El nuevo ataque ‘ransomware’ usa la misma vulnerabilidad que WannaCry

Un nuevo virus informático se propaga amenazando a miles de organizaciones y empresas en todo el mundo. Los sistemas del Banco Central de Ucrania o la petrolera rusa Rosneft han sido comprometidos, al igual que varias multinacionales con presencia en España como la farmacéutica MSD o la compañía de alimentación Mondelez.

En Ucrania y Rusia se concentra el mayor número de infecciones con un 60% y 30% de equipos afectados globalmente por el ciberataque, según los análisis preliminares que ha compartido Costin Raiu, director del equipo de análisis e investigación de Kaspersky Lab, una compañía multinacional especializada en seguridad informática.

Petya será otro incidente mundial gracias a que las organizaciones no han parcheado", dice el experto en ciberseguridad Kevin Beaumont

Este nuevo ciberataque, que según varias fuentes de una variante del virus conocido como Petya, replica el modus operandi de WannaCry al servirse de una vulnerabilidad en el protocolo para compartir en red de los sistemas operativos Windows denominada EternalBlue, han confirmado los analistas de la empresa de seguridad informática Symantec. Sin embargo, los análisis preliminares de Kaspersky indican que es un ransomware desconocido hasta ahora. Han decidido llamarlo NotPetya.

Microsoft lanzó un parche de seguridad "crítico" el 14 de marzo, antes de que el grupo ShadowBrokers filtrara esta vulnerabilidad, usada en secreto por la Agencia Nacional de Seguridad de los Estados Unidos para obtener información. Pero las organizaciones afectadas no lo habían aplicado todavía aunque el virus se propagó dos meses después. En algunos casos, aplicar parches rápido es una tarea muy costosa para las empresas.

El Centro Criptológico Nacional español ha confirmado que el ciberataque ha afectado a varias compañías en España y recomienda como medidas de prevención y mitigación actualizar el sistema operativo y las soluciones de seguridad, restringir los accesos desde fuera de la organización, a no ser que sean mediante protocolos seguros, y deshabilitar las funciones de macro en los documentos de Microsoft Office.

"Es como si al ejército de Estados Unidos le robaran misiles Tomahawk", dijo Brad Smith, presidente de Microsoft en relación con la filtración de herramientas informáticas de ofensa almacenadas por naciones.

Petya se divide en dos partes: la que pide el rescate y la que hace que se propague por las redes locales.

"Petya será otro incidente mundial gracias a que las organizaciones no han parcheado", dice el experto en ciberseguridad Kevin Beaumont.

La propagación de WannaCry se detuvo gracias al ingenio de dos jóvenes expertos y un simple dominio web valorado 10 euros. Pero Petya es diferente. "Por cierto, no podemos parar esto, no hay interruptor de la muerte", ha dicho el experto en seguridad "2sec4u".

Lo peligroso del ransomware no fue el código que cifra los ficheros y pide un rescate, sino el gusano que lo propaga y que usa la vulnerabilidad EternalBlue. Petya también se divide en dos partes: la que pide el rescate y la que hace que se propague por las redes locales.

En lugar de cifrar los ficheros uno a uno como WannaCry, Petya reinicia el equipo de la víctima y cifra la tabla maestra de archivos del disco duro y hace que la partición encargada de arrancar el sistema quede inutilizable al reemplazarlo con un código que muestra el aviso del rescate.