Han pasado ya 5 años desde que hizo su aparición el infame ransomware WannaCry cuando un 12 de mayo, pero de 2017, ocurriría lo que más tarde se convertiría en un hito para la industria de la seguridad y sobre todo para el ransomware como amenaza. Ese día WannaCry comenzaba a propagarse de manera masiva a nivel global y se convertía en uno de los acontecimientos más importantes a nivel mundial. 

¿Cómo se propagaba WannaCry?

WannaCry se propagaba por medio de la vulnerabilidad de Windows conocida como MS17-010, que  pudieron aprovechar gracias al uso del código EternalBlue. La Agencia de Seguridad Nacional (NSA) de Estados Unidos había descubierto esta vulnerabilidad del software y, en vez de comunicársela a Microsoft, desarrolló un código para aprovecharla. Este código fue robado y publicado por un misterioso grupo con un nombre igualmente misterioso: The Shadow Brokers. Microsoft acabó entrando en conocimiento de la existencia de EternalBlue y publicó un parche (una actualización de software con la que corregir la vulnerabilidad). Sin embargo, aquellos que no aplicaron el parche (la mayoría de la gente) seguían siendo vulnerables a EternalBlue.

WannaCry ataca las redes usando SMBv1, un protocolo de uso compartido de archivos que permite a los PC comunicarse con las impresoras y otros dispositivos conectados a la misma red. Se comporta como un gusano, lo que significa que se propaga a través de las redes. Una vez que se instala en un equipo WannaCry es capaz de analizar una red para encontrar más dispositivos vulnerables. Se cuela utilizando el código EternalBlue y, a continuación, utiliza una herramienta de puerta trasera llamada DoublePulsar para instalarse y ejecutarse. De este modo es capaz de autopropagarse sin interacción humana y sin necesidad de archivos o programas anfitriones, lo que lo convierte en un gusano, más que en un virus.

¿De dónde procede WannaCry?

Aunque no está claro al 100 % quién creó WannaCry, la comunidad de ciberseguridad atribuye este ransomware a Corea del Norte y su unidad, conocida como Lazarus Group. El FBI, junto a diversos investigadores de ciberseguridad, halló pistas ocultas en el código que sugieren este origen. 

El ataque de WannaCry en mayo de 2017

El ataque de WannaCry comenzó el 12 de mayo de 2017 y la primera infección se produjo en Asia. Debido a su naturaleza de gusano, WannaCry se extendió como la pólvora. Infectaba 10 000 equipos cada hora y mantuvo esta velocidad aterradora hasta que pudo ser detenido, cuatro días más tarde.

Este ransomware provocó un caos inmediato, especialmente en hospitales y otras organizaciones sanitarias. El Servicio Sanitario Nacional británico quedó incapacitado por el ataque y muchos hospitales se vieron obligados a apagar por completo sus sistemas informáticos, lo que afectó al cuidado de los pacientes e incluso a cirugías y otras operaciones esenciales. 

¿Contra quién se dirigió?

Aunque WannaCry no parecía tener un objetivo específico, se extendió rápidamente por 150 países. La mayoría de los incidentes se produjeron en Rusia, China, Ucrania, Taiwán, India y Brasil. Muchas personas y organizaciones se vieron afectadas, entre otras las siguientes:

• Empresas: FedEx, Honda, Hitachi, Telefónica, O2, Renault

• Universidades: Universidad de Tecnología Electrónica de Guilin, Universidad de Tecnología Aeroespacial de Guilin, Universidad Marítima Dalian, Cambrian College, Universidad Aristóteles de Tesalónica, Universidad de Montreal

• Empresas de transportes: Deutsche Bahn, LATAM Airlines Group, Ferrocarriles Rusos

• Agencias gubernamentales: Policía de Andhra Pradesh, Ministerio de Seguridad Pública de China, Instituto Nacional de Salud (Colombia), Servicio Sanitario Nacional (Reino Unido), NHS de Escocia, tribunales de São Paulo, varias administraciones en India (Gujarat, Kerala, Maharashtra, Bengala occidental)

El ataque se cebó en empresas que utilizaban software antiguo o sin actualizar. ¿Por qué no aplicaron estas organizaciones el parche? A organismos como el NHS no les es nada fácil apagar todo su sistema para actualizarlo, ya que, por ejemplo, los datos de los pacientes deben estar disponibles en todo momento. Sin embargo, a la larga, no dedicar el tiempo necesario para actualizarse les acabó saliendo mucho más caro.

