· Ciberseguridad · Ransomware
WannaCry (2017): «Apaguen los ordenadores». Y no era un simulacro
12 de mayo de 2017. WannaCry es un ransomware: cifra archivos y exige 300 dólares en bitcoin. También es un gusano (worm): se propaga por la red sin que nadie haga clic. Escanea el puerto TCP 445 y explota una vulnerabilidad de SMBv1, el protocolo de Windows para compartir archivos.
El exploit se llama EternalBlue (CVE-2017-0144). Procedía de la NSA; The Shadow Brokers lo filtró en abril. Microsoft ya había publicado MS17-010 el 14 de marzo: el parche existía antes del brote.
En Inglaterra se cancelan operaciones y se desvían ambulancias. Un investigador registra por unos diez dólares un dominio que consulta el malware. Al responder ese dominio se activa un kill switch: la muestra original deja de ejecutarse y frena nuevas infecciones. No descifra los archivos ya afectados ni detiene todas las variantes.
El dato que no cabe en el vídeo: el 13 de mayo Microsoft publicó un parche excepcional también para Windows XP, cuyo soporte general de seguridad había terminado el 8 de abril de 2014. Llevaba tres años y un mes fuera de ese soporte. Esto no significa que XP fuera el sistema mayoritario entre los equipos infectados.
Wie vermeidet man das? In drei Schichten
- 1
Instala y comprueba las actualizaciones
En este caso, MS17-010 ya estaba disponible desde el 14 de marzo. Un inventario de equipos y un despliegue gradual con Microsoft Intune permiten comprobar qué sigue pendiente.
- 2
Limita los caminos entre equipos
Segmenta la red, restringe SMB a lo necesario y desactiva SMBv1 cuando corresponda. Así un equipo comprometido tiene menos vecinos a los que llegar.
- 3
Guarda copias separadas y ensaya la restauración
Una copia accesible desde el equipo infectado también puede quedar comprometida. El dominio frenó nuevas infecciones; no descifró lo que ya estaba secuestrado.
La ironía: Microsoft había publicado el parche dos meses antes.
Quellen
- Microsoft, MS17-010 (14-03-2017)
- Microsoft, análisis de WannaCrypt y puerto 445 (12-05-2017)
- Microsoft, EternalBlue y CVE-2017-0144 (27-06-2017)
- Microsoft, filtración de Shadow Brokers (15-04-2017)
- Microsoft, guía de WannaCry y parche de emergencia (13-05-2017)
- Microsoft, fin del soporte de Windows XP
- NAO, Investigation: WannaCry cyber attack and the NHS (27-10-2017)
- MalwareTech, How to Accidentally Stop a Global Cyber Attacks (13-05-2017)
- ENISA, WannaCry ransomware (15-05-2017)
- WIRED, sobre el registro del dominio por 10,69 dólares
- Entrevista ABC/AP al investigador (16-05-2017)
- The Local, megafonía en Telefónica (12-05-2017)
- CISA, guía de prevención y recuperación de ransomware
La megafonía, las pantallas y los diagramas son recreaciones. La frase exacta del aviso es propia; no es una grabación histórica. Las tres capas son recomendaciones, no hechos atribuidos al incidente.
Video auf Instagram ansehen ↗