Soporte técnico
Documentación
Inicio de sesión
Contáctenos
Ir directamente al resumen generado por IA de esta entrada del blog 
Principales conclusiones
- Los sistemas Linux no son inmunes al ransomware - Los ataques van en aumento, especialmente contra servidores, entornos en la nube e infraestructuras empresariales.
- El ransomware para Linux suele utilizar tácticas selectivasy de alto impacto, como la doble extorsión y la interrupción del servicio, lo que complica la recuperación sin estrategias de defensa sólidas.
- Herramientas como KernelCare Enterprise reducen significativamente la cerrando brechas de seguridad críticas en tiempo real.
"Se llamaba tributo antes de la batalla y rescate después".
Esta famosa cita del autor inglés T.H. White representa el delicado equilibrio necesario para mantener a raya a los ciberatacantes. Su empresa rinde tributo al personal de seguridad, a un departamento informático y a los proveedores de antimalware en la medida de lo posible para mantener la seguridad de sus servidores Linux.
Mientras tanto, los delincuentes identifican su empresa como una marca para cumplir su objetivo de hacerse con grandes sumas de dinero. Se produce el reconocimiento, las cosas malas se mueven lateralmente por su red, se produce la exfiltración de datos, hasta que usted descubre que su sistema Linux ha sido invadido por medios inesperados. Sus datos están encriptados y una nota de rescate dice que hay que pagar.
En este artículo, exploramos el ransomware, específicamente la forma única en que ataca a los sistemas basados en Linux.
Visión general del ransomware para Linux
El ransomware de Linux es un tipo de malware que ataca a los sistemas basados en Linux y exige un rescate para descifrarlos.
Aunque el endurecimiento y las capas de permisos impiden que los usuarios realicen acciones que afectan a los datos de todo el sistema, es importante saber que los ataques de ransomware en redes Linux se llevan a cabo por medios más subversivos. No es lo mismo que un ataque a un sistema basado en Windows.
En su lugar, los malhechores buscan vulnerabilidades en los componentes de los sistemas Linux, como los servidores web. Su enfoque específico implica el desarrollo de código personalizado para explotar esas vulnerabilidades, atacando finalmente un componente como un kernel Linux o una biblioteca compartida.
Por qué los usuarios de Linux deben preocuparse por los ataques de ransomware
La seguridad de sus datos cae en manos de un asaltante desconocido que exige el pago en la escurridiza moneda Bitcoin, o de lo contrario su organización sufrirá las consecuencias financieras y de reputación, ya que este delincuente aceptará su dinero y aun así decidirá exhibir sus datos como un trofeo de guerra en un "Muro de la Vergüenza" o similar.
El pago medio de rescates se disparó a la asombrosa cifra de 2 millones de dólares en 2024, un aumento del 500% en comparación con los 400.000 dólares registrados en 2023. Además, un preocupante 63% de las peticiones de rescate en 2024 fueron de 1 millón de dólares o más, y casi la mitad (46%) de las organizaciones con ingresos inferiores a 50 millones de dólares se enfrentaron a peticiones de siete cifras.(Sophos)
Fuente de la imagen: Akamai
El ransomware para Linux daña a una empresa financiera, intelectual y físicamente, empañando su reputación e imagen. Los archivos cifrados no están disponibles para los empleados y clientes, lo que reduce la productividad y los flujos de ingresos, y se produce un golpe financiero al pagarse el rescate. Los archivos que contienen propiedad intelectual podrían divulgarse públicamente, lo que introduce el riesgo de incumplimiento de normativas como GDPR e HIPAA.
No sólo archivos cifrados, sino también una amenaza para las vidas humanas.
Los hospitales suelen ser el primer objetivo, ya que los centros sanitarios pertenecen a un sector conocido por sus grandes bolsillos y sus deficientes protocolos de seguridad. Un estudio reveló que, tras una brecha, aumenta la incidencia de muertes por infarto. Un ataque impidió que un hospital alemán admitiera a una paciente que necesitaba atención urgente, causándole la muerte.
