Ransomware Wannacry: A un año del ataque informático más grande del mundo

El viernes 12 de mayo de 2017, la comunidad global fue testigo del comienzo de la mayor infección de ransomware en la historia. El fabricante de automóviles Renault tuvo que cerrar su fábrica más grande en Francia y los hospitales en el Reino Unido tuvieron que rechazar a los pacientes. El gigante alemán del transporte Deutsche Bahn, la española Telefónica, la distribuidora de electricidad de Bengala Occidental, FedEx, Hitachi y el Ministerio Interior Ruso también resultaron afectados. WannaCry logró afectar a más de 200 mil sistemas en 150 países. Según Kaspersky Lab, el país más comprometido fue Rusia, con 33.64% de las empresas afectadas, seguido por Vietnam (12.45%) e India (6.95%). Entre los países más aquejados en América Latina se encontraban Brasil, México y Colombia, los cuales estuvieron entre los 20 países más afectados a nivel global, seguidos por Perú, Ecuador y Chile. [caption width="1000"]Mapa de países infectados por WannaCry[/caption] La novedad en este ataque fue la forma de propagación, usando elexploit EternalBlue –vulnerabilidad en el protocolo SMB, dada a conocer semanas antes por el grupo Shadowbrokers– la cual instalaba, a través de Internet, la puerta trasera DoublePulsar, utilizada para inyectar código malicioso sin requerir de interacción alguna con los usuarios. Una vez que los equipos eran infectados, WannaCry cifraba la información y extorsionaba a las víctimas, solicitándoles pagar un rescate para recuperar su información. WannaCry dejó a simple vista lo fácil que era explotar una vulnerabilidad conocida para el sistema operativo Microsoft Windows. Pese a que el parche ya estaba disponible, muchos administradores de sistemas se dieron cuenta de que su red estaba expuesta cuando ya era tarde. A pesar de la difusión que tuvo el ataque, un año después el exploitEternalBlue sigue siendo un vector de infección, no sólo para ransomware, sino también para otras infecciones con malware. Esto se debe a la falta de instalación de los parches correspondientes de Microsoft para cerrar estas vulnerabilidades. Según estadísticas de Kaspersky Lab, el 65% de las empresas afectadas por ransomware durante 2017 perdió acceso a una cantidad significativa de datos o incluso a todos sus datos. Además, una de cada seis de las que pagaron el rescate nunca recuperó sus datos. Con el propósito de hacerle frente a la creciente amenaza que representa el ransomware alrededor del mundo, los expertos de Kaspersky Lab recomiendan a los usuarios y empresas seguir las siguientes medidas:

1. Verificar que se ha instalado el parche de Microsoft que corrige esta vulnerabilidad en específico y asegurarse de instalar las actualizaciones de seguridad que resuelvan vulnerabilidades en el futuro.
2. Instalar una solución endpoint como Kaspersky Endpoint Security, que gracias a su herramienta Endpoint Detection Response (EDR) busca de manera proactiva a los adversarios y detiene las amenazas antes de que puedan causar daños costosos, respondiendo de manera rápida y efectiva a incidentes y brechas de seguridad, sin afectar la productividad o incurrir en grandes inversiones.
3. Realizar el respaldo de sus datos a menudo. Inclusive, si se encuentra en una situación donde sus archivos han sido cifrados, respalde esos datos ya que la llave para descifrarlos puede estar disponible en unos días y así podrá recuperarlos.
4. En caso de sufrir la infección de ransomware en sus equipos, la recomendación es no pagar el rescate. En su lugar, se insta a las empresas a consultar desde un equipo no infectado la página de la iniciativa No More Ransom, proyecto que reúne a proveedores de seguridad y agentes de la ley para rastrear e interrumpir las actividades de las grandes familias de ransomware, además de ayudar a las personas a recuperar sus datos y socavar el lucrativo modelo comercial de los delincuentes.