Nos contactó una firma de ciberseguridad mexicana debido a un caso de Lockbit 2.0 en los servidores de un cliente suyo. Resultaron ser más de 33 servidores afectados que cubrían los servicios de más de 15 empresas del grupo de ingeniería. Por algún motivo, los ciberdelincuentes lograron afectar la totalidad de servidores incluso teniendo en cuenta que no había servicios compartidos. Luego del análisis forense, determinamos que la data poseía 4 diferentes capas de cifrado y problemas estructurales. Tras 7 días de trabajo intensivo, logramos ejecutar el proceso de descifrado y devolver la información a su estado original. El equipo de TI del cliente tardó otros 3 días en levantar los servicios y poder continuar su operación. Se estimaron las pérdidas por los días de no operación en 100 mil USD. En caso de no haberse recuperado, los costos hubieran superado los 2 millones de USD.

Una empresa metalúrgica chilena de más de 50 trabajadores llevaba 1 semana sin operación ya que estaban sin herramientas para operar las máquinas y ejecutar los pedidos de sus clientes. Nos contactó el gerente luego de que un amigo suyo nos recomendara como solución. Inmediatamente realizamos el proceso de diagnóstico y detención del malware en los diferentes equipos afectados. En total fueron afectados 4 servidores, 2 NAS y 20 equipos personales. En total se hallaron 5 vectores de encriptación y se logró recuperar la información en un tiempo de 4 días. Se logró retomar operaciones 3 días después de recuperar la data y evitar pérdidas gigantes para la compañía. Luego de la recuperación, se logró detectar el punto de entrada del virus y fue por ataque RDP. Dichos ataques han tenido un aumento sustancial desde comienzos de la pandemia por COVID-19 debido al aumento en conexiones remotas con el lugar de trabajo. Este escenario ha sacado a flote muchas vulnerabilidades comunes en los protocolos que se usan para acceder a equipos empresariales.

Un lunes en la tarde nos contactó un ingeniero buscando una solución a sus archivos cifrados. La empresa donde trabajaba manejaba más de 30Tb de data de exámenes médicos, resultados y formulas médicas. El sistema amaneció caído el lunes en la mañana y sus usuarios sin acceso a ningún dato médico. Luego de indagar un poco más, se trataba de un Ransomware Lockbit 2.0 con más de 19 servidores afectados. El ataque había sucedido el lunes en la madrugada (suele ser el día más común para estos ataques) y cuando el equipo de TI se enteró, ya era demasiado tarde. Entre la data afectada, detectamos 8 vectores de cifrado y gran parte de la información con cifrados cruzados entre varios de los vectores. Detectamos varios de los servidores con sistemas operativos desactualizados (Windows server 2007 y similares), algunos incluso sin antivirus activo. Se pudo recuperar el caso en su totalidad en 4 días y se logró rehabilitar los servicios durante el fin de semana luego del incidente.