Petya Malware Expone Vulnerabilidades de Software de Computadora

Recientemente, varias organizaciones en Europa y en los EE. UU. Se han puesto de rodillas gracias a un nuevo ataque ransomware llamado" Petya ". "Este es un software malicioso, que se ha abierto camino a través de varias grandes empresas, incluidas Mondelez, una compañía de alimentos, WPP, un anunciante, Maersk, una empresa de logística danesa, y DLA Piper, una firma legal. Todas estas empresas han experimentado bloqueos informáticos y de datos y se les ha pedido que paguen un rescate por el acceso.

Este ataque es preocupante porque es el segundo gran ataque de ransomware en dos meses, que ha afectado a empresas de todo el mundo. Es posible que recuerde que en mayo, el Servicio Nacional de Salud, NHS, en Gran Bretaña, fue infectado por malware llamado WannaCry. Este programa afectó al NHS y a muchas otras organizaciones en todo el mundo. WannaCry se reveló por primera vez al público cuando se filtraron documentos relacionados con el NHS en línea por piratas informáticos conocidos como Shadow Brokers en abril.

El software WannaCry, también llamado WannaCrypt, afectó a un exceso de 230, 000 computadoras, que se encontraban en más de 150 países en todo el mundo. Además del NHS, Telefónica, una compañía telefónica española y ferrocarriles estatales en Alemania también fueron atacados.

Similar a WannaCry, "Petya" se propaga rápidamente a través de las redes que utilizan Microsoft Windows. La pregunta es, sin embargo, ¿qué es? También queremos saber por qué está sucediendo y cómo se puede detener.

¿Qué es Ransomware?

Lo primero que debes entender es la definición de ransomware. Básicamente, ransomware es cualquier tipo de malware que funciona para bloquear su acceso a una computadora o datos. Luego, cuando intentes acceder a esa computadora o a los datos que contiene, no podrás acceder a ella a menos que pagues un rescate. Bastante desagradable, y francamente malo!

¿Cómo funciona Ransomware?

También es importante entender cómo funciona el ransomware. Cuando una computadora está infectada por ransomware, se cifra. Esto significa que los documentos en su computadora están bloqueados y no puede abrirlos sin pagar un rescate. Para complicar aún más las cosas, el rescate se debe pagar en Bitcoin, no en efectivo, por una clave digital que puede usar para desbloquear los archivos. Si no tiene una copia de seguridad de sus archivos, tiene dos opciones: puede pagar el rescate, que suele ser de unos cientos de dólares a varios miles de dólares, o pierde acceso a todos sus archivos.

¿Cómo funciona el "Ransomware" Petya "?

El ransomware "Petya" funciona como la mayoría del ransomware. Toma una computadora y luego pide $ 300 en Bitcoin. Este es un software malicioso que se propaga rápidamente a través de una red u organización una vez que una sola computadora está infectada.Este software en particular usa la vulnerabilidad EternalBlue, que es parte de Microsoft Windows. Aunque Microsoft ha lanzado un parche para la vulnerabilidad, no todos lo han instalado. El ransomware también se puede propagar a través de las herramientas administrativas de Windows, que son accesibles si no hay una contraseña en la computadora. Si el malware no se puede obtener de una manera, automáticamente intenta con otra, que es cómo se ha extendido tan rápidamente entre estas organizaciones.

Por lo tanto, "Petya" se propaga mucho más fácilmente que WannaCry, según los expertos en seguridad cibernética.

¿Hay alguna forma de protegerse de "Petya? "

Probablemente te estés preguntando en este momento si hay alguna manera de protegerte de" Petya ". "La mayoría de las principales compañías de antivirus han afirmado que han actualizado su software para ayudar a detectar no solo la protección contra la infección de malware" Petya ". Por ejemplo, el software Symantec ofrece protección contra "Petya" y Kaspersky ha actualizado todo su software para ayudar a los clientes a protegerse del malware. Además de esto, puede protegerse manteniendo Windows actualizado. Si no hace nada más, al menos instale el parche crítico que lanzó Windows en marzo, que defiende contra esta vulnerabilidad de EternalBlue. Esto detiene una de las principales formas de infectarse, y también protege contra futuros ataques.

Otra línea de defensa para el brote de malware "Petya" también está disponible, y solo se ha descubierto recientemente. El malware comprueba la unidad C: para un archivo de solo lectura llamado perfc. dat. Si el malware encuentra este archivo, no ejecuta el cifrado. Sin embargo, incluso si tiene este archivo, en realidad no previene la infección de malware. Todavía puede propagar el malware a otras computadoras en una red, incluso si el usuario no lo nota en su computadora.

¿Por qué se llama este malware "Petya? "

También podría estar preguntándose por qué este malware se llama" Petya ". "En realidad, técnicamente no se llama" Petya ". "En cambio, parece compartir un montón de código con una pieza antigua de ransomware que se llamaba" Petya ". "Sin embargo, dentro de las horas posteriores al brote inicial, los expertos en seguridad notaron que estos dos ransomwares no eran tan similares como se pensó inicialmente. Por lo tanto, los investigadores de Kaspersky Lab comenzaron a referirse al malware como "NotPetya" (¡eso es original!), Así como a otros nombres como "Petna" y "Pneytna". "Además, otros investigadores llamaron al programa otros nombres como" Goldeneye ", que Bitdefender, de Rumania, comenzó a llamarlo. Sin embargo, "Petya" ya se había estancado.

