Ataque con Ransomware: desde Telefónica a la NHS

Qué día y qué fin de semana van a tener varios administradores de sistemas! y no estamos hablando de redes pequeñas, empresas como Telefónica, Iberdrola, Gas Natural, Vodafone, varias de Rusia y Ucrania hasta el NHS, el National Health Service británico, la entidad de hospitales, el sistema de salud!

Si, en este caso estamos hablando del WanaCrypt0r 2.0 / WannaCry / Wanna Decryptor o como lo llamen, un ransomware que está solicitando alrededor de 0.2 bitcoins (alrededor de USD 300) para recuperar archivos de los sistemas afectados.

¿Qué equipos infectó? Principalmente con Windows, los más comunes en las oficinas, y todas sus versiones pero principalmente las viejas que ya no reciben soporte oficial de Microsoft.

Para aquellos que viven en la modernidad tengan en cuenta que muchas instituciones privadas o públicas cuentan todavía con equipos con Windows XP, no es chiste, además de Vista, 7, 8, 8.1 y varios más. Pero este tipo de ataques, utilizando vulnerabilidades de SMB sin parchear (Windows SMB Remote Code Execution Vulnerability).

Ahora bien, ¿De dónde sale este ransomware? Pues no es más que una combinación de los existentes (encriptan archivos, te piden rescate con amenazas) con las herramienas filtradas de la NSA (National Security Agency) que se publicaron hace unos meses donde se detallaban varios vectores de ataques posibles sin parches que eran explotados por la agencia de inteligencia y que ahora quienquiera puede utilizar contra usuarios desprevenidos (y desactualizados).

Se que muchos prefieren seguir con su viejo y querido Windows 7 o hasta XP, pero señores, es el año 2017, salvo que sean unos genios del backup lo ideal es tener un sistema actualizado y el único que puede lanzar un parche en tiempo y forma es Windows 10, MacOS o Linux en sus últimas versiones. Jugar al héroe con un sistema operativo viejo es ridículo. Además de esto, claro, podemos insistir con usar algún sistema operativo alternativo, pero no viene al caso 😛

Para aquellos que creen que un antivirus es la solución les aviso que… estan equivocados, son bastante colador y por más antivirus hasta que éste reciba una actualización para frenar el ransomware es probable que éste ya haya encriptado tus archivos más preciados.

Según el CCN-CERT español las versiones de Windows afectadas son:

• Microsoft Windows Vista SP2
• Windows Server 2008 SP2 y R2 SP1
• Windows 7
• Windows 8.1
• Windows RT 8.1
• Windows Server 2012 y R2
• Windows 10
• Windows Server 2016

Es decir, prácticamenete todo lo que hay en mercado hoy en día.

Si tienen alguna de estas versiones les recomiendo ejecutar la actualización de Windows o chequear aquí si estan en peligro (si no suelen actualizar automáticamente 100% de probabilidades de estar en riesgo). El parche (depende verisión, para W10 es KB3213986) está disponible desde Enero así que, por favor, no se arriesguen innecesariamente.

Más sobre este tema aquí, aquí y aquí