Proteger disco duro USB externo de copias de seguridad de ataque ransomware?

Bueno, esto es básicamente un problema de que no puedes poner una gatera para que pase un gato y otro no. Hasta donde tenga acceso el usuario lo va a poder tener el virus.

Quizás la solución es que, si utilizas esas unidades USB exclusivamente para volcar datos, podrías apoyarte en la herramienta DISKPART para activar, desactivar, montar o desmontar las unidades sólo cuando precises realizar las operaciones de respaldo. DISKPART admite procesado de scripts, así que sólo tendrías que montarte un pequeño script que, primero activara y/o montara la unidad, luego realizara la copia de datos, para finalmente volver a desactivar y/o desmontar la unidad.

Mírate la documentación de DISKPART, los comandos online, offline, assign y remove. Lo mismo te puede servir.
https://technet.microsoft.com/es-es/library/cc770877(v=ws.11).aspx

JuananBow escribió:Bueno, esto es básicamente un problema de que no puedes poner una gatera para que pase un gato y otro no. Hasta donde tenga acceso el usuario lo va a poder tener el virus.

Quizás la solución es que, si utilizas esas unidades USB exclusivamente para volcar datos, podrías apoyarte en la herramienta DISKPART para activar, desactivar, montar o desmontar las unidades sólo cuando precises realizar las operaciones de respaldo. DISKPART admite procesado de scripts, así que sólo tendrías que montarte un pequeño script que, primero activara y/o montara la unidad, luego realizara la copia de datos, para finalmente volver a desactivar y/o desmontar la unidad.

Mírate la documentación de DISKPART, los comandos online, offline, assign y remove. Lo mismo te puede servir.
https://technet.microsoft.com/es-es/library/cc770877(v=ws.11).aspx

Sin conocer la herramienta DISKPART

Supongamos que el ransomware funciona de tal manera que se encuentra dormido o a la espera de detectar un montado de unidad de red / disco usb / ... entonces se activa y va a por ella. ¿Se podría librar del daño usando DISKPART? ¿Se podría solventar de alguna manera?

Me parece buena idea el uso de DISKPART, así por lo menos lo tienes expuesto únicamente en el momento que realizas el backup, el resto de tiempo la unidad no existe y por lo tanto imposible atacarla.

La idea aquí es simplemente protegerse de un impacto directo en caso de infección. DISKPART no va a poder protegerte si el virus ha empezado a cifrar datos, es más, no sé si sería capaz de desmontar la unidad si el programa malicioso está procesando datos.

La cosa es simplemente ir poniendo trabas para obtener un tiempo de reacción. Lo no exponer la unidad es una idea. Hace un tiempo comenté de un programa que monitorizaba una serie de ficheros en la unidad que le dijéramos, y que cuando notaba un cambio, avisaba al usuario para que tomara medidas. Otro compi por aquí (no me acuerdo quién fue) comentó que un equipo se le salvó de una infección debido a que el virus empezó a cifrar el grotesco archivo de imagen de la partición de recuperación y le dio tiempo a reaccionar. Son otras medidas que se pueden tomar.

Como si te quieren robar el coche. Si se lo proponen, lo van a hacer; hagas lo que hagas. Pero si le pones un cepo, le pones una cadena en los pedales y le quitas el volante, quizás el ladrón se lo piensa dos veces antes de ponerse a trabajar.

JuananBow escribió:La idea aquí es simplemente protegerse de un impacto directo en caso de infección. DISKPART no va a poder protegerte si el virus ha empezado a cifrar datos, es más, no sé si sería capaz de desmontar la unidad si el programa malicioso está procesando datos.

La cosa es simplemente ir poniendo trabas para obtener un tiempo de reacción. Lo no exponer la unidad es una idea. Hace un tiempo comenté de un programa que monitorizaba una serie de ficheros en la unidad que le dijéramos, y que cuando notaba un cambio, avisaba al usuario para que tomara medidas. Otro compi por aquí (no me acuerdo quién fue) comentó que un equipo se le salvó de una infección debido a que el virus empezó a cifrar el grotesco archivo de imagen de la partición de recuperación y le dio tiempo a reaccionar. Son otras medidas que se pueden tomar.

Como si te quieren robar el coche. Si se lo proponen, lo van a hacer; hagas lo que hagas. Pero si le pones un cepo, le pones una cadena en los pedales y le quitas el volante, quizás el ladrón se lo piensa dos veces antes de ponerse a trabajar.

Genial, grande como siempre JuananBow.....lo del diskpart me ha parecido una idea excelente...lo probaré...lo utilizo bastante, pero no sabía que se podía crear un script...genial

Había pensado....los discos duros NAS o SAS, no son independientes con conector de red, sistema operativo propio y se puede conectar a una red compartida o un dominio? Se podría programar para copiar una carpeta sin que afecte?

