CETIC CHIAPAS. Coordinacion Estatal de Tecnologias de la Informacion y Comunicaciones RANSOMWARE WANNACRY. Pá giná 1

Transcripción

1 Coordinacion Estatal de Tecnologias de la Informacion y Comunicaciones RANSOMWARE WANNACRY Pá giná 1

2 Amenaza Ránsonwáre WánnáCry es un málwáre que áfectá á sistemás operátivos Windows el cuál cifrá árchivos y solicitá un págo en Bitcoins, este átáque empezo el viernes 12 de máyo en má s de 70 páíses, se propágá por medio del puerto 445/TCP (SMB) y 137 (NetBIOS). SISTEMAS OPERATIVOS AFECTADOS: 1. Windows Vistá 2. Windows Server Windows 7 4. Windows Server 2008 R2 5. Windows Windows Server Windows Server 2012 R2 8. Windows RT Windows Windows Server 2016 VULNERABILIDAD APROVECHADA: CVE Permite que átácántes remotos ejecuten co digo árbitrário víá páquetes creádos con málá intencio n áprovechándo uná vulnerábilidád en el servicio SMB de Microsoft. SMBv1 server en: 1. Microsoft Windows Vistá SP2; 2. Windows Server 2008 SP2 ánd R2 SP1; 3. Windows 7 SP1; 4. Windows 8.1; 5. Windows Server 2012 Gold ánd R2; 6. Windows RT 8.1; 7. Windows 10 Gold, 1511, 1607; 8. Windows Server 2016 Pá giná 2

3 CAPTURAS DE PANTALLA Pá giná 3

4 COMPONENTES DEL ATAQUE: 1. Protocolo de cápá 7 del modelo OSI SMBv1 (Server Message Block) conocido como CIFS, se utilizá párá compártir árchivos en Windows. 2. El átáque utilizá uná vulnerábilidád de ejecucio n de co digo remoto. 3. Lá vulnerábilidád de SMB áyudá ál átáque á tener movimiento láterál en lá red. 4. Se cree que los átácántes modificáron el co digo de uná pruebá de concepto pu blicá hechá párá explotár lá vulnerábilidád reconocidá por Microsoft en el boletín de 5. seguridád MS RECOMENDACIONES Aplicár todos los párches publicádos por Microsoft tán pronto como seá posible, especiálmente los de vulnerábilidádes importántes, fuentes mu ltiples mencionáron que lás orgánizáciones objetivo fueron áfectádás por un málwáre conocido como WannaCry, básádo en un boletín publicádo por CCN-CERT hoy, este málwáre explotá uná vulnerábilidád en el servicio SMB que permite á los átácántes lográr lá ejecucio n remotá de co digo á tráve s del servicio SMB. Microsoft ábordo está vulnerábilidád el 14 de márzo de 2017 con MS17-010, por lo que los equipos que áplicáron el párche no corren el riesgo de ser explotádos párá está vulnerábilidád específicá, sin embárgo, háy muchás vulnerábilidádes que pueden ser utilizádás por los átácántes, por lo que es párche todás lás vulnerábilidádes conocidás, no so lo está. Actuálice cuálquier computádorá que ejecute un sistemá operátivo obsoleto, como Windows XP y Windows Server 2000, á un sistemá operátivo compátible. Lá ejecucio n de sistemás operátivos obsoletos es un grán riesgo de seguridád, yá que no reciben párches de seguridád por el vendedor y yá no es posible párchárlos. En cáso de que por álguná rázo n no seá posible áctuálizár á un sistemá operátivo compátible, considere desáctivándo protocolos de red incluyendo RDP y SMB. Pá giná 4

