La evolución de WannaCry de depredador a vacuna de alto riesgo
Las detecciones de WannaCry siguen siendo millones: 4.3 millones de intentos de infección se detuvieron solamente en agosto de 2019.
Sophos, líder global en seguridad para protección de redes y endpoints, ha publicado el informe “WannaCry Aftershock”, un documento sobre lo que ha ocurrido con el famoso malware WannaCry, tras el ataque mundial que comenzó el 12 de mayo de 2017. La investigación de SophosLabs muestra que la amenaza de WannaCry sigue activa, con millones de intentos de infección al mes detectados, y que pese a no haber actualización del malware original sí que existen muchos miles de variantes de corta duración actuando libremente.
La supervivencia de la amenaza de WannaCry se debe en gran medida a la capacidad de estas nuevas variantes para evitar el 'kill switch' (sistema de seguridad de emergencia). Sin embargo, cuando los investigadores de Sophos analizaron y ejecutaron diversas muestras, descubrieron que se neutralizaba su capacidad para cifrar datos como resultado de la corrupción del código.
Debido a la forma en la que WannaCry afecta a las nuevas víctimas (comprobando si un ordenador ya está infectado y, en caso afirmativo, pasando a otro objetivo), hace que esa infección mediante la versión inerte del malware proteja de forma efectiva el dispositivo de ser infectado con la cepa activa. En resumen, las nuevas variantes del malware actúan por error como una vacuna, ofreciendo a los ordenadores aún no parcheados y vulnerables una especie de inmunidad contra el ataque posterior de ese mismo malware.
Sin embargo, el hecho mismo de que estos ordenadores pudieran estar infectados en primera instancia indica que no se les había instalado el parche contra la principal vulnerabilidad utilizada en los ataques de WannaCry, un parche que se lanzó hace ya más de dos años.
El malware original de WannaCry se detectó tan solo en 40 ocasiones y desde entonces los investigadores de SophosLabs han identificado hasta 12.480 variantes del código original. Una inspección más minuciosa de más de 2.700 muestras, que representan el 98% de las detecciones, reveló que todas habían evolucionado para omitir el 'kill switch' (una URL específica que, si el malware se conecta a ella, finaliza automáticamente el proceso de infección), que todas contaban con un componente de ransomware corrupto y que no fueron capaces de cifrar los datos.
En agosto de 2019, la telemetría de Sophos detectó 4.3 millones de casos de WannaCry. El número de variantes observadas fue de 6.963. De estas, 5.555 ó un 80% eran archivos nuevos.
Los investigadores de Sophos también han rastreado la primera aparición de la variante corrupta más extendida en la actualidad hasta llegar a tan sólo dos días después del ataque original: el 14 de mayo de 2017, cuando se subió a VirusTotal, pero aún no se había liberado.
“El brote de WannaCry de 2017 cambió el panorama de amenazas para siempre. Nuestra investigación destaca cuántos ordenadores sin parchear existen aún, y si no se han instalado actualizaciones lanzadas hace más de dos años, ¿cuántos otros parches se han perdido? En este caso, algunas víctimas han tenido suerte porque las variantes del malware las inmunizaron contra las versiones más recientes. Pero ninguna empresa debería confiar en ello. En cambio, la práctica estándar debería ser contar con una política de instalación de parches cada vez que se emiten, y una solución de seguridad sólida que cubra todos los endpoints, redes y sistemas", dice Peter Mackenzie, especialista en seguridad de Sophos y autor principal de la investigación.
