Petya: cómo prevenirlo y detener el próximo ciberataque global

El equipo de Respuesta a Incidentes de Check Point Software Technologies ha detectado numerosos ataques de una nueva variante del malware Petya, que se está expandiendo lateralmente dentro de redes corporativas. Todo parece indicar que está utilizando el exploit SMBv1 'EternalBlue', al igual que WannaCry en mayo. En un primer momento, fue detectado atacando a entidades financieras ucranianas, y se ha extendido de forma masiva por Europa, América del Norte, América del Sur y Asia.

Petya se está propagando rápidamente a través de las redes corporativas de la misma manera que WannaCry hizo el mes pasado. Sin embargo, a diferencia de otros tipos de ransomware, no cifra los archivos de las máquinas infectadas de forma individual. En su lugar, bloquea toda la unidad de disco duro del equipo.

El ataque comenzó en Ucrania, donde causó una interrupción masiva de las infraestructuras críticas del país, antes de extenderse por Europa, infectando a una serie de empresas. Se ha especulado que la fuente de la infección ha sido una actualización de software corrupta de un programa de contabilidad llamado M.E. Doc, que se extendió a todos sus clientes. M.E. Doc niega esta versión.

24 horas después del inicio del ataque, el sistema por el que las víctimas pueden pagar el rescate se ha quedado inutilizado: la dirección de correo electrónico proporcionada por los criminales la ha cerrado el proveedor de alojamiento, y los ciberdelincuentes no han accedido a la cuenta de Bitcoins en la que se depositaba el dinero de los rescates, que no llega a los 10.000 dólares.

A la vez que surgió Petya, el equipo de investigación de Check Point detectó la distribución simultánea del bot Loki a través de documentos RTF infectados, que instalan una aplicación de robo de credenciales a dispositivos infectados. Sin embargo, por el momento, los dos ataques no parecen estar directamente conectados.

Check Point sostiene que existen tres aspectos principales relativos a este último ataque de ransomware:

1. El ataque podría haberse evitado, y los que veremos en el futuro podrán evitarse también. Dado que más del 93% de las empresas no disponen de la tecnología necesaria para protegerse contra este tipo de amenaza, no es de extrañar que se estén propagando con tanta rapidez. Para próximas ocasiones los negocios deben desplegar soluciones que prevengan el ransomware, y aplicar todos los parches de seguridad de su software.

2. Es hora de que las empresas, los gobiernos y las organizaciones supranacionales impulsen la agenda de la ciberseguridad. Los ataques globales demuestran que necesitamos invertir en el futuro de la ciberseguridad. Es esencial que las tecnologías modernas de protección se desplieguen desde el Estado para evitar que vuelvan a suceder. Sabemos que los ciberdelincuentes continuarán lanzando nuevos tipos de malware una y otra vez, por lo que necesitamos tomar medidas para protegernos.

3. La seguridad fragmentada es parte del problema. Hay demasiadas tecnologías sin coordinación entre ellas que se dedican a detectar un ataque después de que el daño está hecho. Para defender a las compañías de todos los tamaños y sectores, se necesitan arquitecturas unificadas que se centren en prevenir los ataques antes de que lleguen a las redes corporativas.

Petya demuestra dos tendencias principales: en primer lugar, que los ciberdelincuentes pueden crear y difundir nuevas amenazas a escala mundial a una velocidad increíble. Segundo que, a pesar del impacto de WannaCry, muchas compañías todavía no están bien preparadas para evitar que el malware se filtre en sus sistemas.

Estos ataques tienen el potencial de crear un daño masivo, como se ve por el impacto en la infraestructura crítica en Ucrania. Y las consecuencias de una propagación tan rápida de las infecciones pueden tener un efecto dramático en la vida de los ciudadanos, incapacitando servicios críticos e interrumpiendo sus rutinas diarias.

Para evitar ser víctima de futuras ciberamenazas, Check Point recomienda:

1. Aplicar todos los parches de seguridad en cuanto se distribuyan. Las actualizaciones que solucionan las vulnerabilidades explotadas por Petya y WannaCry están disponibles desde hace varios meses. Las organizaciones deben aplicarlas en sus redes de inmediato. También deben asegurarse de que se desplieguen y apliquen nuevos parches a medida que estén disponibles.

2. Bloquear los ataques antes de que penetren en la compañía con Prevención de Amenazas de Nueva Generación. Las empresas deben centrarse en prevenir los ataques antes de que sucedan. Detectar este tipo de amenaza avanzada después de que haya sucedido no es suficiente: el daño ya está hecho. La Prevención de Amenazas de Nueva Generación es esencial para buscar, bloquear y filtrar el contenido de los archivos sospechosos antes de que entren en las redes. También es clave que el personal esté informado sobre los riesgos potenciales de los emails enviados por personas desconocidas o los sospechosos que provienen supuestamente de contactos conocidos.

Para saber más sobre el ciberataque de Petya:

http://blog.checkpoint.com/2017/06/28/preventing-petya-stopping-next-ransomware-attack/

http://blog.checkpoint.com/2017/06/27/global-ransomware-attack-spreading-fast/