¿Cómo funcionaba WannaCry?

El funcionamiento general del ransomware WannaCry (también conocido como WannaCrypt, WCry, WanaCrypt0r, WCrypt o WCRY) es el siguiente:

1. WannaCry realiza una conexión a hxxp://www[.]iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea[.]com. Si la conexión es exitosa hará que el malware se cierre (interruptor de apagado/kill switch).
2. Se ejecuta como servicio:
   1. Copia y mueve archivos del sistema.
   2. Tiene la capacidad de escanear el puerto 445 sobre TCP que ocupa el protocolo SMB en redes internas y en Internet con equipos e intenta propagarse vía SMB utilizando los exploits (EternalBlue/DoublePulsar).
3. Extrae un archivo zip que contiene la configuración de Tor que utiliza el malware para consultar los nodos Tor (.onion) que se utilizaran para la comunicación y cargar las carteras Bitcoin que son utilizadas para el pago del rescate.
4. Prepara los archivos, llaves públicas y privadas que utilizará para cifrar los archivos del equipo víctima.
5. Cifra los archivos y pide rescate en la criptomoneda Bitcoin.
6. Configura la persistencia.

¿Cómo se paró el ataque? Botón de apagado registrando un dominio

El investigador de ciberseguridad Marcus Hutchins descubrió que, una vez que WannaCry aterrizaba en un sistema, intentaba ponerse en contacto con una dirección URL concreta. Si no hallaba esta dirección, el ransomware procedía a infectar el sistema y a cifrar los archivos. Hutchins fue capaz de registrar un nombre de dominio para crear un sumidero DNS que funcionara a modo de Kill Switch, desactivando así WannaCry. Hubo unos días tensos durante los cuales atacaron esta URL con una variante de la botnet Mirai (intentaron un ataque DDoS para echar abajo la URL y el Kill Switch).

Hutchins logró proteger el dominio utilizando una versión del sitio guardada en la memoria caché. Esta versión era capaz de gestionar niveles de tráfico superiores y el Kill Switch resistió. No está claro qué hacía el Kill Switch en el código de WannaCry, si se incluyó por accidente o si querían que fuera posible detener el ataque.

¿Qué coste tuvo WannaCry?

Aunque WannaCry demandaba a cada usuario el pago de 300 USD en bitcoins (o 600 USD si no se cumplía el plazo inicial), su coste en daños fue muy superior. Unas 330 personas u organizaciones pagaron el rescate, lo que supuso un total de 51,6 bitcoins (unos 130 634 USD al cambio en ese momento). Esa fue la cantidad que se pagó, pero el coste real de WannaCry fue bastante mayor.

Debido a la gran cantidad de agencias gubernamentales, universidades y organizaciones sanitarias atrapadas por WannaCry, a lo que hay que sumar el control de daños resultante, el coste de la limpieza fue tremendo. Cyence, una empresa de modelado de riesgo cibernético, estimó el coste total en 4000 millones de USD.

Impacto en España y en el mundo

En España la amenaza impactó en un principio en grandes empresas como Telefónica. Compañías del sector eléctrico o energético de nuestro país, como Iberdrola o Gas Natural, también cayeron. Días después del incidente el Consejo Nacional de Ciberseguridad llevó a dar una rueda de prensa en la Moncloa para asegurar que Wannacry había sido "controlado". Se habían contabilizado 1.200 infecciones en nuestro país. 

Fuentes:
https://www.avast.com/es-es/c-wannacry

https://revista.seguridad.unam.mx/numero29/wannacry