un empleado podría convertirse en agente de acceso en el modelo RaaS a cambio de una compensación económica.

¿Cómo funciona el ransomware como servicio?

El funcionamiento del RaaS es similar al de cualquier otro servicio por suscripción. A continuación, desglosamos las etapas principales:

1. Creación de la plataforma RaaS: La primera fase es la creación en la dark web de la plataforma de RaaS y el ransomware que se usará. La plataforma permite a los afiliados personalizar y lanzar sus propios ataques. Esta plataforma generalmente incluye:
   • Un panel de control intuitivo para gestionar las operaciones del ransomware.
   • Herramientas para personalizar mensajes de rescate y cifrados.
   • Opciones para elegir los tipos de objetivos y métodos de propagación.
2. Suscripción: En esta segunda fase, los terceros interesados en hacerse con un ransomware «listo» para ser usado, se suscribirán a un RaaS o adquirirán una licencia de un solo uso para desplegarlo. Estos suscriptores son los que van a distribuir el ransomware a gran escala.
3. Infección: La tercera fase es la de infección, que se puede producir de diferentes maneras, dependiendo del tipo de ransomware que se vaya a desplegar, si bien el punto de entrada más habitual sigue siendo el email, empleando técnicas de ingeniería social (como el phishing) para infectar el equipo de la víctima y desde ahí, extenderse por toda la red de la empresa. A esta vía, y cómo dijimos, antes también hay que añadir el insider, un empleado de la organización que se ocupará de introducir el virus RaaS en la red interna de la empresa a través de alguno de los dispositivos a los que tenga acceso.
4. Ataque y extorsión: El ransomware cifra los archivos de la víctima, que recibe un mensaje o un email del cibercriminal informándole de que ha sido infectado con ransomware y que si quiere volver a tener acceso a sus archivos, deberá pagar un rescate a cambio, rescate que suele ser una suma elevada de dinero, que debe pagarse en criptomonedas. Además, es habitual que, junto a la demanda de rescate, se amenace también con publicar la información a la que se ha tenido acceso en la dark web. Esta amenaza y la necesidad de recuperar el funcionamiento de la empresa lo antes posible, lleva a muchas compañías a pagar los rescates, lo que nunca se recomienda hacer, porque jamás se tiene la garantía de que se vayan a recuperar los archivos encriptados.
5. Soporte técnico y actualizaciones: Muchas plataformas RaaS ofrecen soporte técnico a sus afiliados, así como actualizaciones del ransomware para sortear nuevas medidas de seguridad. Esto refuerza la profesionalización del cibercrimen.

Cabe señalar que el ransomware como servicio funciona, principalmente, a través de cuatro modalidades posibles:

• Pagando una suscripción mensual a cambio de usar el ransomware.
• A través de programas de afiliación, donde, aparte de la cuota mensual, se paga también una comisión de los beneficios del rescate.
• A través de una licencia de un solo uso sin comisión.
• Solo a través de comisiones, es decir, no hay cuota mensual o de entrada, pero los desarrolladores del ransomware se llevan una comisión por cada ataque exitoso y rescate recibido.

Variantes conocidas del ransomware as a service

La competencia entre los proveedores de RaaS también ha aumentado y han aparecido nuevos grupos de afiliación que ofrecen este tipo de servicios a través de la dark web. Hay que tener en cuenta que es un tipo de «negocio» que se presenta como muy lucrativo para todas las partes implicadas en su puesta en marcha, ya que cuantos más afiliados o «clientes» distribuyan el ransomware, más ganancias potenciales se pueden obtener.

Actualmente, existen diferentes ransomware, y variantes de estos, empleados en el RaaS, siendo los más habituales:

• Tox: Se identificó por primera vez en 2015 y se le considera como el primer ransomware as a service.
• REvil (Sodinokibi): REvil es una de las variantes más prominentes y se ha asociado con ataques de alto perfil a empresas como JBS Foods y Kaseya (2021). Su modelo de negocio RaaS incluye un sofisticado sistema de paneles para los afiliados y una parte significativa de las ganancias destinada a los desarrolladores. Ha sido uno de los ransomware más extendidos.
• LokBit: Es conocido por su facilidad de uso y por ofrecer soporte técnico a sus afiliados. Esta variante ha evolucionado continuamente, con versiones como LockBit 2.0 y LockBit 3.0, que incluyen nuevas funciones para maximizar el impacto de los ataques.
• DarkSide: Se hizo famoso tras el ataque a Colonial Pipeline en 2021, que paralizó una de las principales redes de distribución de combustible en los Estados Unidos. DarkSide opera como RaaS y ha demostrado un alto nivel de profesionalización, incluso llegando a emitir «comunicados de prensa» en la dark web.
• Conti: Otra variante destacada que se ha utilizado en ataques a instituciones gubernamentales, hospitales y empresas privadas. Las filtraciones de su código fuente han revelado la sofisticación de su infraestructura y su modelo de RaaS.
• Dharma: Lleva disponible en la dark web desde, al menos, 2016. Se trata de un tipo de ransomware que emplea ataques muy similares, donde lo único que cambian son las claves de cifrado y los emails de contacto empleados para demandar el rescate (que suele situarse entre uno y cinco bitcoins). Los objetivos son variados, normalmente empresas. A día de hoy, no se sabe quién está detrás de este tipo de ataques.