Bueno, si estamos hablando del caso de un NAS, el asunto es que cambia el acceso a los discos. En lugar de ser un disco extraible con conexión directa por USB, el acceso a los datos se tendrá que realizar mediante una compartición de red y siempre introduciendo credenciales. Esto te proporciona más ventajas, pues puedes controlar qué usuarios pueden acceder o no, y qué cambios pueden realizar estableciendo permisos.

Si lo que quieres es configurar un NAS para copia de datos a través de las comparticiones de Windows (SMB), puedes establecer, por ejemplo, que todos los usuarios puedan acceder exclusivamente con permisos de lectura en la compartición dándole al administrador permisos de escritura. Sería el script de respaldo ejecutado como administrador y con los credenciales adecuados el único que podría copiar y respaldar datos en la compartición.

En este caso, deberías trabajar con el comando NET USE y el Administrador de Credenciales de Windows para almacenar las credenciales de acceso de escritura a la compartición. Adicionalmente, hay que tener en cuenta que, por diseño, Windows sólo puede tener una compartición abierta hacia un mismo equipo (el NAS), teniendo que eliminarla antes de hacer una nueva o entrar con otros credenciales.

Quizás, llegado a este punto, lo propio sería más bien dejar las comparticiones de red para los usuarios y realizar los respaldos por otros medios, como FTP o SFTP por ejemplo. Sería cuestión de ver qué servicios te permite el NAS.

No sé si responde esto a tu duda...

También puedes usar un programa de codificación de datos, yo tengo un pendrive sandisk que viene con un programa de esos y los datos que estén dentro del contenedor solo puedes acceder a ellos a través de dicho programa, si no me equivoco los rasonware nada mas atacan las extensiones que tendrán programadas, si están dentro de este contenedor me imagino que no las vería, y no creo que encripte el contenedor.

Caniho escribió:También puedes usar un programa de codificación de datos, yo tengo un pendrive sandisk que viene con un programa de esos y los datos que estén dentro del contenedor solo puedes acceder a ellos a través de dicho programa, si no me equivoco los rasonware nada mas atacan las extensiones que tendrán programadas, si están dentro de este contenedor me imagino que no las vería, y no creo que encripte el contenedor.

Pero el pendrive tiene un ejecutable para poder acceder a dicho contenedor no?....si se codifica el ejecutable no se puede acceder a la info no?....o es un ejecutable universal y en caso de cifrado por ransomware se vuelve a poner un duplicado y se puede acceder.?

Caniho escribió:También puedes usar un programa de codificación de datos, yo tengo un pendrive sandisk que viene con un programa de esos y los datos que estén dentro del contenedor solo puedes acceder a ellos a través de dicho programa, si no me equivoco los rasonware nada mas atacan las extensiones que tendrán programadas, si están dentro de este contenedor me imagino que no las vería, y no creo que encripte el contenedor.

Eso es incorrecto pues la inmensa mayoría encripta la cabecera de todos los archivos que encuentre (tengan o no tengan extensión) por supuesto hay algunos que solo van a por archivos de extensiones "comunes" pero la mayoría ataca a todo archivo que vean y no solo a "los archivos comunes"
Dicho esto como comprenderás en estos casos encriptar una unidad USB o usar Bitlocker de windows solo empeora las cosas porque tendrías un archivos doblemente encriptado.

Saludos

El problema verdaderamente siempre erradica en el mismo punto: la exposición a los datos. Si los datos están expuestos, pueden ser vulnerables. Lo que el usuario pueda ver y modificar, también lo podrá hacer el virus.

En el caso de si tenemos una unidad o un contenedor cifrado: Si esa unidad cifrada está montada y accesible, se pueden ver afectados los datos. Si la unidad no está montada pero su contenido se guarda en un archivo de imagen, el cual está en un lugar accesible, ese archivo puede verse afectado con una posibilidad aun mayor de perder todo de un plumazo.

JuananBow escribió:El problema verdaderamente siempre erradica en el mismo punto: la exposición a los datos. Si los datos están expuestos, pueden ser vulnerables. Lo que el usuario pueda ver y modificar, también lo podrá hacer el virus.

En el caso de si tenemos una unidad o un contenedor cifrado: Si esa unidad cifrada está montada y accesible, se pueden ver afectados los datos. Si la unidad no está montada pero su contenido se guarda en un archivo de imagen, el cual está en un lugar accesible, ese archivo puede verse afectado con una posibilidad aun mayor de perder todo de un plumazo.

