Ministerio del Interior, Megafon y hospitales: ordenadores de todo el mundo se ven afectados por un nuevo virus de cifrado

De repente, aparece una ventana en la pantalla de una computadora con Windows con información de que los archivos del usuario están encriptados y que solo se pueden descifrar pagando a los piratas informáticos un rescate de 300 dólares. Esto debe hacerse en un plazo de tres días, de lo contrario el precio se duplicará. , y después de una semana los datos se eliminarán permanentemente. O mejor dicho, permanecerán físicamente en el disco, pero será imposible descifrarlos. Para demostrar que los datos se pueden descifrar, se ofrece una “demostración gratuita”.

Ejemplo de mensaje de piratería informática

¿Qué es el cifrado?

Puede cifrar cualquier dato en su computadora. Como todos son archivos, es decir, secuencias de ceros y unos, puedes escribir los mismos ceros y unos en una secuencia diferente. Digamos que si acordamos que en lugar de cada secuencia “11001100” escribiremos “00001111”, luego, al ver “00001111” en el archivo cifrado, sabremos que en realidad es “11001100”, y podremos descifrar fácilmente el datos. Información sobre lo que se cambia a lo que se llama clave de cifrado y, lamentablemente, en este caso sólo los piratas informáticos tienen la clave. Es individual para cada víctima y se envía sólo después del pago de los "servicios".

¿Es posible atrapar a los piratas informáticos?

En este caso, el rescate deberá pagarse mediante bitcoins, una criptomoneda electrónica. La esencia del uso de Bitcoin, en pocas palabras, es que los datos de pago se transmiten a través de una cadena de servidores de tal manera que cada servidor intermedio no sabe quiénes son el remitente y el destinatario originales del pago. Por lo tanto, en primer lugar, el "beneficiario" final siempre es completamente anónimo y, en segundo lugar, la transferencia de dinero no se puede disputar ni cancelar, es decir, el pirata informático, al recibir el rescate, no arriesga nada. La capacidad de obtener grandes sumas de dinero rápidamente y con impunidad motiva a los piratas informáticos a encontrar nuevas formas de piratear.

Cómo protegerse del hackeo

En general, el ransomware existe desde hace diez años; por regla general, antes eran los “caballos de Troya”. Es decir, el usuario instaló el ransomware por su propia estupidez, por ejemplo, bajo la apariencia de un "crack" para piratear una costosa suite ofimática o un conjunto de nuevos niveles para un juego popular, descargado de algún lugar desconocido. La higiene informática básica protege contra este tipo de troyanos.

Sin embargo, ahora estamos hablando de un ataque de virus (virus Wanna Decrypt0r 2.0) que aprovecha las vulnerabilidades de los sistemas operativos Windows y los protocolos de transferencia de archivos a través de la red (SMB), por lo que todos los ordenadores de la red local quedan infectados. Los antivirus guardan silencio, sus desarrolladores aún no saben qué hacer y sólo están estudiando la situación. Entonces, la única forma de protegerse es crear periódicamente copias de seguridad de archivos importantes y almacenarlas en discos duros externos que estén desconectados de Internet. También puede utilizar sistemas operativos menos vulnerables: Linux o Mac OS.

“Hoy nuestros especialistas han agregado una actualización: detección y protección contra un nuevo malware conocido como Ransom: Win32.WannaCrypt. En marzo, también agregamos una actualización de seguridad que brinda protección adicional contra posibles ataques. Los usuarios de nuestro antivirus gratuito y de la versión actualizada de Windows están protegidos. Estamos trabajando con los usuarios para brindarles asistencia adicional".

Kristina Davydova

Secretaria de prensa de Microsoft Rusia

Cómo guardar archivos

Si los archivos ya están cifrados y no hay una copia de seguridad, lamentablemente tendrás que pagar. Sin embargo, no hay garantía de que los piratas informáticos no los vuelvan a cifrar.

La piratería no conducirá a ningún cataclismo global: sin actas o informes contables locales, por supuesto, es difícil, pero los trenes corren y la red de MegaFon funciona sin fallas: nadie confía datos críticos a las PC de oficina ordinarias basadas en Windows, ni a los servidores ni a los servidores. protección de varias etapas contra la piratería (hasta el hardware a nivel del enrutador), o están completamente aislados de Internet y de las redes locales a las que están conectadas las computadoras de los empleados. Por cierto, precisamente en caso de ataques cibernéticos, los datos importantes de las agencias gubernamentales se almacenan en servidores que funcionan con versiones criptográficas fuertes de Linux especiales que tienen la certificación adecuada, y el Ministerio del Interior también ejecuta estos servidores en procesadores rusos Elbrus, por ejemplo. cuya arquitectura los atacantes ciertamente no tienen código de virus compilado.

