WannaCry 2017: El ransomware que hizo llorar al mundo

WannaCry 2017: un ataque mundialmente famoso

 WannaCry 2017 sigue siendo uno de los ataques más conocidos en la historia de la informática y la ciberseguridad. Han pasado más de seis años desde que ocurrió, pero aún debe considerarse un caso de estudio muy útil e instructivo.

  Fig.1 – La advertencia que apareció en los ordenadores afectados por WannaCry

Todavía recuerdo que aquel viernes 12 de mayo de 2017, la noticia del ataque de WannaCry fue la noticia principal en todos los informativos de máxima audiencia de Europa. Así, WannaCry 2017 no fue solo un acontecimiento para los expertos en ciberseguridad, sino que también afectó a los medios de comunicación generalistas, además de a organizaciones y empresas de todas las naciones.

¿Por qué sucedió todo esto?

WannaCry, también conocido como “I want to cry”, también se llama WanaCrypt0r 2.0. En mayo de 2017, concretamente el viernes 12, este ransomware paralizó ordenadores en medio mundo, gracias a un fallo encontrado en la función SMB de Windows, un “bug” conocido y que además ya había sido “bloqueado” por la empresa de Redmond con un parche, el número MS17-010. La petición de rescate era de 300 dólares, a pagar en Bitcoin a una de las tres cuentas especificadas en el mensaje de rescate (ver Figura 1 – El mensaje de rescate de WannaCry).

Muchos investigadores del sector consideraron que WannaCry fue “un ataque de proporciones sin precedentes”. Kaspersky Lab ha registrado más de 300.000 ataques en 150 naciones, entre ellas Rusia, China, Italia, India, Egipto y Ucrania. Europol, una agencia de la UE dedicada a la lucha contra el crimen, habló de “un ataque sin precedentes que requiere una investigación internacional”. 

Uno de los países más gravemente afectados fue el Reino Unido, donde WannaCry bloqueó al menos veinticinco hospitales y puso en crisis al sistema de salud británico. El ataque provocó importantes trastornos en la atención a los pacientes, como la cancelación de unas 19.000 citas, incluidas operaciones, y la interrupción de los sistemas informáticos de al menos un tercio de todos los hospitales del Servicio Nacional de Salud (NHS) del Reino Unido. Los hospitales afectados se vieron obligados a derivar a los pacientes de urgencias a otros hospitales.

No existen pruebas concluyentes de personas que hayan muerto a causa del ataque de WannaCry, pero un estudio de la Owen Graduate School of Management de la Universidad de Vanderbilt encontró un aumento de la tasa de mortalidad relacionado con el ataque: hasta treinta y seis muertes adicionales por cada 10.000 ataques cardíacos que se producían – estadísticamente – cada año en los cientos de hospitales encuestados.

Esto fue posible porque muchos miles de ordenadores en los hospitales del Reino Unido todavía utilizaban Windows XP (un sistema declarado “fin de vida” y ya no soportado por Microsoft desde abril de 2014).  Una encuesta realizada por Motherboard en 2016 había encontrado al menos cuarenta y dos centros del Servicio Nacional de Salud (NHS) que todavía utilizaban XP.

Sin embargo, se han reportado ataques en toda Europa y el resto del mundo, entre otros, Nissan y Renault en Francia, la empresa de telecomunicaciones Telefónica, Iberdrola y los bancos BBVA y Santander en España, FedEx en EE. UU., y muchos otros. En Alemania, se vieron afectados los ordenadores de Deutsche Bahn (los ferrocarriles alemanes). En Japón, le tocó el turno a Hitachi, Nissan y East Japan Railway. En Rusia, los ataques afectaron a RZD (los Ferrocarriles Rusos), al banco VTB, a Megafon. Italia también se une a la lista, con la Universidad de Bicocca en Milán (que según se informa fue atacada a través de una memoria USB que contenía el malware).

Se estima que ha costado, a nivel mundial, entre 4.000 y 8.000 millones de dólares y que ha causado un daño estimado de más de 100 millones de dólares al Servicio Nacional de Salud británico.

Sin embargo, a pesar de propagarse como la pólvora, WannaCry fue considerado un fracaso económico: la cantidad recaudada por los ciberdelincuentes fue de alrededor de 100.000 dólares.