Objetivos del ransomware: ¿Qué dispositivos Linux están en peligro?
Aunque cualquier sistema Linux vulnerable puede ser un objetivo para el ransomware, ciertos tipos de dispositivos presentan un mayor riesgo debido a su función y a debilidades de seguridad comunes:
Servidores empresariales: Las empresas que utilizan servidores basados en Linux para bases de datos, aplicaciones y almacenamiento son objetivos prioritarios. Los atacantes aprovechan las debilidades de SSH, el software sin parches y los errores de configuración.
Entornos en la nube: Las máquinas virtuales, los contenedores y los servicios de almacenamiento en la nube que se ejecutan en Linux son objetivos frecuentes, especialmente si carecen de controles de acceso adecuados.
Servidores de alojamiento web: Muchos sitios web y servicios en línea funcionan con Linux. El ransomware puede propagarse a través de plataformas CMS comprometidas, plugins obsoletos o credenciales de administrador débiles.
Dispositivos de almacenamiento en red (NAS): Los dispositivos NAS a menudo ejecutan un sistema operativo basado en Linux y almacenan copias de seguridad críticas, lo que los convierte en objetivos valiosos.
Dispositivos IoT (Internet de las cosas): Más allá de la infraestructura tradicional de servidores y nubes, un número creciente de dispositivos IoT basados en Linux también son objetivos potenciales.
Ransomwares comunes de Linux
El panorama del ransomware para Linux evoluciona continuamente, con varias familias que emplean distintos vectores de ataque y se dirigen a aspectos específicos de los entornos Linux. A continuación se muestran algunos de los más notables que afectan a servidores, entornos en la nube y empresas.
RansomEXX
RansomEXX es una familia de ransomware de alto perfil dirigida a servidores Linux. Inicialmente una amenaza de Windows, se expandió a Linux, infiltrándose en los sistemas a través de credenciales SSH robadas o vulnerabilidades no parcheadas. Una vez dentro, bloquea archivos críticos, paralizando desde sistemas gubernamentales hasta infraestructuras en la nube. Entre las víctimas más destacadas se encuentran Konica Minolta y el Departamento de Transporte de Texas.
Fuente de la imagen: SecureList
LockBit
LockBit es un ransomware como servicio(RaaS) dirigido a servidores Linux, a menudo utilizado en ataques automatizados contra empresas. Como RaaS, es un modelo de franquicia en el que los afiliados despliegan el ransomware. Se propaga a través de ataques de fuerza bruta en SSH, credenciales comprometidas o correos electrónicos de phishing. El rápido algoritmo de cifrado de LockBit hace que la recuperación de datos sea casi imposible sin una copia de seguridad.
DarkSide
El grupo de ransomware DarkSide llamó la atención por atacar a grandes empresas e infraestructuras críticas. Se infiltra en sistemas Linux a través de vulnerabilidades de acceso remoto y extrae los datos antes de cifrarlos, empleando una doble extorsión. Las víctimas se ven presionadas para pagar el rescate o se arriesgan a una filtración pública de datos.
Colmena
El ransomware Hive se dirige a entornos Linux y basados en la nube, utilizando técnicas de cifrado muy eficaces. Los atacantes aprovechan VPN vulnerables, servicios RDP y paneles de administración expuestos. Al igual que DarkSide, Hive roba datos confidenciales antes de cifrarlos, obligando a las víctimas a pagar bajo la amenaza de exponer sus datos.
Lilocked (Lilu)
Lilocked se dirige principalmente a servidores web basados en Linux, encriptando archivos y añadiendo un archivo .lilocked extensión. Se propaga aprovechando software obsoleto y paneles de administración mal configurados, afectando a plataformas de comercio electrónico, blogs y sitios web corporativos. Como no cifra los archivos del sistema, el sistema operativo permanece operativo, pero los datos del sitio web quedan bloqueados.