De acuerdo con un informe de Chainalysis, los pagos efectuados a atacantes de ransomware alcanzaron un total de 1 billón de dólares. Esto demuestra que el ransomware sigue siendo uno de los ciberataques más habituales y que más dinero reporta a los atacantes, que en muchos casos emplean modelos RaaS para acceder y distribuir este malware.

Este mismo informe señala que los principales objetivos del ransomware son infraestructuras críticas, como hospitales, organismos gubernamentales y escuelas. Y pese a que 2022 vio un descenso en este tipo de ataques, parece ser que fue la excepción, porque todo apunta a que seguirán aumentando.

Ejemplos de ataques de ransomware como servicio

Como hemos visto, el impacto del RaaS es notable y ha provocado pérdidas millonarias, además de paralizar servicios durante horas o días. A continuación, vemos algunos ejemplos de ataques relevantes:

• Ataque a Colonial Pipeline (DarkSide): En mayo de 2021, DarkSide lanzó un ataque que cifró los sistemas de Colonial Pipeline, interrumpiendo el suministro de combustible en la costa este de los Estados Unidos. La empresa pagó un rescate de 4,4 millones de dólares para recuperar el acceso a sus datos, aunque parte del dinero fue posteriormente recuperado por las autoridades.
• Ataque a JBS Foods (REvil): El gigante de procesamiento de carne JBS Foods sufrió un ataque en 2021 que paralizó sus operaciones en varios países. REvil fue identificado como el responsable, y la empresa pagó un rescate de 11 millones de dólares para evitar mayores interrupciones.
• Ataque a Kaseya (REvil): En julio de 2021, REvil explotó vulnerabilidades en el software de gestión de TI de Kaseya, afectando a cientos de empresas clientes en todo el mundo. Este ataque destacó por su sofisticación y su capacidad para propagarse a través de la cadena de suministro.
• Ataque al SEPE (Ryuk): El ya citado ataque al SEPE en 2020, en el que se usó el ransomware Ryuk, provocó que el servicio de empleo estuviera semanas sin poder operar de manera adecuada.

¿Cómo protegerse de ataques RaaS?

Para proteger del RaaS se deben aplicar las mismas medidas que para cualquier ataque de ransomware:

• Tener un sistema de copias de seguridad que se actualicen con regularidad y que puedan emplearse para recuperar todos los archivos que puedan verse afectados por un ataque RaaS. Además, es imprescindible que esas copias de seguridad o sistemas de respaldo no estén almacenadas en el mismo sitio y no se encuentren online, para que de esa forma no se vean afectadas por un virus que pueda acceder a la red interna de la compañía u organización.
• Implementar sistemas de antivirus y firewall continuamente actualizados para enfrentar nuevas amenazas que vayan surgiendo. Junto a eso, segmentar la red interna y establecer diferentes niveles de acceso ayudará a frenar la propagación de cualquier virus. Así mismo, se recomienda adoptar y aplicar modelos de seguridad zero trust, como prevención contra posibles insiders.
• Mantener actualizados equipos y software, para evitar ser víctimas de vulnerabilidades conocidas.
• Formar a la plantilla en ciberseguridad, para que sean capaces de reconocer emails fraudulentos e intentos de phishing, así como otros tipos de ciberamenazas. Las personas suelen ser el punto más débil de la cadena en lo que a ciberseguridad se refiere, por lo que contar con conocimientos sobre esta materia, puede ahorrarnos problemas en el futuro.
• Contar con un servicio de ciberseguridad interno o externo puede ayudar a minimizar las amenazas, ya que no solo monitorearán el estado de la red y se ocuparán de implantar las medidas de seguridad necesarias, sino que también llevarán a cabo revisiones de seguridad en busca de posibles vulnerabilidades y problemas de ciberseguridad en el sistema, equipos o software empleados por la compañía.