Detectamos estos datos dos semanas después del ataque analizando los movimientos de las tres cuentas de Bitcoin utilizadas e identificadas en la nota de rescate, y que son las siguientes:

• 13AM4VW2dhxYgXeQepoHkHSQuy6NgaEb94
• 12t9YDPgwueZ9NyMgw519p7AA8isjr6SM
  
• 115p7UMMngoj1pMvkpHijcRdfJNXj6LrLn

Se trata de una suma modesta, sobre todo teniendo en cuenta que el malware generalmente busca precisamente el pago de un rescate. Esto sugiere que el ataque no se hizo por dinero, sino más probablemente con fines desestabilizadores o demostrativos.

Ahora parece cierto que el ataque se originó en Corea del Norte, con su grupo de hackers conocido como Lazarus (otros nombres del grupo: Hidden Cobra, Guardians of Peace, APT38). Esto lo afirman Symantec y Kaspersky Lab, que encontraron ciertas similitudes en el código del malware con ataques anteriores: el del Banco Central de Bangladesh en 2016 (el mayor robo cibernético de la historia, 82 millones de dólares robados), pero especialmente el de Sony Pictures Entertainment, la productora atacada por haber producido “The Interview”, una película satírica sobre el líder norcoreano Kim Jong-un.

En 2018 WannaCry volvió a atacar: en marzo, Boeing, el mayor fabricante de aviones del mundo, fue atacado. La empresa confirmó el incidente, pero precisó que el problema afectó solo a un número limitado de sistemas en la división comercial, no a los de la planta de fabricación.

WannaCry 2017: la técnica de ataque

La particularidad de WannaCry, en comparación con otros tipos de ransomware más clásicos, es que se trata de un malware compuesto por dos componentes que operan de forma sucesiva:

Etapa 1: Se utilizó un exploit (hablamos de los exploits en este artículo) que aprovechaba una vulnerabilidad en SMBv1 (un protocolo de intercambio de archivos en red, Server Message Block, utilizado por los sistemas Microsoft Windows) para atacar el ordenador objetivo. La vulnerabilidad se clasifica como CVE-2017-0144 y ya había sido corregida por Microsoft el 14 de marzo de 2017, pero no en los sistemas WinXP y Windows Server 2003, que no contaban con soporte desde 2014.

Cabe señalar que solo la versión 1.0 (SMBv1) es vulnerable: se trata de un protocolo muy antiguo (y muy inseguro), creado hace más de veinte años y ya presente en XP. Las versiones SMBv2 (introducida en 2006) y SMBv3 (creada con Windows 8) no sufren esta vulnerabilidad.

De esta manera, WannaCry se propagó automáticamente a otros ordenadores, lo que explica la altísima tasa de su propagación. 

Un dato importante e inquietante: WannaCry utilizó el exploit llamado EternalBlue, que parece haber sido creado por la NSA (la Agencia de Seguridad Nacional de EE. UU.). Sin embargo, la NSA sufrió el “robo” del exploit recién creado por parte de un grupo de hackers llamado The Shadow Brokers (TSB) que lo puso a disposición en la darkweb en abril de 2017 y que los atacantes utilizaron.

Etapa 2: Un ransomware propiamente dicho realiza el cifrado de archivos. El malware de tipo ransomware existe desde hace unos diez años (y tiene como objetivo extorsionar dinero: cobrar un rescate para recuperar los archivos que han sido cifrados). Sin embargo, nunca antes un ransomware se había propagado tan rápidamente, gracias precisamente al exploit EternalBlue.

Según Microsoft, existen al menos dos posibles vectores de ataque, que Microsoft señala como “altamente probables”:

• El primero -y más trivial- son los habituales correos de phishing, o a través de memorias USB.  Estos son los vectores de ataque más típicos y frecuentes, explotados por la mayoría de los ataques de ransomware;

• El segundo escenario es el ya mencionado, utilizando exploits que aprovechan la vulnerabilidad del protocolo SMB en sistemas desactualizados.

Es importante señalar que si el sistema se ve afectado por la vulnerabilidad mencionada (CVE-2017-0144, MS17-010 según la clasificación de Microsoft), no es necesariamente necesario el correo de phishing para ser atacado.

En otras palabras: no se necesita el error humano, porque el exploit ya es capaz de vulnerar el sistema al aprovechar su vulnerabilidad.  No tiene que ser la víctima quien abra la puerta, porque es el hacker quien ya posee la llave (es decir, el exploit).