¿Qué pasa después?

Cuantas más personas se vean afectadas por el virus, paradójicamente, mejor será: será una buena lección de ciberseguridad y un recordatorio de la necesidad de una copia de seguridad constante de los datos. Después de todo, los piratas informáticos no solo pueden destruirlos (de 1000 y 1 maneras más), sino que también pueden perderse debido a la pérdida física del medio en el que estaban almacenados, y entonces usted solo tendrá la culpa. Estarás feliz de pagar 300 y 600 dólares por el trabajo de toda tu vida, ¡pero no habrá nadie!

El viernes 12 de mayo, el virus ransomware WanaCrypt0r 2.0 infectó decenas de miles de computadoras en todo el mundo. Primero, paralizó el trabajo de hospitales británicos y empresas españolas, y luego llegó a Rusia, atacando departamentos regionales y. Mientras los expertos intentan evaluar la verdadera magnitud del desastre, descubren quién puede estar detrás del desarrollo del programa malicioso.

El mundo entero está a sus pies.

Debió ser una mañana calurosa para los especialistas de MalwareHunterTeam que rastreaban nuevos virus y vulnerabilidades. A las cuatro de la mañana salieron del pánico. mensaje que "un nuevo malware, WanaCrypt0r 2.0, se está propagando por la red a una velocidad diabólica".

Y tenían más razón que nunca: en sólo un par de horas, el ransomware atacó a decenas de países. Empezando por España y Portugal, donde paralizó el trabajo del gran operador de telecomunicaciones Telefónica y pasó por la compañía de gas Gas Natural, el operador de la red eléctrica Iberdrola y el banco Ibérica, el malware se propagó a las redes internas de los hospitales británicos, luego fue detectada en Singapur, Taiwán y China, y tras lo cual se extendió por todo el mundo, llegando incluso a Australia y América Latina.

uno de los especialistas anotado que decenas de miles de computadoras en 74 países de todo el mundo fueron infectadas y este número sigue creciendo. Otro enfatizado que el mundo puede haber sido testigo del mayor ataque de virus de la historia.

Captura de pantalla: MalwareTech

En Rusia, el primer mensaje sobre WanaCrypt0r apareció en el portal Pikabu: su autor afirmó que el ransomware había afectado a la red del Ministerio del Interior. El ministerio primero afirmó que estaban realizando algunos "trabajos técnicos en el circuito interno", pero luego admitió el hecho del ataque, aunque los servidores estaban infectados con un virus.

Los casos de infección en los departamentos regionales del Ministerio del Interior y en el Comité de Investigación también fueron reconocidos por la fuente de Lenta.ru en los organismos encargados de hacer cumplir la ley. Es cierto que no especificó si las redes internas de los departamentos se vieron afectadas. Tampoco pudo confirmar los rumores de que durante más de una hora algunos piratas informáticos descargaron información del Sistema Federal de Registro de Información (FISM), donde se ingresan todos los datos de los propietarios de automóviles y de los automóviles, y si estos atacantes están relacionados con la distribución de WanaCrypt0r.

Víctima de ransomware convertirse y el operador de telefonía móvil Megafon. El representante de la empresa, Piotr Lidov-Petrovsky, explicó en una conversación con Lenta.ru que los ordenadores de la empresa sufrieron una infección masiva porque estaban conectados entre sí a través de una red interna. Como resultado, el soporte técnico dejó de funcionar porque los operadores no podían usar las computadoras ni atender llamadas, y surgieron problemas con el servicio al cliente en las tiendas Megafon.

Paga, no escatimes

Los expertos en ciberseguridad afirman unánimemente que, en esencia, WanaCrypt0r 2.0 es un troyano ransomware muy estándar. Una vez en la computadora de la víctima, cifra todos los datos en el disco duro y exige que los atacantes envíen 300 dólares en bitcoins. Se dan tres días para reflexionar, después de los cuales el monto del rescate se duplica y después de una semana los archivos permanecerán cifrados para siempre.

Sin embargo, varios expertos nota una interfaz del malware bien diseñada y muy “amigable” con soporte para docenas de idiomas, incluidos inglés, ruso, español, chino e incluso rumano.

Otra característica interesante es que el virus sólo infecta ordenadores con Windows. Los expertos creen que los usuarios que no han instalado las últimas actualizaciones del sistema operativo corren el máximo riesgo.

