Hoy, 28 de junio, se ha convertido en tema del día. Cuando todavía no nos ha dado tiempo a olvidar el gran ciberataque de ransomware de WannaCry, nos encontramos con una amenaza todavía más letal llamada Petya o Petwarap!
Estamos hablando de una nueva variante del ransomware de Petya. Esta nueva versión, está siendo referenciada como «GoldenEye», ya que combina algunas capacidades de explotación SMB (igual que WannaCry) y el llamado EternalBlue Exploit. Estas combinaciones hacen de la nueva variante de Petya un ransomware nunca visto hasta ahora, el cual continúa evolucionando sus TTPs (tácticas, técnicas y procedimientos) para mantener su dominio como el ransomware perfecto.
Los primeros países que han reportado infecciones de Petya son Rusia, Ucrania, España, Francia, Reino Unido, EEUU e India, pero por desgracia el número de países irá aumentando progresivamente. Los sectores más afectados por el virus son servicios financieros, venta al por menor, hospitales, agencias de viajes, empresas energéticas y servicios públicos. No obstante, las autoridades españolas aseguran que, de momento, los servicios públicos vez no se han visto afectados.
La extorsión para la recuperación de los archivos cifrados es de unos $300 por dispositivo infectado.
El Global Threat Intelligence Center avisó con toda certeza que seguiríamos viendo «campañas malintencionadas» que aprovechan vulnerabilidades SMB, como las aprovechadas por WannaCry, EternarBlue y Petya, a pesar de que adelantándose a estas amenazas, el 14 marzo de 2017 Microsoft lanzó el boletín de seguridad MS17-010 que corregía la vulnerabilidad SMB, así como una serie de acciones recomendadas.
Este boletín, con sus correspondientes parches, fue publicado incluso antes de que el grupo ShadowBrokers filtrara esta vulnerabilidad.
La infección de Petya Ransomware se inicia por un correo electrónico que recibimos de una fuente supuestamente fiable. Este correo, adjunta un documento de Microsoft Word haciéndonos creer que se trata de un documento escaneado, por lo que la víctima no ve motivos para desconfiar y decide abrir el documento de Word. En el momento que tratamos abrir el documento de Microsoft Word, se ejecuta en segundo plano el malware en dos etapas:
Si el usuario infectado no tiene derechos de administrador, la infección no se extenderá más allá del dispositivo infectado. La infección se aislará sólo al sistema local, permitiendo el cifrado sólo después de reiniciar.
Si el parche
En resumen, Petya se está convirtiendo en otro incidente mundial gracias a que las organizaciones no han parcheado.
Podrían haber tomado WannaCry como un aviso u oportunidad para tomar las medidas oportunas, pero son muchas las organizaciones que a pesar de la importancia de la amenaza, la ignoraron.
Si sospechamos que acabamos de ser infectados, debemos evitar a toda costa el reinicio, ya que ésto impedirá la segunda etapa de cifrado.
Realiza una copia completa del disco para conservar la información, luego limpia y reinicia. Los siguientes sistemas operativos están expuestos a ataques de vulnerabilidad de SMB, así como otras variantes:
MS17-010 es el número de boletín de seguridad que Microsoft publicó con los parches que deben aplicarse, que incluyen:
Además, Petya aprovecha la CVE-2017-0199, por lo tanto también se deben aplicar las siguientes.
Si no podemos aplicar los parches en estos momentos, debemos reforzar la seguridad SMB y cerrar el puerto 445 inmediatamente. En un artículo publicado recientemente por nuestro compañero Pablo Ortiz podréis conocer muchos consejos prácticos para manteneros lo más protegidos posibles ante estas amenazas: WannaCry: no llores y plántale cara al Ransomware.
A continuación os muestro otros consejos prácticos adicionales:
Podemos evitar la infección endureciendo la configuración de las herramientas y/o permisos que se pueden ejecutar en un equipo, así como las rutas de los archivos que se pueden ejecutar. Por ejemplo, impedir que los archivos que se encuentren en el directorio temporal, puedan ejecutar fuera de él. Debido a que todos los archivos binarios tienen permisos para escribir en el directorio temporal, a menudo es utilizado por el malware para la ejecución inicial.
Incrementar controles de punto final para proteger la carpeta AppData de Windows. Muchas variantes de malware, incluyendo CryptoLocker, utilizan la carpeta AppData para almacenar y llamar a archivos ejecutables y librerías DLL. Debemos impedir que archivos DLL y ejecutables puedan ser copiados o accesibles desde estas carpetas que pueden contener muchas variantes de ransomware comunes.
Por supuesto, la educación del usuario es un factor importantísimo. Los usuarios finales deben involucrarse en todas las medidas de seguridad que se recomienden y conocer los detalles de las amenazas de la manera más llanamente posible.
Los usuarios representan el factor más vulnerable ante prácticamente cualquier tipo de amenaza de ciberseguridad. Un usuario preparado es más probable que identifique y rechace un intento de ataque.
La educación básica del usuario en torno a este tipo de amenazas debe incluir:
Tanto si contamos con un servicio de correo local, como basado en nube, si es un servicio de correo de Microsoft como si es de cualquier otro proveedor/fabricante, podemos contratar con una solución avanzada que nos proteja de todas estas amenazas. Microsoft ofrece un servicio basado en nube llamado Exchange Online Advanced Threat Protection (Protección contra amenazas avanzadas) capaz de protege el correo electrónico en tiempo real contra ataques desconocidos y sofisticados.
Mediante esta protección contra los archivos adjuntos no seguros y la protección ampliada contra los vínculos malintencionados, se proporciona una mejor respuesta ante los ataques de tipo ZeroDay.
Más información sobre Exchange Online ATP.
Este sitio web utiliza cookies para que tengas la mejor experiencia de usuario. Si continuas navegando, estás dando tu consentimiento para aceptar las cookies y también nuestra política de cookies (esperemos que no te empaches con tanta cookie 😊)