El otro día hablé con un compañero, que se les cifró un servidor de su empresa con un ransomware, y se les cifró todo, menos una carpeta de dentro del servidor de su programa de gestión, que para entrar a la carpeta, me dijo, que cuando clicabas la primera vez, te hacía una pregunta de qué para acceder a esa carpeta necesitabas permisos, le dabas a aceptar y te dejaba entrar....y que por eso no se cifró, con la última copia del día (una copia automática interna del programa que tienen, mañana, mediodía, y noche) No se si el programa utiliza base de datos MYSQL o algo parecido, no me lo supo explicar bien...

Como es eso posible? creo alguna vez, haberme encontrado con una carpeta parecida en mi ordenador que al querer entrar me ha hecho esa pregunta, y dándole a aceptar luego entraba.....

No hace mucho en un post similar pregunte algo parecido, si monto un nas con acceso por user y pass para las copias de seguridad de un pc, donde el usuario de ese pc no sabe los datos de acceso, pero en ese pc esta instalado el imperius backup el cual tiene el user y pass en una copia de seguridad programada diaria, si se supone que este programa esos datos los tiene encriptados, ¿el rasonware puede atacar el nas sacando la clave del programa?

Un saludo.

lolololito escribió:

JuananBow escribió:El problema verdaderamente siempre erradica en el mismo punto: la exposición a los datos. Si los datos están expuestos, pueden ser vulnerables. Lo que el usuario pueda ver y modificar, también lo podrá hacer el virus.

En el caso de si tenemos una unidad o un contenedor cifrado: Si esa unidad cifrada está montada y accesible, se pueden ver afectados los datos. Si la unidad no está montada pero su contenido se guarda en un archivo de imagen, el cual está en un lugar accesible, ese archivo puede verse afectado con una posibilidad aun mayor de perder todo de un plumazo.

El otro día hablé con un compañero, que se les cifró un servidor de su empresa con un ransomware, y se les cifró todo, menos una carpeta de dentro del servidor de su programa de gestión, que para entrar a la carpeta, me dijo, que cuando clicabas la primera vez, te hacía una pregunta de qué para acceder a esa carpeta necesitabas permisos, le dabas a aceptar y te dejaba entrar....y que por eso no se cifró, con la última copia del día (una copia automática interna del programa que tienen, mañana, mediodía, y noche) No se si el programa utiliza base de datos MYSQL o algo parecido, no me lo supo explicar bien...

Como es eso posible? creo alguna vez, haberme encontrado con una carpeta parecida en mi ordenador que al querer entrar me ha hecho esa pregunta, y dándole a aceptar luego entraba.....

EL virus cifra todos los archivos que encuentra menos los del sistema (antes cifraba extensiones), ahora supongo que cifran todo menos el directorio windows y alguno mas.

Una vez que ha cifrado el ordenador va cifrando, discos usb, discos nas, resucursos todo lo que pesca. Por su puesto si el directorio/recurso es de solo lectura para el usuario, eso no lo cifra (de momento no escalan privilegios).

Lo mejor seria un disco ftp (un raspeberry por ejemplo), con un usb engachando. Solo se puede acceder a ese disco duro por ftp (con user y password). Y eso de momento no lo cifran.

Un disco usb solo sirve si se hace la copia y despues se desconecta fisicamente.

Tambine se pueden hacer copias en DVD o BD-DR

Eso de tener un disco duro externo donde se hacen las copias y permanentemente conectado...

La forma más fácil de que no se infecte es desconectándolo.

@alex120
Yo si he visto un par de equipos en los que el ransomware si que escalo privilegios así que creo que depende más del ransomware que te ataque. Lo mismo solo es de los que cifra "documentos/carpetas especificas" o lo mismo es de los chungos que cifran todo lo que pillen (incluso se expanden por la red local y escalan privilegios.

Saludos

Perfect Ardamax escribió:@alex120
Yo si he visto un par de equipos en los que el ransomware si que escalo privilegios así que creo que depende más del ransomware que te ataque. Lo mismo solo es de los que cifra "documentos/carpetas especificas" o lo mismo es de los chungos que cifran todo lo que pillen (incluso se expanden por la red local y escalan privilegios.

Saludos

Entiendo. ¿Sabes el nombre de ransomware que escale privilegios, para buscar algo mas de info?

Lo de expandirse lo hacen todos.

@alex120
Pues no lo recuerdo lo busque en su momento hace 6 meses cuando el PC de un amigo con cuanta limitada resulto totalmente cifrado pero ya no lo recuerdo. Lo chungo fue que se metía también en la partición de recuperación.
Pero tampoco tiene que ser muy difícil de encontrar haciendo una búsqueda en san google.

Saludos

En mi caso hago las copias y después los apago, asi me aseguro que nada puede pasarles.

En alguna otra ocasión ya se ha recomendado para sistemas Windows:Latch ARW.