Muchos usuarios notaron que unos días antes de que el virus cifrara todos los archivos en sus computadoras, el sistema se reiniciaba incontrolablemente o requería reiniciar la computadora debido a algún error crítico, recordando cuidadosamente a los usuarios la necesidad de guardar todos los archivos de trabajo importantes.

Las víctimas también informaron que los antivirus no pueden detectar WanaCrypt0r 2.0; tarda aproximadamente cuatro horas en completar el ciclo de cifrado, pero no se ven programas de terceros en la ventana del proceso. Algunos intentaron formatear el disco duro o reinstalar Windows, pero después de un tiempo apareció nuevamente en la pantalla un mensaje exigiendo pagar un rescate.

Los expertos recuerdan que los virus ransomware suelen ocultarse en archivos de texto o documentos PDF y distribuirse por correo. Lo mismo piensa el director de la empresa de investigación de delitos cibernéticos Group IB. Según él, este tipo de malware se distribuye con mayor frecuencia a través de correos electrónicos, pero muchas víctimas notaron que no habían accedido recientemente a su correo ni habían abierto archivos adjuntos cuestionables.

Sachkov también sugirió que era poco probable que los piratas informáticos hubieran infectado computadoras por razones políticas. “Esta es una forma fácil de monetizar y los atacantes suelen utilizarla para enriquecerse”, concluyó el especialista.

¿Quién está detrás del ransomware?

Hasta el momento, los expertos no saben qué tipo de grupo de hackers desarrolló WanaCrypt0r 2.0 y llevó a cabo un ataque a tan gran escala. Los atacantes claramente se aprovecharon del hecho de que muchos usuarios no habían instalado las últimas actualizaciones de Windows. Esto se ve claramente en el ejemplo de China, que se vio gravemente afectada por el virus; como saben, los habitantes del Reino Medio sienten un amor especial por los sistemas operativos pirateados que no reciben actualizaciones.

Pero se sabe algo sobre el virus en sí. Las primeras quejas sobre WannaCry aparecieron en febrero de 2017, pero no fueron generalizadas. El blog aclara que WanaCrypt0r 2.0 es una nueva versión de WannaCry que explota una vulnerabilidad con nombre en código EthernalBlue.

Esto se describe detalladamente en documentos del grupo de hackers Shadowbrokers, que a mediados de abril hizo públicas las herramientas de los empleados estadounidenses. Esto significa que los creadores del virus también podrían haber obtenido una descripción detallada que los servicios de inteligencia estadounidenses habían recopilado minuciosamente.

Una serie de especialistas

Las redes corporativas han comenzado a verse afectadas por un virus de cifrado que exige dinero para acceder a los archivos de las computadoras. Según datos preliminares, las redes del Ministerio del Interior ruso, del operador Megafon y de hospitales británicos ya se han visto afectadas.

El virus, cuyo nombre en código es "WannaCry", se propagó por diferentes países del mundo en unas pocas horas. En particular, en varias regiones del Reino Unido, los hospitales del Servicio Nacional de Salud se vieron obligados a dejar de aceptar pacientes que no requerían atención urgente debido al virus. Los ordenadores de la empresa española de telecomunicaciones Telefónica resultaron afectados.

Los usuarios afirman que el virus llega a sus ordenadores sin que ellos realicen ninguna acción y se propaga sin control a través de las redes. En el foro de Kaspersky Lab señalan que ni siquiera un antivirus habilitado garantiza la seguridad. La infección supuestamente se produjo unos días antes, pero el virus sólo se manifestó después de haber cifrado todos los archivos del ordenador.

En Rusia, un gusano informático atacó la red del Ministerio del Interior ruso en algunas regiones. Fuentes de Ruposters también informan que los ordenadores de Megafon-Retail han sido infectados. Según datos de las redes sociales, el virus se propagó a Euroset y Svyaznoy.

“Ha comenzado una infección masiva de la red del Ministerio del Interior por un criptovirus en todo el país. Definitivamente ya está en las regiones de Lipetsk, Penza y Kaluga. En el escritorio piden 300 dólares. El nombre del virus es @wanadecriptor. En algunos ordenadores hay un informe hasta el 19 de mayo”, escribe un usuario del blog colectivo “Pikabu” "vasa48.

El principio de funcionamiento del virus es que cifra archivos con una clave especial que sólo conocen sus creadores. El descifrado inverso sin una clave es imposible. Los estafadores aceptan dinero en una billetera Bitcoin, lo que garantiza su anonimato.

