A dos semanas del descubrimiento de los ataques de WannaCry, las autoridades europeas han establecido que este ransomware ya golpeó a más de 10.000 organizaciones y 200.000 individuos en unos 150 países. Según especialistas de Symantec, la primera evidencia de este ransomware surgió el 10 de febrero de 2017, cuando fue afectada una sola organización. Tras dos minutos de la infección inicial, más de 100 computadoras de la organización fueron infectadas. El 12 de mayo, fue lanzada una nueva versión de WannaCry, que incorporó el exploit “EternalBlue”, que usaba dos vulnerabilidades conocidas en Windows (CVE-2017-0144 y CVE-2017-0145) para distribuir ransomware en computadoras sin parches de corrección en la red de la víctima y también en otras computadoras vulnerables conectadas a Internet.
A la fecha, los ataques se han esparcido. Y si bien se han tomado medidas para ralentizar la distribución del malware, también están apareciendo nuevas variantes. Jonathan Care, director de investigaciones de Gartner, recomienda en primera instancia aplicar el parche Microsoft’s MS17-010. Si no lo tiene, el puerto 445 TCP está abierto, por lo que los sistemas de la organización están vulnerables. Además, existen otros tres pasos que se pueden dar para prevenir los efectos de WannaCry, según el experto de Gartner:
- El problema está también adentro. Microsoft Windows XP, un sistema operativo que ha sido muy afectado por WannaCry, puede estar embebido dentro de sistemas clave como parte de los paquetes de control. Eso significa que ese firmware vulnerable podría no estar accesible o bajo el control de la organización. “Si usted tiene sistemas embebidos —como sucede en los terminales de puntos de venta, los equipamientos médicos de diagnóstico por imágenes, los sistemas de telecomunicaciones, y algunos sistemas industriales como los que se ocupan de la personalización a través de tarjetas inteligentes— asegúrese de que su proveedor puede proveerle un parche de actualización de manera prioritaria. Haga esto aun cuando use otros sistemas operativos embebido, como Linux u otras variantes de Unix, dado que es seguro asumir que todo el software complejo es vulnerable al malware”, explicó Care.
- Aísle los sistemas vulnerables. Habrá sistemas que, si bien no fueron afectados aún por el malware, siguen siendo vulnerables. Es importante darse cuenta que los sistemas vulnerables son a menudo aquéllos en los que más nos apoyamos. Una probable medida de remediación temporaria útil sería limitar la conectividad a la red: identificar qué servicios pueden ser apagados, especialmente los servicios vulnerables como el de compartir archivos en la red.
- Mantenga la vigilancia. La arquitectura adaptativa de seguridad de Gartner enfatiza la necesidad de la detección. Es importante asegurarse de que los sistemas de detección están al día. Compruebe que los sistemas de detección de intrusiones están operativos y analizan el tráfico. También debe asegurarse si los analíticos de comportamiento de usuarios y entidades (UEBA), los análisis de tráfico de red (NTA) y los sistemas de gestión de eventos e información de seguridad (SIEM) están apuntando comportamiento inusual, que estas cuestiones fueron atendidas, y que los manejadores de incidentes tiene capacidad de respuesta. “Tenga en cuenta que pueden requerirse recursos adicionales para manejar el volumen de incidentes, establecer contacto con los organismos encargados de hacer cumplir la ley y responder preguntas del público (y posiblemente de los medios de comunicación) sobre el terreno. Mantenga al personal técnico enfocado en resolver asuntos clave y permita que alguien responda preguntas externas”.
Care comenta que, después de la crisis, habrá tiempo para aprender lecciones. En ese momento, las organizaciones deben revisar los planes de gestión de vulnerabilidades, y reexaminar enfoques no sólo de medidas de protección, sino también de capacidades clave de detección, tales como UEBA, NTA y SIEM avanzado. También deberá realizar modelos de amenazas adicionales, y considerar cuidadosamente qué riesgos son tolerables. “También es importante evaluar su seguridad en la nube”, completa Care.
Compartir nota:
