Un ciberataque se extiende a escala global

Joana Oliveira, El País

El ataque de "ransomware" se extiende

El virus informático (conocido como malware) que ha atacado en la mañana de este viernes los equipos de la sede de Telefónica en Madrid ha llegado ya a decenas de países. El software del tipo ransomware, que realiza el secuestro exprés de datos y pide un rescate para liberar el sistema, ha infectado diferentes empresas e instituciones en España, Taiwan, Rusia, Ucrania, Turquía y Reino Unido —en ese último, el virus ha colapsado el Servicio Nacional de Salud—, según informan las compañías de ciberseguridad s21sec y Check-point. En un tuít, Costin Raiu, el director global del equipo de investigación y análisis de Kaspersky Lab, una empresa antivirus, afirma que se han registrado más de 45,000 ataques en 74 países.
 
Además, se ha registrado un ataque informático en Portugal que se ha centrado en empresas de comunicación y en la banca, y según fuentes de la investigación, incluye a PT, Caixa Geral de Depósitos y BPI, aunque las entidades no lo han admitido, informa Javier Martín desde Lisboa. Pese a que el ataque es muy amplio, tan solo Portugal Telecom ha admitido sufrirlo: “Todos los equipos técnicos están asumiendo las diligencias necesarias para resolver la situación, habiéndose activado todos los planes de seguridad. La red de los servicios de comunicación fija, móvil, internet y televisión no fueron afectados”, dice la operadora. Los atacantes piden rescate para el desbloqueo de los ordenadores bloqueados, y lo quieren en moneda virtual, bitcoin, que en esto días precisamente ha llegado a su cotización récord, 1,800 dólares, y cuyas transacciones no dejan rastro. El mensaje en portugués advierte que la cifra de rescate (300 dólares) se duplicará a los tres días y que si antes de siete días no pagan, los ficheros quedarán destruidos. Según la empresa de seguridad S21Sec, el ataque afecta a ordenadores con versiones de Windows y programas muy populares, como Word y Excel, también de Microsoft, y los expertos recomiendan utilizar "de manera inmediata" el parche de seguridad MS17-010.

Ese tipo de virus, que al ser ejecutados aparentan ser inofensivos e imitan a otras aplicaciones, es el más habitual y representa el 72,75% del malware, según los últimos informes de las compañías Kaspersky Lab y PandaLab . Según los análisis del Instituto Nacional de Ciberseguridad (Incibe), el software malicioso que ha provocado el ciberataque a nivel global se trata de un WanaCrypt0r, una variante de WCry/WannaCry—. Tras instalarse en el equipo, ese virus bloquea el acceso a los ficheros del ordenador afectado pidiendo un rescate, y puede infectar al resto de ordenadores vulnerables de la red. Wanna cifra archivos del disco duro con extensiones como .doc .dot .tiff .java .psd .docx .xls .pps .txt o .mpeg, entre otros, y aumenta la cuantía del rescate a medida que pasa el tiempo. "El cifrado de los archivos prosigue tras la aparición de la nota de extorsión, al contrario que en otros ataques, que no muestran la nota hasta que el cifrado se ha completado", explica Agustín Múñoz-Grandes, CEO de s21Sec.

“Este tipo de ataques afecta a todo el mundo, pero hemos visto cómo los delincuentes tratan de ir a por empresas, ya que poseen información valiosa por la que están dispuestos a pagar un rescate”, indica el estudio de Panda. Algunos expertos en ciberseguridad, como Jakub Kroustek, afirman en las redes sociales que han rastreado hasta 36,000 ataques de WannaCry.

Según Eusebio Nieva, director técnico de Check-Point en España y Portugal, el ramsonware es la estrategia más utilizada para atacar a las grandes empresas. "Los hackers piden que el rescate se realice a través de un pago digital que no se pueda rastrear", dice Nieva. El experto explica que ese software maligno puede llegar a un sistema de manera simple, desde un correo electrónico con una factura falsa, por ejemplo, hasta una técnica conocida como watering hole, que en el caso de las grandes compañías, infecta una página (generalmente de la red intranet) a la que los trabajadores o usuarios acceden con frecuencia.  "Esa es la forma más rápida para una distribución masiva", afirma.

El experto señala, sin embargo, que el pago de un rescate no es garantía de que se pueda recuperar la información cifrada por el virus: "La posibilidad es de entre 30% y 40%". Pero, ¿cómo es posible protegerse de esos ataques? El experto sostiene que, en la era en que los malware han dejado de ser obra de atacantes individuales para convertirse en una red industrializada que genera dinero, los tradicionales programas de antivirus ya no son suficientes. Los más punteros de protección, según Nieva, son los programas de anti-APP o sandboxing, que rastrean el comportamiento del sistema o de la red de información, identifican cualquier software malicioso y lo eliminan.

"El sandboxing es el que mejor funciona. Cuando llega un documento por correo, por ejemplo, el sistema lo abre en un entorno virtual y si detecta algo sospechoso, lo elimina antes de que llegue al usuario", explica el experto. El problema, según el experto, es que se trata de un modelo reciente y muchas empresas los utilizan simplemente como un sistema de detección en vez de protección.

El Gobierno de España ha emitido un comunicado en el que orienta a los posibles afectados a aplicar los últimos parches de seguridad publicados en los boletines de mayo.  

Qué hacer en caso de ciberataque

Cómo recuperar los datos cifrados: El Incibe,  a través del CERT de Seguridad e Industria (CERTSI),  dispone de un servicio gratuito de análisis y descifrado de ficheros afectados por ciertos tipos de ransomware. La víctima puede contactar con el servicio a través del correo [email protected].

¿Pagar sirve para recuperar los archivos? El Incibe recomienda no pagar el rescate, porque no existen garantías de recuperar los datos y la víctima puede sufrir ataques posteriores. El Instituto también señala que esa práctica fomenta el negocio de los ciberdelicuentes, que pueden empezar a pedir cifras más altas, una vez efectuado el primer pago.

Cómo desinfectar el ordenador:  Para eliminar la infección se podría utilizar cualquier antivirus o antivirus auto-arrancable actualizado. Es recomendable realizar un clonado previo de los discos (copia de la información del disco duro en otro soporte), según la importancia de los datos afectados. El clonado también es importante para interponer una denuncia, pues todos los archivos serán necesarios para la investigación, además es muy probable que exista alguna herramienta capaz de descifrarlos en el futuro.

Notas Relacionadas

• Cómo se comparan las capacidades militares de Irán e Israel
• Aliados de Israel piden moderación, pero la respuesta al ataque de Irán parece inevitable
• Netanyahu desestima llamado a la mesura; dice que Israel decidirá cómo responder al ataque iraní
• Estados Unidos está decidido a vigilar armas nucleares norcoreanas, con o sin la ONU
• Israel se inclina por "actuar", Irán promete responder si hay incursión

Ver más notas relacionadas