El ciberataque masivo del virus Petya tuvo escasa incidencia en España

Según el secretario de Estado para la Sociedad de la Información, José María Lassalle , el nivel de incidencia del último ciberataque mundial ha sido «muy escaso» en España y ha destacado el «alto marco de protección» de las infraestructuras de ciberseguridad españolas. En su opinión, no ha afectado a ninguna empresa estratégica ni a infraestructuras críticas. Pese al impacto inicial, desde el Gobierno de Ucrania han asegurado que no se han producido secuelas ni ha afectado a instituciones y redes corporativas del país.

Petya, como se ha bautizado el virus informático, es capaz de explotar una vulnerabilidad previamente localizada en los sistemas operativos Windows, tomando el testigo de Wannacry, que hace un mes provocó más de 150.000 infecciones en equipos informáticos de empresas como Telefónica, Iberia o FedEx . Un agujero de seguridad conocido por la Agencia de Seguridad Nacional de EE.UU. (NSA) desde hacía cinco años, aunque no había provocado tales estragos hasta entonces pese a que hace dos años sí se detectaron diversas infecciones. Microsoft, empresa desarrolladora de Windows, el sistema operativo afectado, ha reconocido que el ciberataque explotaba un fallo del que ya existía un parche de seguridad.

La novedad de este nuevo «malware», sin embargo, es su capacidad de propagarse por su naturaleza tipo gusano. «Aparte de explotar esta vulnerabilidad conocida, Petya es capaz de infectar y moverse lateralmente, así como explotar de nuevo el fallo utilizando mecanismos habituales de administración de los sistemas», explica a este diario Eduardo Argüeso , Responsable del área de Seguridad de IBM España.

Según los expertos, este ciberataque puede ser más dañino que Wannacry «porque es capaz de propagarse a máquinas que estén incluso correctamente parcheadas y, por otro lado, el sistema podría seguir difundiéndose en otro segmento de red» por su capacidad de ser autosuficiente. Precisamente, esta naturaleza es la que ha roto los esquemas de las compañías de seguridad, que han mostrado su desconcierto sobre su objetivo.

Su funcionamiento a nivel técnico es complejo. Descubierto por primera vez en 2016, este «ransomware» cifra algunos aspectos del funcionamiento de los equipos informáticos como el MFT (Master File Tree) y sobrescribe el MBR (Master Boot Record), dejando un mensaje de rescate y deshabilitando completamente los ordenadores afectados. «Esta nueva variante es particularmente virulenta porque utiliza múltiples técnicas para propagarse automáticamente dentro de la red de una empresa una vez infectado el primer dispositivo», insisten desde la firma de seguridad Sophos .

Por su parte, Deepak Daswani , experto en ciberseguridad, ha precisado que el correo electrónico desde el cual fue lanzada esta nueva agresión informática ha sido eliminado por su proveedor, «lo que hace que el descifrado de la información 'secuestrada' sea imposible» y, por tanto, no se pueda recuperar. Además, el hecho de que este virus haya podido infectar el sistema de distintas entidades a pesar de tratarse de un virus «ya conocido», demuestra que se trata de «un trabajo bastante profesional».

La investigación continúa y los hallazgos están lejos de ser definitivos en este momento. De acuerdo a los datos de telemetría de la firma Kaspersky Lab , se han producido más de 2.000 ciberataques de 64 países. Los cibercriminales están pidiendo 300 dólares en bitcoins por facilitar la «llave» o clave que descifrará los datos secuestrados, y el pago a través de una cuenta unificada de Bitcoin.

A diferencia de WannaCry, esta técnica podría funcionar porque los ciberdelincuentes han pedido a las víctimas que envíen sus números de cuenta por correo electrónico a una dirección para confirmar las transacciones. Sin embargo, esta cuenta de correo electrónico ya ha sido cerrada, lo que hace que el descifrado sea imposible. En el momento de la actualización de esta información, la cartera Bitcoin ha acumulado 24 transacciones por un total de 2,54 BTC (unos 6.000 dólares).