Anar al contingut

WannaCry

De L'Enciclopèdia, la wikipedia en valencià

WannaCry —també denominat WannaCrypt, WanaCrypt0r 2.0, Wanna Decryptor o WCry— és una família de ransomware para Microsoft Windows en capacitat de propagació automàtica, per lo que sol descriure's com un criptogusano. El nom s'ampra aixina mateix per a designar el ciberatac mundial que va començar el 12 de maig de 2017. El programa sifrava numerosos tipos d'archius dels equips compromesos i exigia un rescat pagador en Bitcoin per a intentar recuperar-los.[1][2]

L'expansió massiva es va produir per mig de vulnerabilitats del protocol SMBv1 corregides per Microsoft en el bolletí de seguritat MS17-010. WannaCry va incorporar el exploit EternalBlue, desenrollat originalment per l'Agència de Seguritat Nacional d'Estats Units (NSA) i publicat pel grup The Shadow Brokers en abril de 2017. Esta combinació va permetre que el malware es propagara per rets locals i a través d'Internet sense que cada nova víctima tinguera que obrir un archiu o enllaç maliciós.[3][4]

Les estimacions publicades durant i despuix de l'incident diferixen segons la data i el método de medició, pero coincidixen que va afectar a centenars de mils de sistemes en més de 150 països. Entre les organisacions perjudicades varen figurar el Servici Nacional de Salut britànic (NHS), Telefónica, Renault, Nissan, Deutsche Bahn, FedEx i organismes públics de varis països.[5][6]

L'investigador britànic Marcus Hutchins, conegut llavors per el pseudónimo MalwareTech, va reduir de forma dràstica la primera onada en registrar un domini incorporat en el còdic que actuava com a mecanisme de desactivació. El registre no va reparar els equips ya sifrats ni va eliminar la necessitat d'instalar pegats, i posteriorment es varen localisar variants en atres dominis de desactivació.[7][8]

L'autoria material no ha segut establida per mig d'una sentència específica sobre l'atac. No obstant, vàries empreses de seguritat varen identificar vínculs tècnics en el Grup Lazarus, associat a Corea del Nort, i els governs del Regne Unit i Estats Units varen atribuir públicament l'operació a actors nortcoreans. En setembre de 2018, el Departament de Justícia dels Estats Units va acusar al programador nortcoreà Park Jin Hyok de participar, entre atres activitats, en la creació i difusió de WannaCry 2.0.[9][10][11]

Denominació i classificació

Les mostres i notes de rescat varen utilisar distintes grafies, entre elles WannaCry, WannaCrypt, WanaCrypt0r, Wana Decrypt0r i WCry. En la documentació tècnica de Microsoft va aparéixer en identificadors com Ransom:Win32/WannaCrypt, mentres que atres proveïdors varen amprar noms propis per a variants o components concrets.[12]

Es classifica com ransomware perque impedix l'accés a senyes per mig de sifrat i reclama un pagament, i com a cuc perque intenta comprometre automàticament atres sistemes vulnerables. Esta segona capacitat va distinguir el brot de moltes campanyes de ransomware contemporànees, que depenien principalment d'archius adjunts, descàrregues o enllaços de phishing.[2][5]

Antecedents

Vulnerabilitats de SMB i MS17-010

El 14 de març de 2017, Microsoft va publicar el bolletí MS17-010, que corregia vàries vulnerabilitats crítiques en l'implementació de SMBv1. Un atacant remot podia enviar paquets especialment dissenyats a un servidor SMB i eixecutar còdic en el sistema vulnerable. Les actualisacions estaven disponibles per a les versions de Windows que es trobaven dins del cicle ordinari de soport.[3]

El 14 d'abril de 2017, The Shadow Brokers va difondre un conjunt de ferramentes atribuïdes a la NSA. Entre elles figurava EternalBlue, capaç d'explotar vulnerabilitats cobertes per MS17-010. El material filtrat també incloïa ferramentes relacionades en la porta trasera DoublePulsar, encara que els anàlisis no sempre coincidixen en el paper que esta va eixercitar en cada infecció de WannaCry.[13][4]

EternalBlue sol vincular-se en la bibliografia a CVE-2017-0144. Algunes fiches de detecció de Microsoft relatives a WannaCry també remeten a CVE-2017-0145, una atra de les vulnerabilitats de SMBv1 compreses en MS17-010. Per això, numerosos anàlisis descriuen de forma conjunta l'explotació de les vulnerabilitats SMB corregides per aquell bolletí, en lloc d'atribuir tota la cadena a un únic identificador CVE.[3][12]

Variants anteriors al brot mundial

Symantec va documentar mostres semblants a WannaCry empleades en atacs llimitats durant febrer, març i abril de 2017. Estes variants primerenques no incorporaven encara la propagació massiva per mig d'EternalBlue i, segons el seu anàlisis, es recolzaven en credencials compromeses i atres ferramentes per a desplaçar-se dins de les rets atacades. També presentaven semblances de còdic i d'infraestructura en programes associats prèviament al Grup Lazarus.[14]