Una vez que entra en un ordenador con sistema Windows (¡basta con uno!), WannaCry 2017 se propaga automáticamente a otros ordenadores (incluso si no están conectados a internet) explotando los recursos compartidos de red SMB, a través de los puertos de comunicación 139 y 445.  Esto explica la (inusual) velocidad con la que se propagó.

Luego -en el segundo paso- realiza el cifrado de los archivos, utilizando cifrado asimétrico RSA de 2048 bits, basado en un par de claves pública/privada para cifrar y descifrar los archivos (absolutamente inviolable).

Como hacen muchos ransomware, con WannaCry los archivos cifrados se renombran añadiendo una extensión típica, en este caso .WNCRY.

Por ejemplo, un archivo factura.pdf pasará a llamarse factura.pdf.WNCRY.

WannaCry también se encarga de eliminar las “copias de sombra” (Shadow Copies) de Windows (para impedir que recuperemos los datos) y procede a escribir en algunas carpetas del sistema típicas, tales como:

• %SystemRoot%

• %SystemDrive%

• %ProgramData%

Otra característica de WannaCry: dado que aprovecha una vulnerabilidad, el malware es capaz de instalarse a sí mismo, incluso si el usuario no tiene derechos de administrador y es simplemente un usuario común.

Cómo protegerse

Aunque WannaCry 2017 fue un ataque devastadoramente grande, las medidas de prevención y protección que hay que tomar son bastante básicas. Podemos resumirlas en una palabra: actualizar.

Según la declaración de Microsoft (12/05/2017), WannaCry solo puede afectar a sistemas hasta Windows 8, si no están actualizados, por lo que quienes tienen Windows 10 no corren riesgo. Las versiones antiguas de Windows sin soporte (por ejemplo, Windows XP y Windows Server 2003) no están protegidas de todos modos, porque Microsoft ya no proporciona parches de seguridad para esas versiones de Windows.

Lo que nos ha enseñado WannaCry 2017

Hemos hablado de la explotación de una vulnerabilidad de Windows, pero, en realidad, una vez más, el verdadero problema es el error humano.

Muchas empresas y organizaciones, desafiando cualquier norma de ciberseguridad, han optado por mantener sistemas operativos que no solo son obsoletos, sino que también carecen de actualizaciones de seguridad.

Por lo tanto, WannaCry 2017 no fue una nueva amenaza surgida gracias a vulnerabilidades desconocidas. No, pudo atacar gracias a la negligencia e incompetencia de quienes deberían proteger los sistemas informáticos corporativos.

Por lo tanto, esta lección todavía no se ha comprendido plenamente, ya que hoy en día -seis años después- seguimos encontrando sistemas vulnerables expuestos a WannaCry y EternalBlue en internet.  Podríamos comprobarlo fácilmente consultando el portal Shodan (https://www.shodan.io/):  hay más de 15.000 ordenadores expuestos ejecutando Windows Server 2003 y casi 13.000 ejecutando Windows XP, por lo tanto vulnerables a WannaCry porque son visibles en la red.

El autor

Giorgio Sbaraglia, ingeniero, ofrece consultoría y formación en seguridad de la información y privacidad.
Imparte cursos sobre estos temas para muchas de las principales empresas de formación italianas, incluyendo ABIFormazione y 24Ore Business School.
Es el coordinador científico del máster “Cybersecurity and Data Protection” en 24Ore Business School.
Es miembro del Comité Científico de CLUSIT (Asociación Italiana para la Seguridad de la Información) y “Innovation Manager” certificado por RINA.
Ocupa cargos de DPO (Delegado de Protección de Datos) en varias empresas y colegios profesionales.
Es autor de los libros:
“GDPR kit di sopravvivenza” (Editore goWare),
“Cybersecurity kit di sopravvivenza. Il web è un luogo pericoloso. Dobbiamo difenderci!” (2a edizione 2022, Editore goWare),
“iPhone. Come usarlo al meglio. Scopriamo insieme tutte le funzioni e le app migliori” (Editore goWare).

Es colaborador de CYBERSECURITY360 , la publicación especializada del grupo Cybersecurity.
También escribe para ICT Security Magazine, para AGENDA DIGITALE, y para la revista CLASS.

---

Puedes activar la protección FlashStart® Cloud en cualquier tipo de Router y Firewall para proteger dispositivos de escritorio, móviles y dispositivos IoT en redes locales.