¿Dónde comenzó "Petya"?

¿Te preguntas dónde comenzó "Petya"? Parece haber comenzado a través de un mecanismo de actualización del software que está integrado en un determinado programa de contabilidad. Estas compañías estaban trabajando con el gobierno ucraniano y el gobierno les exigió usar este programa en particular. Esta es la razón por la que tantas empresas en Ucrania se han visto afectadas por esto.Las organizaciones incluyen bancos, el gobierno, el sistema de metro de Kiev, el principal aeropuerto de Kiev y los servicios públicos estatales.

El sistema que monitorea los niveles de radiación en Chernobyl también se vio afectado por el ransomware y finalmente fue desconectado. Esto obligó a los empleados a usar dispositivos de mano manuales para medir la radiación en la zona de exclusión. Además de esto, hubo una segunda ola de infecciones de malware que fueron generadas por una campaña que presentaba archivos adjuntos de correo electrónico, que estaban llenos de malware.

¿Hasta dónde se propaga la infección "Petya"?

El ransomware "Petya" se ha extendido a lo largo y ancho, y ha interrumpido el negocio de las empresas tanto en los EE. UU. Como en Europa. Por ejemplo, WPP, una empresa de publicidad en los Estados Unidos, Saint-Gobain, una empresa de materiales de construcción en Francia, y Rosneft y Evraz, firmas de petróleo y acero en Rusia, también se vieron afectadas. Una compañía de Pittsburgh, Heritage Valley Health Systems, también ha sido golpeada por el malware "Petya". Esta compañía administra hospitales y centros de atención en todo el área de Pittsburgh.

Sin embargo, a diferencia de WannaCry, el malware "Petya" intenta propagarse rápidamente a través de las redes a las que accede, pero no intenta extenderse fuera de la red. Este solo hecho podría haber ayudado a las posibles víctimas de este malware, ya que ha limitado la propagación de este. Por lo tanto, parece haber una disminución en la cantidad de nuevas infecciones que se han visto.

¿Cuál es la motivación para los ciberdelincuentes que envían "Petya? "

Cuando se descubrió" Petya "inicialmente, parece que el brote del malware fue simplemente un intento de un cibercriminal de aprovecharse de las armas cibernéticas en línea filtradas. Sin embargo, cuando los profesionales de seguridad observaron un poco más de cerca el brote de malware "Petya", dicen que algunos mecanismos, como la forma en que se recauda el pago, son bastante aficionados, por lo que no creen que los ciberdelincuentes estén detrás de esto.

Primero, la nota de rescate que viene con el malware "Petya" incluye exactamente la misma dirección de pago para cada víctima de malware. Esto es extraño porque los profesionales crean una dirección personalizada para cada una de sus víctimas. En segundo lugar, el programa pide a sus víctimas que se comuniquen directamente con los atacantes a través de una dirección de correo electrónico específica, que se suspendió inmediatamente cuando se descubrió que la dirección de correo electrónico se utilizó para las víctimas de "Petya". Esto significa que incluso si una persona paga el rescate de $ 300, no pueden comunicarse con los atacantes, y además, no pueden acceder a la clave de descifrado para desbloquear la computadora o sus archivos.

¿Quiénes son los atacantes, entonces?

Los expertos en seguridad cibernética no creen que un cibercriminal profesional esté detrás del malware "Petya", ¿quién lo es? Nadie sabe en este momento, pero es probable que la persona o las personas que lo lanzaron quisieran que el malware pareciera un ransomware simple, pero en cambio, es mucho más destructivo que el ransomware típico. Un investigador de seguridad, Nicolas Weaver, cree que "Petya" es un ataque malicioso, destructivo y deliberado.Otro investigador, que va por Grugq, cree que el "Petya" original era parte de una organización criminal para ganar dinero, pero este "Petya" no está haciendo lo mismo. Ambos coinciden en que el malware fue diseñado para propagarse rápidamente y causar mucho daño.

Como mencionamos, Ucrania fue golpeada duramente por "Petya", y el país apuntó con sus dedos a Rusia. Esto no es sorprendente teniendo en cuenta que Ucrania también culpó a Rusia por varios ataques cibernéticos previos. Uno de estos ataques cibernéticos ocurrió en 2015, y estaba dirigido a la red eléctrica ucraniana. Finalmente terminó temporalmente dejando partes del oeste de Ucrania sin ningún poder. Rusia, sin embargo, ha negado cualquier participación en ciberataques en Ucrania.

¿Qué deberías hacer si crees que eres una víctima de ransomware?

¿Crees que podrías ser víctima de un ataque de ransomware? Este ataque particular infecta una computadora y espera aproximadamente una hora antes de que la computadora comience a reiniciarse espontáneamente. Si esto sucede, inmediatamente intente apagar la computadora. Esto podría evitar que los archivos en la computadora sean encriptados. En ese punto, puede tratar de sacar los archivos de la máquina.

Si la computadora finaliza el reinicio y no aparece un rescate, no lo pague. Recuerde, la dirección de correo electrónico utilizada para recopilar información de las víctimas y enviar la clave se cierra. Por lo tanto, en su lugar, desconecte la PC de Internet y de la red, vuelva a formatear el disco duro y luego use una copia de seguridad para volver a instalar los archivos. Asegúrese de hacer siempre copias de seguridad de sus archivos de forma periódica y siempre mantenga actualizado su software antivirus.