Funcionament

Components i persistència

Els anàlisis forenses descriuen una arquitectura composta per una part de càrrega i propagació i una atra dedicada al sifrat i a l'interacció en la víctima. Entre els archius observats es trobaven 'mssecsvc. exe', associat al carregador i al cuc; 'tasksche. exe', un atre carregador; i 'Wanadecryptor. exe', que mostrava l'interfaç de rescat. L'infecció creava el servici 'mssecsvc2.0', podia afegir valors d'eixecució automàtica al Registre de Windows i desplegava archius auxiliars en extensions '. wnry', junt en components de Tor.[2]

El malware eliminava o dificultava l'us de determinats mecanismes locals de recuperació. Entre atres accions observades, eixecutava comandos per a borrar còpies d'instantànees de volum i modificar opcions d'arrancada, en l'objectiu de reduir les possibilitats de restaurar els archius sense pagar.[12][2]

Propagació

En eixecutar-se, el component de cuc examinava equips accessibles pel port TCP 445 i tractava d'explotar SMBv1 per mig d'EternalBlue. La propagació es produïa tant lateralment dins de la ret local com cap a direccions d'Internet generades pel programa. Els sistemes sense l'actualisació MS17-010 i en SMB expost eren especialment vulnerables.[4][1]

Durant les primeres hores es va especular en que una campanya de correus de phishing haguera iniciat el brot. No obstant, els anàlisis posteriors no varen confirmar una campanya de correu com a mecanisme dominant de l'expansió mundial. La propagació massiva sí està documentada per mig de l'explotació automàtica de SMB; el modo exacte en que es va introduir la primera mostra en la primera ret compromesa no va quedar establit de manera concloent.[5][4]

Encara que els equips en sistemes operatius sense soport constituïen un risc evident, l'incident no es va llimitar a Windows XP. L'informe posterior del National Audit Office britànic va senyalar, per eixemple, que molts dels dispositius infectats en el NHS utilisaven Windows 7 sense els pegats corresponents.[15]

Sifrat i petició de rescat

WannaCry buscava numeroses extensions de documents, images, bases de senyes, archius comprimits i atres senyes d'usuari. Per a cada archiu generava una clau d'AES-128 en modo CBC; eixa clau es protegia posteriorment per mig de criptografia RSA. Els archius resultants incorporaven una capçalera identificada per la cadena 'WANACRY!' i, segons la mostra, rebien extensions com '. WNCRY' o '. WCRY'.[2]

La nota de rescat estava traduïda a numerosos idiomes, inclós l'espanyol. Exigia generalment l'equivalent a 300 dólars en bitcoin i anunciava que l'import es duplicaria despuix de tres dies; també advertia de la suposta pèrdua definitiva dels archius despuix de sèt dies. El programa canviava el fondo d'escritori, mostrava un conte arrere i proporcionava instruccions per a adquirir i enviar la criptomoneda.[12][2]

El malware incloïa tres direccions de Bitcoin codificades directament. Symantec va atribuir esta decisió a un error de concurrència que va impedir generar de forma fiable una cartera distinta per a cada víctima. Al no existir una identificació automàtica clara entre cada pagament i cada equip, el procés d'entrega de claus resultava difícil d'administrar inclús per als atacants.[14]

Dominis de desactivació

Abans d'iniciar determinades accions, la variant responsable de la primera gran onada comprovava si podia contactar en un domini llarc i aparentment aleatori inclós en el seu còdic. Si la conexió tenia èxit, el procés es detenia. Este comportament va poder concebre's com una forma de detectar entorns automatizado d'anàlisis —alguns dels quals responen positivament a qualsevol domini—, encara que el seu propòsit original no es coneix en certea.[7][16]

Marcus Hutchins va registrar el domini i va redirigir el seu tràfic a un servidor d'observació o sinkhole. La mida va provocar que una gran cantitat de noves eixecucions es desactivaren i va frenar de forma notable la propagació d'aquella variant. No va dessifrar archius existents, no va eliminar infeccions ya instalades i podia resultar ineficaç en rets que bloquejaren la consulta o la resposta del domini. En dies posteriors es varen trobar mostres que utilisaven atres dominis, un dels quals va ser registrat i afonat per investigadors de Check Point.[7][8][17]

Atac mundial de maig de 2017

Cronologia

Erro al crear miniatura:
Països afectats durant les primeres hores de l'atac mundial.