Aún no ha habido comentarios oficiales de los laboratorios antivirus. Según un mapa interactivo del proyecto Botnet Tracker, el efecto del virus se registra en casi todo el mundo, especialmente en Europa.

¡Suscríbete a nuestro canal en Yandex.Zen!
Haga clic en "Suscribirse al canal" para leer Ruposters en el feed de Yandex

Un ataque de piratas informáticos ha infectado computadoras corporativas en todo el mundo; los atacantes están extorsionando 300 dólares en bitcoins de cada dispositivo para desbloquear datos. Los informes de infecciones informáticas proceden de Rusia, Gran Bretaña, Estados Unidos, China, España, Italia, Vietnam, Taiwán y otros países. Uno de los especialistas en ciberseguridad de Avast escribió en Twitter que se trata de un ataque a muy gran escala y que al menos 36.000 ordenadores fueron atacados (una hora después de la publicación, su número aumentó a 57.000 y sigue creciendo); todos ellos están infectados con el Aplicación de cifrado WannaCrypt o sus variaciones. De momento, no hay información sobre quién puede estar detrás de este ataque, si fue centralizado o llevado a cabo por diferentes grupos.

Según información no confirmada, Rusia sufrió las acciones de los piratas informáticos. mensajes sobre esto apareció En las redes sociales, así como en Meduza, informan sobre el ataque citando fuentes anónimas. Además, la publicación cita comentarios de otras empresas rusas: “Representantes de la red Svyaznoy dijeron a Meduza que son “conscientes del problema” y están “tomando medidas para evitar que el virus penetre en los ordenadores de la empresa”. La empresa VimpelCom (marca Beeline) dijo que “repelió con éxito los intentos de ataque”. Poco a poco van apareciendo en las redes sociales cada vez más referencias a ataques exitosos a ordenadores corporativos en nuestro país. Los informes de piratería hablan incluso de dispositivos pertenecientes al Ministerio del Interior de Rusia; esta información está confirmada, pero el departamento habla de "trabajos planificados en el circuito interno" Gazeta.ru también informa de un ataque al Comité de Investigación, pero ya ha ocurrido. Aún no ha habido confirmación oficial.

Ya se sabe que las acciones de los ciberdelincuentes condujeron a los resultados deseados. Los expertos señalan que las carteras Bitcoin especificadas en la demanda de rescate comenzaron a llenarse de dinero. Aún no hay información sobre si esto conduce al desbloqueo de computadoras. No olvide que algunos ransomware funcionan de tal manera que ni siquiera los creadores de este malware tienen un "antídoto" y no pueden restaurar archivos en las computadoras.

Por el momento no hay información exacta sobre la lista de empresas que fueron atacadas y si el malware continúa propagándose. Sin embargo, podemos decir con seguridad que este ataque tendrá consecuencias muy graves. Por ejemplo, en Gran Bretaña, los médicos casi al mismo tiempo comenzaron a informar sobre fallas técnicas en los hospitales. Recibieron mensajes sobre información bloqueada en sus computadoras y una demanda de rescate de 300 dólares a cambio de restablecer el acceso. Al perder la capacidad de obtener información sobre los registros de los pacientes, las recetas escritas previamente y los resultados de las pruebas, los médicos se vieron obligados a suspender temporalmente la cita de todos los visitantes, excepto aquellos que necesitaban atención de emergencia.

Actualización a las 21:44

- Representantes de Megafon confirmaron el ataque e informaron que tuvieron que cerrar parte de la red informática debido a que las computadoras de los empleados comenzaron a reiniciarse repentinamente, y después del reinicio apareció una ventana exigiendo el pago de 300 dólares, lo que no les permitió. para seguir trabajando. "El ataque fue a gran escala y afectó a la mayoría de las regiones de Rusia", comentó a TASS el director de relaciones públicas de Megafon, Petr Lidov. El operador ya ha restablecido el funcionamiento del call center, y en las próximas horas prevé eliminar por completo los problemas surgidos tras el ciberataque.

Los ordenadores del Ministerio del Interior fueron atacados por un virus ransomware, dijo a RNS Ilya Sachkov, fundador y director del Grupo IB. La empresa ha recibido una muestra del virus y está realizando una investigación al respecto. El tiempo que lleva restaurar completamente el sistema después de un ataque de este tipo depende de la cantidad de datos cifrados por el virus. “En promedio, pueden ser necesarios varios días para eliminar las consecuencias. Pero si los datos no estaban reservados, existe la posibilidad de que tengas que pagar un rescate”, explicó Sachkov.

La información sobre el ataque al Comité de Investigación no ha sido confirmada.