El ataque de ransomware WannaCry de mayo de 2017 representa uno de los incidentes de ciberseguridad más significativos de la historia moderna, afectando a cientos de miles de computadoras en todo el mundo y causando daños por miles de millones.

En el centro de este devastador ataque estaba EternalBlue, un poderoso exploit desarrollado por la Agencia de Seguridad Nacional de EE. UU. que fue robado, filtrado y finalmente convertido en arma para crear uno de los malwares más destructivos jamás desplegados.

Este artículo examina los aspectos técnicos de EternalBlue, su conexión con WannaCry y las consecuencias de gran alcance de este ataque cibernético sin precedentes

Los Orígenes y Mecánica de EternalBlue

EternalBlue es un sofisticado exploit informático originalmente desarrollado por la Agencia de Seguridad Nacional (NSA) de EE. UU. como parte de su arsenal cibernético. El exploit se dirige a una vulnerabilidad crítica en la implementación de Microsoft del protocolo Server Message Block (SMB), específicamente en SMBv1. Este protocolo permite compartir archivos, impresoras y acceder a servicios remotos de Windows, operando sobre los puertos TCP 139 y 445. La vulnerabilidad, formalmente identificada como CVE-2017-0144 en el catálogo de Vulnerabilidades y Exposiciones Comunes, permitía a los atacantes ejecutar código arbitrario de forma remota en sistemas vulnerables.

Lo que hace a EternalBlue particularmente peligroso es su capacidad para propagarse a través de redes. Una vez que una sola máquina es comprometida, el exploit puede extenderse a todos los demás sistemas vulnerables conectados a la misma red sin requerir ninguna interacción del usuario. Este comportamiento similar a un gusano amplifica significativamente su impacto, ya que organizaciones enteras pueden ser comprometidas desde un solo punto de entrada.

La NSA descubrió esta vulnerabilidad años antes de que se hiciera pública, pero optó por no revelarla a Microsoft, ya que tenían la intención de usarla como mecanismo de defensa contra ataques cibernéticos. Esta decisión resultaría controvertida más tarde, cuando el exploit fue finalmente robado.

De Herramienta Gubernamental a Amenaza Pública

A principios de 2017, un misterioso grupo de hackers conocido como “The Shadow Brokers” anunció que había robado herramientas de hacking de la NSA, incluyendo EternalBlue. Después de fallar en subastar estas herramientas al mejor postor, el grupo liberó públicamente EternalBlue y otros exploits el 14 de abril de 2017.

Antes de esta liberación pública, la NSA aparentemente había advertido a Microsoft sobre el posible robo, permitiendo a la compañía desarrollar y lanzar parches de seguridad (MS17-010) el 14 de marzo de 2017. Este parche abordó la vulnerabilidad en sistemas Windows soportados, incluyendo Windows Vista, Windows 7, Windows 8.1, Windows 10 y varias versiones de Windows Server. Sin embargo, muchas organizaciones no aplicaron estas actualizaciones críticas, dejando sus sistemas vulnerables a lo que pronto se convertiría en una pandemia cibernética global.

WannaCry: Armando EternalBlue

El 12 de mayo de 2017, el mundo fue testigo del inicio del ataque de ransomware WannaCry, que aprovechó el exploit EternalBlue con efectos devastadores. WannaCry (también conocido como WannaCrypt) era un cripto-ransomware que cifraba los archivos de las víctimas y exigía un pago en criptomoneda Bitcoin para su liberación.

El ataque comenzó a las 07:44 UTC del 12 de mayo y se extendió con una velocidad alarmante por todo el mundo. WannaCry utilizó EternalBlue para infectar un sistema inicial, luego escanear e infectar otros sistemas vulnerables en la misma red. Esta capacidad similar a un gusano le permitió proliferar rápidamente sin requerir ninguna interacción del usuario.

La secuencia técnica de una infección de WannaCry comenzaba con el malware conectándose al recurso compartido IPC$ en máquinas remotas. Después del saludo inicial de SMB, enviaba una solicitud NT Trans con un tamaño de carga útil grande para manipular la máquina de estados del servidor SMB a una condición vulnerable. El malware luego explotaba esta condición usando paquetes especialmente diseñados que activaban la vulnerabilidad EternalBlue, dándole control del sistema objetivo. Una vez infectado, los archivos del sistema serían cifrados y aparecería una nota de rescate exigiendo un pago de $300-600 en Bitcoin.

La propagación del ataque se detuvo temporalmente aproximadamente 8 horas después de que comenzara, cuando el investigador de seguridad Marcus Hutchins descubrió y registró un dominio que funcionaba como un “interruptor de apagado” en el código del malware. Este afortunado descubrimiento evitó que las computadoras ya infectadas cifraran más archivos o propagaran el malware más lejos. Sin embargo, para ese momento, WannaCry ya había infectado cientos de miles de sistemas en todo el mundo.

Impacto Global y Consecuencias

El ataque WannaCry tuvo un alcance global sin precedentes, afectando a más de 300,000 computadoras en 150 países. Los daños estimados oscilaron entre cientos de millones y miles de millones de dólares. Los países particularmente afectados incluyeron China, Rusia, Estados Unidos, Francia, Reino Unido, Brasil y Perú.

Una de las organizaciones más severamente afectadas fue el Servicio Nacional de Salud (NHS) del Reino Unido. El ataque forzó la cancelación de aproximadamente 13,500 citas ambulatorias, incluyendo 139 para pacientes con sospecha de cáncer. Las ambulancias tuvieron que ser desviadas en algunos casos, potencialmente retrasando la atención que salva vidas. Un análisis exhaustivo determinó que los hospitales del NHS directamente infectados con WannaCry perdieron £5.9 millones en total, incluyendo £4 millones en admisiones de pacientes hospitalizados perdidas, £0.6 millones por actividad perdida de accidentes y emergencias, y £1.3 millones por citas ambulatorias canceladas.

Más allá de la atención médica, WannaCry afectó a numerosas corporaciones importantes y entidades gubernamentales. Entre las víctimas notables se encontraban FedEx, Honda y Nissan. Las organizaciones enfrentaron no solo los costos inmediatos de abordar la infección, sino también pérdidas significativas en productividad e interrupción del negocio.

A pesar del daño generalizado causado, los atacantes recibieron un pago sorprendentemente pequeño de aproximadamente $100,000 en pagos de rescate. Esta discrepancia entre el daño infligido y la ganancia financiera sugiere que el ataque pudo haber tenido motivaciones más allá del simple beneficio. De hecho, Estados Unidos, Japón, Nueva Zelanda y Canadá han atribuido el ataque a hackers norcoreanos, específicamente al Grupo Lazarus, aunque esto no ha sido confirmado definitivamente.

Fuentes:

https://www.wikiversus.com/informatica/el-exploit-eternalblue-nsa-y-su-implicacion-en-ransomware-wannacry/