Después del WannaCry en Latinoamérica

El ataque del Ransomware WannaCry comenzó hace aproximádamente 10 días. Fue un viernes 12 de Mayo y se propagó rápidamente entre decenas de miles y luego centenares de miles de computadoras basadas en el sistema operativo Microsoft Windows.

Gracias a los esfuerzos conjuntos internacionales, se logró detener su rápida propagación y a medida que los administradores de redes iban a aplicando el parche MS17-010 de Microsoft, las posibilidades de propagación masiva del WannaCry se fueron cerrando.

¿Cuál es el panorama 10 días después del WannaCry? Las siguientes estadísticas nos pueden visualizar el impacto causado y también el estado actual de la amenaza.

Propagación del WannaCry en América Latina

Nuestros datos estadísticos muestran que la mayor propagación de esta amenaza se dio en Europa, principalmente en Rusia y luego en Ucrania.

Sin embargo, México también es uno de los países donde el WannaCry ha tenido mucha actividad. De hecho, México se encuentra en la posición #4 a nivel mundial por el número de ataques registrados.

A continuación, la lista del Top 10 de los países a nivel mundial con el mayor números de ataques del WannaCry:

1. Rusia
2. Ucrania
3. China
4. México
5. India
6. Brasil
7. Taiwan
8. Hong Kong
9. Vietnam
10. Indonesia

Estos datos corresponden a un periodo de tiempo de entre el 11 de Mayo y hasta el 22 de Mayo de 2017.

Si hablamos de Latinoamérica solamente, el Top 5 de los países más atacados sería el siguiente:

1. México
2. Brasil
3. Chile
4. Ecuador
5. Colombia

Es interesante notar que las dinámicas de las infecciones han ido cambiado, por ejemplo, una actualización de la propagación del WannaCry registrada el 13 de Mayo de 2017, mostraba que Brasil era el país más atacado:

https://twitter.com/dimitribest/status/863392608994938883

Las colectas del WannaCry a nivel mundial

Cuando la información es cifrada por el WannaCry, la víctima es extorsionada a pagar el rescate para recuperar sus información. Mucha víctimas que pagaron luego clamaban en el Internet de que no habían recibido nada para descifrar sus datos! Y es que nunca se debe pagar a los criminales! Si la víctima lo hace, el actor del ataque recibe lo que realmente busca y de esta forma el crimen continúa.

Hasta el momento (22 de Mayo de 2017, 8:40 am ET), el WannaCry recaudó de las víctimas un total de 52.28820119 BTC que de acuerdo a la cotización del momento equivale a un poco más de 114 mil dólares:

El número total de las transacciones registradas en las billeteras del WannaCry es de 327, ósea son potencialmente 327 víctimas empresariales las que lamentablemente acudieron al pago de los actores del ataque del WannaCry.

Los sistemas operativos más atacados por el WannaCry

¿En qué sistemas operativos ha operado el WannaCry en Latinoamérica?

México

Brasil

Chile

La línea del tiempo de la vida del WannaCry

Nuestras estadísticas muestran que la proliferación del WannaCry ha caído drásticamente a nivel mundial; no obstante, se mantiene activa aún.

El volumen actual, de hecho, ha bajado hasta 4 veces en comparación con el 13 de mayo, la fecha del mayor pique de las infecciones a nivel mundial.

Después del WannaCry

Muchos creen que el WannaCry, en realidad, ha sido un gran problema y sin subestimarlo, creemos que el mayor problema es esa vía habilitada para toda clase de actores de ataques que la han estado explotando en paralelo al WannaCry. Y nos referimos a los exploits DoublePulsar y EternalBlue que recientemente fueron publicados para todo el público en el Internet y que abusan de vulnerabilidades en el servicio SMB. Este problema, en realidad, es muy grande ya que mientras que el WannaCry y su carga útil es visible para la víctima – pues exige el pago por los datos cifrados – en los ataques que utilicen otro tipo de malware, por ejemplo, programas espía y otros, la víctima no se dará cuenta fácilmente de que algo malo está pasando en su equipo.

Hasta que los administradores de redes de trabajo y también los usuarios finales no instalen parches correspondientes de Microsoft para cerrar estas vulnerabilidades, los atacantes con cualquier perfil, cualquier origen y cualquier motivación, tendrán éxito en atacar a las víctimas. Pues, las vulnerabilidades permanecerán listas para ser explotadas.

Entonces, con esto en mente, ¿cuál es el panorama de las detecciones del DoublePulsar y EnternalBlue a nivel mundial? Es decir, detecciones no de la carga útil del malware sino de la vía o el vehículo utilizado por el WannaCry y varios otros actores:

En cambio, si revisamos la propagación de los exploits, a través del tiempo se observan varios datos interesantes:

Primero es que el ShadowBrokers publicó su leak con los datos de los exploits el 14 de Abril; sin embargo, sus primeras detecciones comenzaron a aparecer el 21 de Abril del 2017. Es decir, una semana después.

El pique de las detecciones cae el 12 de Mayo y es justo la fecha cuando comenzó la campaña del Wannacry. Si seguimos la curva después de ese día, se observa que hay una tendencia, de hecho creciente, de que los exploits se siguen utilizando.

En términos de números, la diferencia entre los usuarios atacados con los dichos exploits el primera día y el día de hoy, 22 de Mayo, su uso masivo creció hasta 10 veces!

El día que en realidad, todos los usuarios y los administradores de redes de trabajo lleguen a parchar sus sistemas operativos, los ataques que usan los exploits del EnternalBlue y DoublePulsar cesarán. Mientras tanto, es como un ferrocarril ya construido en el cual toda clase de tren puede transitar.