El divendres 12 de maig de 2017 varen començar a notificar-se infeccions simultànees en organisacions de numerosos països. La combinació de sifrat i propagació automàtica va provocar que l'incident creixquera en rapidea, especialment en rets extenses que contenien equips sense MS17-010 o en les que SMBv1 podia utilisar-se lateralment.[6][5]

Durant el matí europeu, la ret interna de Telefónica i distints centres del NHS varen fer públics problemes relacionats en ransomware. En les hores següents varen aparéixer incidents en empreses de transport, fabricació, telecomunicacions, llogística, energia i organismes públics. El registre del domini de desactivació a última hora del 12 de maig va reduir la velocitat de la primera onada, encara que les llabors d'aïllament, parcheo i restauració varen continuar durant dies.[18][15][7]

Eixa mateixa fi de semana, Microsoft va publicar orientacions d'emergència i va prendre la decisió excepcional d'oferir actualisacions per a sistemes fòra de soport general, entre ells Windows XP, Windows 8 i Windows Server 2003. L'empresa va insistir en aplicar MS17-010, deshabilitar SMBv1 quan fora possible, aïllar sistemes compromesos i mantindre actualisat el software antimalware.[19]

Alcanç

Les sifres publicades varen ser aumentant a mida que es reunien senyes. ENISA va calcular el 15 de maig aproximadament 190 000 equips afectats en més de 150 països, mentres que Europol i distints mijos varen difondre estimacions propenques o superiors a 200 000. Atres autoritats i empreses varen contabilisar més conexions, direccions vulnerables o deteccions i varen oferir sifres majors. La disparitat es deu, entre atres factors, a que unes medicions contaven dispositius sifrats, unes atres direccionar IP, intents d'infecció o conexions al domini afonat.[5][6]

El Departament de Seguritat Nacional d'Espanya va informar el 17 de maig de més de 360 000 equips afectats en 180 països, i va situar a Espanya en el dihuité lloc per número d'infeccions confirmades, en més de 1200. Estes sifres deuen entendre's com una fotografia d'aquell moment i no com un cens definitiu de víctimes.[20]

Referències

  1. ↑ 1,0 1,1 «WannaCrypt ransomware worm targets out-of-dona't systems» (en en). Microsoft Security Blog. Consultat el 19 de juliol de 2026.
  2. ↑ 2,0 2,1 2,2 2,3 2,4 2,5 «WannaCry Malware Profile» (en en). Google Cloud Blog. Consultat el 19 de juliol de 2026.
  3. ↑ 3,0 3,1 3,2 «Microsoft Security Bulletin MS17-010—Critical» (en en). Microsoft Learn. Consultat el 19 de juliol de 2026.
  4. ↑ 4,0 4,1 4,2 4,3 «SMB Exploited: WannaCry Use of “EternalBlue”» (en en). Google Cloud Blog. Consultat el 19 de juliol de 2026.
  5. ↑ 5,0 5,1 5,2 5,3 5,4 «WannaCry Ransomware: First ever case of cyber cooperation at EU level» (en en). Agència de l'Unió Europea per a la Ciberseguridad. Consultat el 19 de juliol de 2026.
  6. ↑ 6,0 6,1 6,2 «[1]». Consultat el 19 de juliol de 2026 (en en).
  7. ↑ 7,0 7,1 7,2 7,3 «How to Accidentally Stop a Global Cyber Attack» (en en). MalwareTech. Consultat el 19 de juliol de 2026.
  8. ↑ 8,0 8,1 «WannaCry: New Kill-Switch, New Sinkhole» (en en). Check Point Research. Consultat el 19 de juliol de 2026.
  9. ↑ «WannaCry and Lazarus Group—the missing link?» (en en). Securelist. Consultat el 19 de juliol de 2026.
  10. ↑ «Foreign Office Minister condemns North Korean actor for WannaCry attacks» (en en). Governe del Regne Unit. Consultat el 19 de juliol de 2026.
  11. ↑ «North Korean Regime-Backed Programmer Charged With Conspiracy to Conduct Multiple Cyber Attacks and Intrusions» (en en). Departament de Justícia dels Estats Units. Consultat el 19 de juliol de 2026.
  12. ↑ 12,0 12,1 12,2 12,3 «Ransom:Win32/WannaCrypt» (en en). Microsoft Security Intelligence. Consultat el 19 de juliol de 2026.
  13. ↑ «[2]». Consultat el 19 de juliol de 2026 (en en).
  14. ↑ 14,0 14,1 «Ransomware 2017: An ISTR Special Report».Symantec.Consultat el 19 de juliol de 2026.
  15. ↑ 15,0 15,1 «Investigation: WannaCry cyber attack and the NHS» (en en). National Audit Office. Consultat el 19 de juliol de 2026.
  16. ↑ «[3]». Consultat el 19 de juliol de 2026 (en en).
  17. ↑ «WannaCry: Two Weeks and 16 Million Averted Ransoms Later» (en en). Kryptos Logic. Consultat el 19 de juliol de 2026.
  18. ↑ «Telefònica afectada per ransomware». INCIBE-CERT. Consultat el 19 de juliol de 2026.
  19. ↑ MSRC Team. «Customer Guidance for WannaCrypt attacks» (en en). Microsoft Security Response Center. Consultat el 19 de juliol de 2026.
  20. ↑ «El Consell Nacional de Ciberseguridad es reunix per a evaluar les accions mampreses despuix del ciberatac». Departament de Seguritat Nacional. Consultat el 19 de juliol de 2026.
Obtingut de «https://lenciclopedia.org/w/index.php?title=WannaCry&oldid=1420903»