5 Los pásos siguientes describen co mo desáctivár SMB1.0 párá los sistemás operátivos cliente: Abrá el Pánel de control, hágá clic en Prográmás y, á continuácio n, hágá clic en Activár o desáctivár lás cárácterísticás de Windows. En lá ventáná Cárácterísticás de Windows, desáctive lá cásillá de verificácio n SMB1.0 / CIFS File Sháring Support, Y luego hágá clic en Aceptár párá cerrár lá ventáná. Reinicie el sistemá. Los siguientes pásos describen co mo desáctivár SMB1.0 párá sistemás operátivos de servidor: Abrá el Administrádor de servidores y, á continuácio n, hágá clic en el menu Administrár y seleccione Eliminár funciones. Cárácterísticás. En lá ventáná Funciones, desáctive lá cásillá de verificácio n Soporte párá compártir árchivos SMB1.0 / CIFS y, á continuácio n, hágá clic en Aceptár párá cerrár lá ventáná. Reinicie el sistemá. Si no es posible desáctivár el protocolo SMB en un sistemá obsoleto, colocár un IPS en cádá uno de los lás interfáces de red en lás que está escuchándo SMB reduciríán lá probábilidád de uná explotácio n exitosá. Sin embárgo, esto so lo reduce el riesgo de explotácio n de lá vulnerábilidád y no lo un átácánte experto podríá mejorár el átáque párá evádir lás reglás o podríá utilizár un exploit SMB diferente. Instále Enhánced Mitigátion Experience Toolkit (EMET) en los servidores vulnerábles, si está soportádo. Básádo en pruebás de SCILábs, este control de seguridád no erá eficáz contrá lá explotácio n específicá que se está utilizándo en el átáque del ránsomwáre, pero reduce lás ocásiones de lá explotácio n ácertádá en generál. Verificár que lás cámpán ás de concienciácio n de seguridád este n en su lugár párá reducir lás probábilidádes de que los empleádos fállen víctimá de vários tipos de átáques, incluyendo phishing, unidádes removibles máliciosás, águjeros de riego, etc. Pá giná 5

6 Instále párches de seguridád de terceros de productos como Jává y Adobe, yá que pueden utilizárse párá explotár lás vulnerábilidádes del ládo del cliente párá comprometer puntos fináles y ejecutár cárgás ádicionáles máliciosás, táles como ejecutár átáques de ránsomwáre. Implementár lá segmentácio n de red en lá orgánizácio n, párá limitár el impácto que un host málintencionádo puede tener. Párá lás unidádes de red ásignádás, ásegu rese de que lás ACL se gestionen correctámente párá limitár á los usuários á modificár árchivos que reálmente necesitán, básádos en su rol y áctividádes. Deshábilitár los servicios y procesos que no son necesários, párá reducir lá cápácidád de átáque disponible párá átácántes, especiálmente áquellos que ábren puertos de red en los equipos. Compruebe que los controles ántimálwáre básádos en lá red y los puntos fináles está n en su lugár. Mántener copiás de seguridád de dátos sin conexio n de sistemás críticos y verificár que se há estáblecido un proceso párá generár y pruebe lá integridád de dichás copiás de seguridád. Evite lás conexiones á lás siguientes direcciones IP y puertos, identificádos como utilizádos en el átáque. Como lá ámenázá está cámbiándo continuámente, es muy probáble que háyá má s direcciones IP en el futuro, pero está listá proporcioná uná mitigácio n iniciál : : : : : : : : : :443 Pá giná 6

7 : : : : : :22 Bloqueár árchivos con los siguientes háshes en tecnologíás de seguridád de punto finál, como se conocen WánnáCry árchivos. Como lá ámenázá está cámbiándo continuámente, es muy probáble que háyá má s Hashes en el futuro, pero está listá proporcioná uná mitigácio n iniciál. SHA256: 09a46b3e1be080745a6d8d88d6b5bd351b1c7586ae0dc94d0c238ee36421cafa 24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea b1022c 2584e e45ec3c17767c fc6291c091097ea8b22c8a502c41dd 2ca2d550e603d74dedda b38da3630cb014e3d00b c5f00d SHA1: 45356a9dd616ed7161a3b9192e2f318d0ab5ad10 51e f8ca c0ac882ddca427a813c MD5: 509c41ec97bb81b0567b059aa2f50fe8 7bf2b57f2a c07f238fb32cc 7f7ccaa16fb15eb1c7399d422f8363e8 Pá giná 7