Petya, PetrWrap, ExPetr contra empresas
Los expertos de Kaspersky Lab han llamado ExPetr a la nueva variedad de malware cifrador. Responsable del reciente ataque a nivel global.
Otros lo identifican como PetrWrap, Petya, entre otros nombres.
La diferencia principal con este nuevo ransomware es que los delincuentes han escogido sus objetivos con gran precisión. Muchas de las víctimas son empresas, no consumidores.
Instalaciones con infraestructura crítica están entre las víctimas de este malware. Por ejemplo, se ha informado que algunos vuelos del aeropuerto de Kiev Boryspil han sufrido retrasos a causa del ataque.
Al igual que con WannaCry, tenemos dos problemas: la penetración inicial del malware en la infraestructura de una empresa y su proliferación en ella.
Penetración inicial
Los expertos indican algunos caminos por los que el malware se infiltra en la red.
En algunos casos, hizo uso de sitios web maliciosos. En otros, los usuarios recibieron el malware como si se tratara de una actualización del sistema. También, como actualizaciones de software de terceros (por ejemplo mediante el software ucraniano M.E.Doc).
Es decir, no existe un único punto de entrada predecible que proteger.
No obstante, existen algunas recomendaciones para prevenir que el malware penetre en la infraestructura:
- Instruir a los usuarios para no abrir archivos adjuntos sospechosos. Tampoco dar clic en los enlaces incluidos en los correos electrónicos.
- Asegurarse que todos los sistemas conectados a Internet estén equipados con soluciones de seguridad activas.
- Comprobar que los componentes importantes de las soluciones de seguridad están activos.
- Actualizar las soluciones de seguridad regularmente.
- Emplear herramientas para administrar y monitorear las soluciones de seguridad desde una consola administrativa.
Propagación en la red
Una vez que logra introducirse en el sistema, ExPetr se propagará mucho más rápido que WannaCry en una red local.
Esto se debe a que dispone de capacidades extensas para ese objetivo en concreto.
En primer lugar, utiliza al menos dos exploits: un EternalBlue modificado (también usado por WannaCry) y EternalRomance (otro exploit del puerto TCP 445).
En segundo lugar, cuando infecta un sistema en el que el usuario tiene privilegios de administrador, empieza a distribuirse mediante la herramienta de control remoto de sistemas PsExec.
Para prevenir que el malware acceda a la red, se puede considerar lo siguiente:
- Aislar los sistemas que requieren una conexión activa de Internet en otro segmento de red.
- Dividir la red sobrante en subredes o subredes virtuales con conexiones restringidas. Y conectar solo los sistemas que la requieran para procesos tecnológicos.
- Asegurarse que las actualizaciones de seguridad críticas de Windows están instaladas. Muy importante, ya que la MS17-010 cierra las vulnerabilidades.
- Utilizar servidores de respaldo aislados del resto de la red. Y evitar la conexión con unidades remotas en los servidores de respaldo.
- Prohibir la ejecución del archivo llamado perfc.dat, puede usarse Windows AppLocker.
- En sistemas que contengan múltiples sistemas integrados, utilizar soluciones de seguridad especializadas.
- Configurar el modo de denegación por defecto como medida de protección adicional en los sistemas que sea posible.
También puede consultar:
Hablemos de tu proyecto