Más de 74 países afectados, 45.000 ataques realizados, se ha vulnerado la seguridad de cientos de empresas y el problema sigue creciendo, dato entregado por kaspersky en su sitio security list.

WannaCry una nueva versión de la familia de ramsonware, un malware que secuestra un computador, encripta los archivos (texto, planillas de cálculo, fotos entre otros) y exige dinero por rescatar la información, nadie garantiza que al pagar se recuperen los datos, se estima que solo el 30% de las personas que pagan el rescate recuperan la información.

Este ransomware se aprovecha de la vulnerabilidad ETERNALBLUE, de Windows detectada a principios de año y distribuido, el código de ataque, por la plataforma de github. Afecta a los equipos con Microsoft Windows desde su versión Vista en adelante. Microsoft genero el parche de seguridad para esta vulnerabilidad el día 14 de marzo del presente año, el problema es que muchas empresas y usuarios nunca se preocupan de actualizar ni parchar los errores de seguridad en los sistemas operativos. Una gran particularidad de este virus es que una vez que infecta un computador conectado a cualquier red corporativa, se propaga por la misma solo, el punto de entrada normalmente es un correo electrónico con un enlace o archivo adjunto contaminado. Algo interesante de este ransomware es que se comunica con la red TOR para ejecutar comandos.

El parche de seguridad para este problema se puede descargar desde Microsoft en el siguiente enlace.

Uno de los principales problemas que existe es que un antivirus solo detecta aquellos virus que se encuentran en sus bases de datos y no las nuevas variantes que se van creando cada día. Es de suma importancia tener los siguientes puntos en consideración.

Para los administradores de sistemas:

Como comentario final, un ataque de esta envergadura no pudo ser realizado por una sola persona, y posiblemente sea un ataque programado y planeado con mucha anticipación.

Se Propaga de una forma diferente al resto de los ransomwares es un virus que funciona como caballo de Troya (Troyano) se esconde usualmente en paquetes de software legítimo y común.

No sólo encripta los archivos, sino que también evita que ciertas aplicaciones se ejecuten que tienen un patrón específico en su nombre de proceso. Además, se utiliza una forma no convencional de propagación que hasta ahora no se considera típico de ransomware. La buena noticia para las víctimas es: ¡el cifrado de su iteración actual puede ser violado!

Cryptohost toma los datos que desea cifrar y lo copia en un archivo RAR y cifra Este archivo con una contraseña. Los archivos originales se eliminan automáticamente. Los siguientes tipos de archivos están encriptados:

  *.3g2 *.3gp *.asf *.7z *.avi *.doc *.docx *.flv *.gif *.jpeg *.jpg *.m4v *.mov *.mp4 *.mpeg *.mpg *.pdf  *.png *.pps *.ppd *.ppt *.pptx *.psd *.rm *.qt *.tiff *.txt *.wmv *.wpd *.wps *.xlr *.xls *.xlsx *.zip

En su implementación actual, el ransomware es realmente susceptible a ataques. Las víctimas pueden restaurar sus datos. La contraseña para el archivo RAR consta de los siguientes componentes:

SHA1Hash(Win32_processor.processorID + VolumeSerialNumber_Volume_C + Win32_BaseBoard.SerialNumber) + username

Investigador en PCRisk.com informó que la contraseña para archivos RAR creado por su muestra de Cryptohost consiste en "el nombre del nombre del archivo RAR + ordenador." De acuerdo con nuestros resultados, es una combinación de nombre y el del archivo RAR nombre de usuario en lugar del nombre del equipo.

El SHA1 es el nombre del archivo RAR. El nombre de usuario se puede determinar de la siguiente manera: pulse la tecla de Windows + R; a continuación, escriba cmd y presione Intro. En la ventana de línea de comandos de reciente apertura, introduzca echo% nombre de usuario% y pulse Intro de nuevo. La cadena que se muestra es el nombre de usuario.

Ejemplo: El archivo RAR se llama 123456789ABCDE y el nombre de usuario es JDoe. Por lo tanto, la contraseña es 123456789ABCDEJDoe

A principios de 2016, las variantes de ransomware destructivas como Locky y Samas se observo  infectando las computadoras que pertenecen a particulares y empresas, que incluyendo centros de salud y hospitales en todo el mundo. El ransomware es un tipo de software malicioso que infecta un ordenador y restringe el acceso de los usuarios a la misma hasta que se pagó un rescate para desbloquearlo.

El Departamento de Estados Unidos de Seguridad Nacional (DHS), en colaboración con Ciber Centro de Respuesta a Incidentes de Canadá (CCIRC), es la liberación de esta Alerta a proporcionar más información sobre el ransomware, específicamente sus principales características, su prevalencia, las variantes que pueden estar proliferando, y cómo los usuarios pueden prevenir y mitigar ransomware.

Descripción

Ransomware es un tipo de malware que infecta a los sistemas informáticos, la restricción del acceso de los usuarios a los sistemas infectados. variantes ransomware se han observado desde hace varios años y, a menudo tratar de extorsionar a las víctimas mediante la visualización de una alerta en pantalla. Por lo general, estas alertas afirman que los sistemas de los usuarios se han bloqueado o que los archivos del usuario han sido cifrados. Los usuarios se les dice que a menos que se pague un rescate, el acceso no se restaurará. El rescate exigido de los individuos varía mucho, pero con frecuencia es $ 200- $ 400 dólares y debe ser pagado en moneda virtual, como Bitcoin.

Ransomware a menudo se propaga a través de correos electrónicos de phishing que contienen datos adjuntos maliciosos o por medio de la unidad-descargando. Drive-by descarga se produce cuando un usuario sin saberlo, visita un sitio web infectado y luego malware es descargado e instalado sin el conocimiento del usuario.

ransomware Crypto, una variante de malware que cifra los archivos, se propaga a través de métodos similares y también se ha extendido a través de medios sociales, como las aplicaciones de mensajería instantánea basada en Web. Además, se han observado nuevos métodos de infección ransomware. Por ejemplo, los servidores web vulnerables han sido explotados como punto de entrada para acceder a la red de una organización.

¿Por qué es tan eficaz?

Ransomware (del inglés ransom rescate y ware, software) es un tipo de software malicioso que restringe el acceso al sistema informático infectado de alguna manera, y exige que el usuario paga un rescate a los operadores de malware para eliminar la restricción. Algunas formas de ransomware buscan sistemáticamente cifrar archivos en el disco duro del sistema, que se vuelven difíciles o imposibles de descifrar sin pagar el rescate por la clave, mientras que algunos pueden simplemente bloquear el sistema y visualizar los mensajes destinados a convencer al usuario a pagar. Ransomware normalmente se propaga como un troyano, cuya carga útil se disfraza como un archivo aparentemente legítimo.

Aunque en un principio popular en Rusia , el uso de estafas ransomware ha crecido internacionalmente;en junio de 2013, proveedor de software de seguridad McAfee dio a conocer datos que muestran que había recogido más de 250.000 muestras únicas de ransomware en el primer trimestre de 2013, más del doble del número que había obtenido en el primer trimestre de 2012. Hay una amplia gama ataques con ransomware basado en el cifrado comenzó a aumentar a través de troyanos como cryptolocker , que había adquirido un estimado de US $ 3 millones antes de que fue tomada por las autoridades, y Cryptowall, que fue estimado por los EE.UU. Oficina Federal de Investigaciones (FBI) que se han acumulado más de $ 18 millones en junio de 2015.