Cómo prevenir el ransomware en Linux
La prevención del ransomware requiere medidas de seguridad proactivas. Estos son algunos consejos esenciales para proteger sus sistemas Linux de los ataques de ransomware:
Mantener el software actualizado y con parches
El ransomware a menudo aprovecha vulnerabilidades no parcheadas para entrar y escalar privilegios en distribuciones Linux. Por tanto, las actualizaciones periódicas del sistema y la aplicación de parches a las vulnerabilidades son cruciales para reducir los posibles ataques.
Puede aplicar las actualizaciones mediante el gestor de paquetes de su distribución.
Para las distribuciones basadas en Debian, puede utilizar:
sudo apt update && sudo apt upgrade -y
Para las distribuciones basadas en RHEL, puede utilizar:
sudo dnf update -y
Además, asegúrese de que las actualizaciones de seguridad se instalan automáticamente. Herramientas como KernelCare Enterprise ayudan a automatizar la aplicación de parches de vulnerabilidad para los núcleos de Linux sin necesidad de reiniciar el sistema.
Implantar políticas de contraseñas fuertes y seguridad SSH
Imponga contraseñas fuertes y únicas para todas las cuentas de usuario, especialmente las que tienen privilegios administrativos. Desactive el inicio de sesión SSH basado en contraseña y utilice claves SSH para la autenticación. Limite el acceso SSH a los usuarios necesarios y considere el uso de bloqueo de puertos u otras medidas de seguridad como la autenticación multifactor (MFA) para restringir aún más el acceso.
Restringir los privilegios de los usuarios
Limite quién puede ejecutar comandos críticos. Utiliza el principio del menor privilegio (PoLP) para que sólo los usuarios necesarios tengan acceso root o sudo. Esto limita el daño potencial si una cuenta o aplicación se ve comprometida por el ransomware.
Puede revisar los permisos de usuario utilizando el siguiente comando:
sudo cat /etc/sudoers
Para un control más granular, aprenda más sobre la diferencia entre SELinux y AppArmor para entender cómo cada herramienta restringe las acciones no autorizadas.
Haga copias de seguridad periódicas
Haz copias de seguridad de tus datos, y versiona tus copias de seguridad, de modo que la versión anterior esté disponible para su recuperación.
Disponer de copias de seguridad frecuentes, seguras y aisladas le garantiza que podrá recuperar los archivos sin tener que pagar un rescate. Considera la posibilidad de almacenar las copias de seguridad sin conexión y en una ubicación separada a la que no se pueda acceder directamente desde tus sistemas Linux.
Además, automatice las copias de seguridad si es posible y pruebe regularmente los procedimientos de restauración para asegurarse de que funcionan cuando es necesario. En caso de que se infecte, detenga inmediatamente las copias de seguridad programadas para evitar que los datos malos sobrescriban los puntos de restauración buenos.
Implantar la segmentación de red
Divida su red en segmentos aislados para limitar el movimiento lateral del ransomware. Si un segmento se ve comprometido, la segmentación puede evitar que la infección se propague a otras partes críticas de su infraestructura.
El ransomware de Linux frente al de Windows: ¿Cuáles son las diferencias?
Aunque la amenaza del ransomware se cierne sobre los sistemas Linux y Windows, el panorama de ataques, objetivos y consecuencias varía considerablemente. El ransomware de Linux suele centrarse en servidores e infraestructuras en la nube, mientras que el de Windows tiene un alcance más amplio, afectando a dispositivos individuales y puntos finales de la empresa.
Vectores de ataque
El ransomware de Windows tiene una superficie de ataque más amplia, ya que suele dirigirse a dispositivos de usuarios individuales y estaciones de trabajo de empresas a través de correos electrónicos de phishing, descargas maliciosas y kits de exploits, lo que los abre a una amplia gama de usuarios y organizaciones vulnerables.
