Ransomware WannaCry, ataque secuestrador

Hoy 12 de mayo fue realizado un ataque masivo de ransomware que afecto a varias compañías alrededor del mundo, donde sobresale la empresa española Telefónica, según la información analizada por Kaspersky Lab son al menos unos 45.000 intentos de infección en 74 países, la mayoría de ellos en Rusia.

El ataque ransomware  hace uso de una vulnerabilidad propia de Windows, la cual ya habia sido informada y corregida por parte de Microsoft en el Boletín de Seguridad de Microsoft MS17-010. El exploit utilizado, “Eternal Blue”, fue revelado por Shadowbrokers el 14 de abril.

[ads-post]

Una vez que el ransomware esta dentro del sistema, este brinda la posibilidad a los atacantes de realizar la instalación de un rootkit, con el cual secuestran los datos del usuario encriptado los mismos, para luego realizar una solicitud de recompensa por un valor de $ 600 en Bitcoin junto a una billetera – y la demanda de rescate aumenta con el tiempo.

Los expertos de Kaspersky Lab están actualmente tratando de determinar si es posible descifrar los datos bloqueados en este ataque con el objetivo de desarrollar una herramienta de descifrado tan pronto como sea posible.

Las soluciones de seguridad de Kaspersky Lab detectan el malware utilizado en este ataque por los siguientes nombres de detección:

Trojan-Ransom.Win32.Scatter.uf

Trojan-Ransom.Win32.Scatter.tr

Trojan-Ransom.Win32.Fury.fr

Trojan-Ransom.Win32.Gen.djd

Trojan-Ransom.Win32.Wanna.b

Trojan-Ransom.Win32.Wanna.c

Trojan-Ransom.Win32.Wanna.d

Trojan-Ransom.Win32.Wanna.f

Trojan-Ransom.Win32.Zapchast.i

Trojan.Win64.EquationDrug.gen

Trojan.Win32.Generic

(el componente System Watcher del sistema debe estarhabilitado)

Recomendamos tomar las siguientes medidas para reducir el riesgo de infección:

• Instale el parche oficial de Microsoft que cierra la vulnerabilidad utilizada en el ataque
• Asegúrese de que las soluciones de seguridad estén habilitadas en todos los nodos de la red
• Si utiliza la solución de Kaspersky Lab, asegúrese de que incluya el System Watcher, un componente de detección proactivo de comportamiento y que esté habilitado
• Ejecute el Scan de Área Critica en la solución de Kaspersky Lab para detectar una posible infección lo antes posible (de lo contrario, se detectará automáticamente dentro de 24 horas, si no se deshabilita).
• Reinicie el sistema después de detectar MEM: Trojan.Win64.EquationDrug.gen
• Utilice los servicios de Reportes de Inteligencia de Amenazas específicos para clientes

Para una explicación mas detallada del funcionamiento del ransomware el canal de EsetLatinoamerica ha compartido el siguiente vídeo que resulta muy educativo.
[youtube src="xpFU4n2iHN8"][/youtube]