Lo último sobre WannaCry, UIWIX, EternalRocks y ShadowBrokers

El ransomware se ha ganado la atención mundial en el transcurso de las dos últimas semanas debido a las enormes dimensiones de WannaCry. Después de los ataques iniciales, han aparecido UIWIX, Adylkuzz y ahora EternalRocks, que han entrado en escena aprovechando el mismo núcleo de vulnerabilidades.

El hilo común entre las tres amenazas es MS17-010, junto con otras herramientas y vulnerabilidades lanzadas por Shadow Brokers. Estos ataques no sólo explotan vulnerabilidades en los sistemas, sino que también aprovechan las principales luchas a las que se enfrentan todas las organizaciones con la administración y gestión de parches y las actualizaciones del sistema. Trend Micro propone echar un vistazo al impacto y plantea que se considere por qué estas amenazas están ocurriendo.

Pero primero, la compañía ofrece un cuadro comparativo entre los tres tipos de ransomware WannaCry, UIWIX y EternalRocks, que podrá ver de un vistazo:

WannaCry UIWIX EternalRocks
Vectores de ataque Vulnerabilidades SMB (MS17-010), TCP puerto 445 Vulnerabilidades SMB (MS17-010), TCP puerto 445 Vulnerabilidades SMB (MS17-010), cinco vulnerabilidades y dos herramientas, TCP Puerto 445
Tipo de archivo Ejecutable (EXE) Biblioteca dinámica de enlaces (DLL) Ejecutable (EXE)
Extensión añadida {nombre de archivo original }.WNCRY ._{id único}.UIWIX N/A
Arranque automático y mecanismos de persistencia Registro Ninguro Tareas programadas
Anti-VM, comprobación VM, o rutinas anti-sandbox Ninguno Comprueba presencia de VM y archivos o carpetas relacionados con sandbox Ninguno
Actividad de Red En Internet, escanea direcciones IP aleatorias para comprobar si tiene un puerto 445 abierto (Propagación); se conecta al sitio .onion usando el navegador Tor (comunicación C&C)  Utiliza mini-tor.dll para conectarse al sitio .onion (su C&C) para enviar infromación cifrada y recoger información (comunicación C&C) En Internet, busca direcciones IP aleatorias para comprobar si tiene un puerto 445 abierto  (Propagación); se conecta al sitio .onion usando el navegador Tor (comunicación C&C)
Excepciones (no se ejecuta si detecta ciertos componentes del sistema) Ninguno Se interrumpe si se encuentra ejecutándose en Rusia, Kazajstán y Bielorrusia N/A
Exclusiones (directorios o tipos de archivos que no cifra) Evita el cifrado de archivos en determinados directorios Evita el cifrado de archivos en dos directorios y archivos con ciertas cadenas en su nombre de archivo N/A
Escaneo de red y propagación Sí (se propaga como un gusano) No Sí (propagación como un gusano)
Kill switch No N/A
Número de tipos de archivos objetivo 176 Todos los archivos del sistema afectado excepto los de su lista de exclusión N/A
Elimina copias ocultas No N/A
Idiomas soportados (notas de rescate, sitio de pago) Multiidioma (27) Sólo inglés N/A

El impacto
En el último recuento, WannaCry solo había infectado 230.000 usuarios en unos 150 países. Sin embargo, dada la enorme extensión y variedad de estos malwares, el pago hasta ahora ha sido de sólo 110.000 dólares. Esto demuestra que el mayor impacto no fue financiero, sino físico. Las organizaciones de algunas industrias, incluida la sanitaria, se vieron obligadas a cerrar sus sistemas para detener la propagación del malware. Esto trae una amenaza digital al mundo físico y da impacto en el mundo real a estos ataques.

Sin embargo, EternalRocks no descarga ninguna carga maliciosa. A pesar de aprovechar cinco vulnerabilidades y dos herramientas de reconocimiento, no deja atrás ningún contenido malicioso. Aprovecha el exploit DoublePulsar que habilita una puerta trasera en el sistema infectado, probablemente para el uso posterior por parte de los agentes de la amenaza.

¿Por qué lo hacen?
Cuando los agentes de la amenaza entran en un sistema y no liberan una carga útil maliciosa, sacan el potencial de algo más que están dejando atrás a su vez. Es posible que los atacantes estén preparando la red para su uso futuro. También podría ser una maniobra de distracción, mientras se explotan otras vulnerabilidades cuando nadie las está vigilando.

La primera línea de defensa para todas estas amenazas es parchear los sistemas contra todas las vulnerabilidades difundidas y publicadas por ShadowBrokers. Trend Micro ofrece una variedad de soluciones, soporte y herramientas para ayudar a las organizaciones a protegerse y responder a estas amenazas.

Deja una respuesta

Tu dirección de correo electrónico no será publicada.

*

Este sitio usa Akismet para reducir el spam. Aprende cómo se procesan los datos de tus comentarios.