El ransomware de Linux aprovecha las vulnerabilidades de SSH, el software sin parches y los servicios en la nube mal configurados, centrándose en objetivos de gran valor como los servidores empresariales y las plataformas de alojamiento, que a menudo albergan datos y servicios críticos.
Objetivos de cifrado
El ransomware de Windows suele cifrar todos los archivos del usuario, bloqueando datos personales, documentos y aplicaciones. Muchas variantes también desactivan las opciones de recuperación del sistema, lo que dificulta el descifrado.
El ransomware de Linux se centra estratégicamente en archivos críticos del sistema, configuraciones del servidor web y directorios de bases de datos para interrumpir operaciones empresariales esenciales en lugar de flujos de trabajo de usuarios individuales. Algunas variantes de ransomware se dirigen específicamente a entornos Docker y Kubernetes.
Métodos de pago de rescates y extorsión
El ransomware de Windows suele propagarse ampliamente y exige pequeños rescates a un gran número de víctimas. Sin embargo, grupos sofisticados de ransomware de Windows también atacan a grandes empresas exigiendo rescates multimillonarios.
El ransomware para Linux es más selectivo y costoso, y a menudo implica una doble extorsión: los atacantes roban los datos antes de cifrarlos y amenazan con filtrar información confidencial si no se paga el rescate.
Disponibilidad de herramientas de recuperación
Existen herramientas de descifrado de ransomware de Windows para algunas variantes, gracias a los esfuerzos de los investigadores de seguridad y las fuerzas de seguridad. Los puntos de restauración del sistema de Windows también ayudan a algunos usuarios a recuperar datos en determinadas situaciones.
Sin embargo, el ransomware de Linux rara vez dispone de herramientas públicas de descifrado. En consecuencia, la recuperación de los ataques de ransomware de Linux depende casi por completo de contar con estrategias de copia de seguridad y recuperación de desastres sólidas y probadas con regularidad.
Diferencias clave entre el antiguo y el nuevo ransomware
Una investigación de SecureList.com de Kaspersky califica las versiones actuales de ransomware 2.0, una distinción importante entre las viejas amenazas que conocemos y las nuevas de hoy.
El ransomware antiguo utiliza un potente algoritmo para cifrar datos en un sistema de forma maliciosa, almacenando la clave de descifrado en un sistema controlado por el atacante. A continuación, los atacantes piden un rescate para devolver el acceso a los datos.
Las versiones actuales del ransomware ("2.0") exfiltran datos de los sistemas internos y extorsionan a cambio del acceso a los datos, presionando a la víctima para que pague a fin de evitar que los atacantes los publiquen todos en Internet.
Cabe esperar que las versiones actuales burlen la protección antimalware tradicional de los servidores Linux explotando vulnerabilidades en el kernel, las bibliotecas compartidas o incluso las aplicaciones de usuario.
Ampliación de los vectores de ataque en todas las plataformas
Los atacantes también se están centrando en las capacidades multiplataforma, que les permiten moverse entre sistemas Windows y Linux dentro de redes híbridas.
Otra preocupación es el desarrollo de ransomware altamente selectivo hecho a medida para su uso contra empresas específicas. Los investigadores están estudiando cómo estas situaciones exponen vulnerabilidades ocultas en el software de código abierto.
La mayoría de las empresas y organizaciones gubernamentales infectadas por las nuevas variantes de ransomware utilizan programas antivirus actualizados, lo que demuestra que ni siquiera la última versión de la protección de puntos finales es suficiente para prevenir las nuevas amenazas.
Cómo responder a un ataque de ransomware en Linux
Si su sistema Linux se ve afectado por un ransomware, la rapidez y la precisión son fundamentales. Los siguientes pasos ayudan a contener los daños, preservar las pruebas y recuperar los datos, si es posible.
Paso 1: Aislar inmediatamente el sistema infectado
Desconecta la máquina comprometida de la red para evitar que el ransomware se propague a otros dispositivos. Desactiva la Wi-Fi, desconecta los cables Ethernet o apaga las interfaces de red (por ejemplo, sudo ip link set eth0 down, sudo ifconfig wlan0 down).
