WannaCry, tamén chamado WanaCrypt0r 2.0, é un verme tipo ransomware responsable dunha epidemia a grande escala que ocorreu en maio de 2017 en ordenadores con Microsoft Windows. Cando se executa, cifra os ficheiros do ordenador e esixe un rescate de varios centos de dólares para descifralos.
O 12 de maio de 2017, o malware infectou os sistemas informáticos de numerosas empresas e organizacións de todo o mundo, entre elas Portugal Telecom, Deutsche Bahn, FedEx, Telefónica, Tuenti, Renault, o Servizo Nacional de Saúde británico, o Ministerio do Interior ruso e a Universidade de Milán-Bicocca.
Ata o 28 de maio afectou máis de 230.000 ordenadores en 150 países, o que o converte nun dos brotes cibernéticos máis grandes da historia.
Como funciona WannaCry explota unha vulnerabilidade de SMB mediante un exploit chamado EternalBlue, que se cre que desenvolveu a Axencia de Seguridade Nacional dos Estados Unidos para atacar sistemas informáticos baseados no sistema operativo Microsoft Windows. Un grupo de hackers chamado "The Shadow Brokers" roubou EternalBlue e publicouse en liña o 14 de abril de 2017.
O malware difúndese a través de correos electrónicos falsos e, unha vez instalado nun ordenador, comeza a infectar outros sistemas da mesma rede e sistemas vulnerables expostos a Internet, que se infectan sen intervención do usuario. Cando infecta un ordenador, WannaCry cifra os ficheiros, bloqueando o acceso e engade a extensión .WCRY; Tamén impide que o sistema se reinicie. Nese momento, nun ficheiro chamado @Please_Read_Me@ hai unha solicitude de rescate, inicialmente por 300 dólares pero despois elevado a 600, que o usuario debe pagar en bitcoins para ter os ficheiros desbloqueados.
EternalBlue explota unha vulnerabilidade de Windows parcheada por Microsoft o 14 de marzo de 2017 cun parche chamado "Actualización de seguridade para Microsoft Windows SMB Server (4013389)". Porén, moitos ordenadores non se manteñen actualizados e non teñen ese parche, polo que seguen sendo vulnerables ao verme.
Ataque de maio de 2017 alt=Mapa dos ataques|miniatura|Países afectados durante as primeiras horas da infección. Na tarde do 11 de maio de 2017 comezou un ataque a numerosos sistemas en todo o mundo. Europol comezou inmediatamente a investigar para descubrir quen era o responsable do ataque e vixiar a situación.
O ataque diminuíu de forma significativa cando un investigador británico de 22 anos descubriu que, antes de infectar un ordenador, WannaCry intenta contactar cun enderezo web que non estaba rexistrado nese momento. O investigador asumiu que se trataba dun mecanismo inserido no código do verme polos seus creadores por se querían bloquealo; outro motivo para a súa inclusión foi permitir que o ransomware entenda de forma independente cando estaba a ser analizado por investigadores de compañías antivirus e desactivarse para escapar destas primeiras deteccións e propagarse o máis rápido posible despois das primeiras infeccións. Despois de rexistrar ese dominio, observouse unha rápida diminución das infeccións polo verme. Non obstante, existe o temor de que unha nova versión do verme, sen o sistema de bloqueo, poida liberarse e utilizarse para un novo ataque.
Notas
Véxase tamén Outros artigos CryptoLocker
Ligazóns externas
Categoría:Malware