medios
¿Qué ocurre cuando se combina la estructura y enfoque del crimen organizado con la organización y escala de un Estado-Nación? Se obtienen dos ataques de ransomware a nivel global como ningún otro que el sector haya visto antes. Bienvenidos a la nueva normalidad.
Dale Drew, Chief Security Officer de Level 3, contó que hace unos días, se desencadenó a nivel global otro ataque del tipo ransomware llamado Petya, que según los informes impactó en más de 12.000 computadoras, encriptando sus discos duros e inutilizándolos. Petya utilizó un exploit descubierto por la NSA y lanzado por un grupo de hackers, donde encriptaron los datos (en esta ocasión en los discos duros, en vez de hacerlo en los archivos individuales) y exigieron $300 USD en Bitcoins. Denominado ExternalBlue, este exploit es una exposición de Bloques de Mensajes del Servidor (SMB) que afecta principalmente a las máquinas de Windows, y provee el tipo de exposición por el cual se esfuerzan los Estados-Nación: una aplicación que está bien arraigada en internet y que es ampliamente utilizada tanto por las empresas privadas como por los organismos gubernamentales.
A diferencia de WannaCry, que fue distribuido escaneando sistemas de internet vulnerables que ejecutaban SMB en la internet pública, Petya fue distribuido internamente a través de una dependencia de la cadena de suministros, mediante una aplicación de software contable llamada MeDoc. Aparentemente, estos actores maliciosos agregaron el exploit a la distribución de una actualización de MeDoc, que luego se abrió camino para llegar a los clientes, comprometiendo los sistemas internos de la compañía aprovechando el exploit EternalBlue.
Muchas compañías protegieron su visibilidad pública a EternalBlue, aunque aparentemente no pasó lo mismo con su susceptibilidad interna, y esto posibilitó que Petya se esparciera rápidamente a escala global. Petya fue particularmente destructivo por naturaleza, toda vez que encriptó el Registro de Arranque Maestro -Master Boot Record (MBR)-, impidiéndoles a los usuarios ingresar al sistema y tornando inutilizable a la PC en su totalidad.
WannaCry y Petya representan una nueva era de ataques extorsivos, donde los grupos del crimen organizado buscan exploitsque les den la mayor cantidad de víctimas en el menor tiempo posible. En lugar de ransomware “dirigido”, que opera esperando que haya un elevado porcentaje de participación de pago de víctimas específicas, ésta es una técnica ransomware más del tipo “spam”. Procura infectar a la mayor cantidad de personas posibles, es decir que aun con un porcentaje de participación más pequeño, reditúa más que los ataques dirigidos concentrados.
Además, Petya también agregó el elemento de dependencia de la cadena de suministro – compañías que aceptan actualizaciones de los proveedores directamente en las producciones. Si bien éste no es primer y principal riesgo para las compañías de un ataque al proveedor de la cadena de suministros es algo de lo que tomarán nota otros cibercriminales.
Entonces, ¿qué hacer para protegerse?
A continuación, algunas recomendaciones:
Realizar un back-up de sus datos críticos.
Emparchar los sistemas lo más rápido posible.
Segmentar sus sistemas de producción y de usuarios para contener la dispersión de las infecciones y de los peligros.
Instruir a los usuarios acerca de los peligros del phishing.
Aceptar las nuevas actualizaciones de su cadena de suministro primero en un entorno de prueba, y monitorear dicho entorno de prueba buscando infecciones.
Solicitar a los proveedores de seguridad, firmas específicas para los exploits de los Shadow Brokers, para poder determinar cuando alguien está tratando de usarlas en su entorno.
No pagar ransomware (rescate), ya que rara vez se recuperarán sus archivos. Más importante aún, quedará etiquetado como alguien que va a pagar.
Contactar al ISP para que lo ayude a rastrear y a bloquear los ataques contra sus puntos de acceso a internet.