Evita reiniciar o borrar archivos: esto puede destruir pruebas forenses y limitar las opciones de recuperación.
Paso 2: Evaluar el alcance del ataque
Identifique los sistemas, archivos y servicios afectados. Busque indicios de cifrado de archivos (por ejemplo, extensiones inusuales o notas de rescate) y compruebe los registros en busca de actividad sospechosa:
sudo journalctl -xe
Además, documéntalo todo: lo necesitarás para elaborar informes sobre incidentes y para futuros análisis. Ten en cuenta que algunas pruebas forenses son volátiles y deben capturarse rápidamente si se planea una investigación exhaustiva.
Paso 3: Notifíquelo a sus equipos informáticos y de seguridad
Alerte a las partes interesadas internas y a su equipo de respuesta a incidentes. Si eres una empresa, involucra también a tus equipos legales y de cumplimiento.
Considere también la posibilidad de ponerse en contacto con empresas de ciberseguridad especializadas en la respuesta al ransomware. Si se trata de datos confidenciales, es posible que tengas que informar de la brecha a las autoridades reguladoras o a los clientes afectados.
Paso 4: Evite pagar el rescate
Pagar no garantiza la recuperación de los datos y financia actividades delictivas. El FBI aconseja contra pagar el rescate. En su lugar, informe de lo siguiente:
- Póngase en contacto con la oficina local del FBI o con un organismo policial equivalente.
- Envíe un aviso en línea.
- Denúncielo al Centro de Denuncias de Delitos en Internet (IC3).
Paso 5: Restaurar desde copias de seguridad y reconstruir
Si dispone de copias de seguridad, borre el sistema infectado y realice una instalación limpia del sistema operativo antes de restaurar los datos. Asegúrese de que la copia de seguridad es de antes de que se produjera la infección y analice los archivos de copia de seguridad si es posible para evitar la reinfección.
A continuación, vuelva a configurar los servicios con configuraciones actualizadas y reforzadas. Tras la reconstrucción, realice un análisis de seguridad completo para asegurarse de que no quedan restos del malware ni nuevas vulnerabilidades.
Paso 6: Realizar una revisión completa tras el incidente
Una vez finalizada la recuperación, realice un análisis de la causa raíz:
- ¿Cómo entró el ransomware?
- ¿Qué vulnerabilidades se aprovecharon (por ejemplo, software sin parches, credenciales débiles, configuraciones erróneas)?
- ¿Se han seguido las políticas de seguridad?
Utilice los resultados para mejorar su postura de seguridad y prevenir futuros ataques. Además, haz que la concienciación sobre la seguridad forme parte de la vida cotidiana, porque el eslabón más débil de cualquier esquema de ciberdefensa es un ser humano.
Proteja su sistema Linux contra el ransomware con TuxCare
La realidad es clara: el ransomware se dirige ahora activamente a los sistemas Linux, en particular a los que alimentan las operaciones empresariales, la infraestructura en la nube y los servicios web. La aplicación de las estrategias preventivas descritas en esta guía es crucial para minimizar el riesgo.
Sin embargo, una defensa integral también requiere protección en tiempo real contra las amenazas emergentes, incluidas las que atacan vulnerabilidades no parcheadas. KernelCare Enterprise de TuxCare ofrece parches automatizados en tiempo real para los núcleos de Linux, lo que garantiza que sus servidores permanezcan seguros sin necesidad de reinicios molestos.
KernelCare reduce el tiempo que un sistema está sin parchear, reduciendo eficazmente las ventanas de ataque y disminuyendo la tasa de infección por ransomware. Es un pequeño tributo a pagar en tu batalla por evitar el rescate.
No deje vulnerables sus sistemas Linux. Explore las soluciones de TuxCare para la gestión de vulnerabilidades de Linux y tome medidas proactivas para reforzar su Linux y sus defensas hoy mismo.
