Petya (familia de malware)

Petya es una familia de malware de cifrado descubierta por primera vez en 2016. ^{[ 2 ]} Este malware ataca sistemas basados ​​en Microsoft Windows , infectando el registro de arranque maestro para ejecutar una carga útil que cifra la tabla del sistema de archivos de un disco duro o SSD y realiza un falso CHKDSK tras un reinicio. Esto impide que Windows arranque, ya que el registro de arranque maestro se sobrescribe; posteriormente, Petya exige a los usuarios un pago en Bitcoin para recuperar el acceso.

Las primeras variantes de Petya se detectaron en marzo de 2016 y se propagaron mediante archivos adjuntos de correo electrónico infectados. En junio de 2017, una nueva variante de Petya se utilizó para un ciberataque global , dirigido principalmente a Ucrania . Esta nueva variante se propaga mediante la vulnerabilidad EternalBlue , que se cree que fue desarrollada por la Agencia de Seguridad Nacional (NSA) de Estados Unidos y que fue utilizada a principios de año por el ransomware WannaCry . Kaspersky Lab denominó a esta nueva versión NotPetya para distinguirla de las variantes de 2016, debido a estas diferencias en su funcionamiento. Aunque parecía ser un ransomware, debido a la falta de un método de descifrado, era equivalente a un programa de borrado de datos . Los ataques de NotPetya han sido atribuidos al gobierno ruso, específicamente al grupo de hackers Sandworm dentro de la organización de inteligencia militar rusa GRU , por investigadores de seguridad, Google y varios gobiernos. ^{[ 2 ] [ 3 ] [ 4 ] [ 5 ]}

Petya fue descubierto en marzo de 2016; ^{[ 6 ]} Check Point señaló que, si bien había logrado menos infecciones que otros ransomware activos a principios de 2016, como CryptoWall , contenía diferencias notables en su funcionamiento que hicieron que fuera "inmediatamente señalado como el siguiente paso en la evolución del ransomware". ^{[ 1 ]} Otra variante de Petya descubierta en mayo de 2016 contenía una carga útil secundaria que se utilizaba si el malware no podía obtener acceso de nivel de administrador . ^{[ 6 ]}

El nombre "Petya" ( diminutivo ruso de Pedro ) es una referencia a la película de James Bond de 1995, GoldenEye , en la que Petya es uno de los dos satélites de armas soviéticos que transportan un "Goldeneye", una bomba atómica detonada en órbita terrestre baja para producir un pulso electromagnético . Una cuenta de Twitter que Heise sugirió que podría haber pertenecido al autor del malware, llamada "Janus Cybercrime Solutions" en honor al grupo criminal de Alec Trevelyan en GoldenEye , tenía un avatar con una imagen del personaje de GoldenEye Boris Grishenko, un hacker ruso y antagonista en la película interpretado por el actor escocés Alan Cumming . ^{[ 7 ]}

El 30 de agosto de 2018, un tribunal regional de Nikopol , en el óblast de Dnipropetrovsk de Ucrania, condenó a un ciudadano ucraniano, cuyo nombre no se reveló, a un año de prisión tras declararse culpable de difundir una versión de Petya en línea. ^{[ 8 ] [ 9 ] [ 10 ]}

El 27 de junio de 2017, comenzó un importante ciberataque global (las empresas ucranianas estuvieron entre las primeras en declarar que estaban siendo atacadas ^{[ 11 ]} ), utilizando una nueva variante de Petya. Ese día, Kaspersky Lab informó de infecciones en Francia, Alemania, Italia, Polonia, el Reino Unido y Estados Unidos, pero que la mayoría de las infecciones se dirigieron a Rusia y Ucrania, donde más de 80 empresas fueron atacadas inicialmente, incluido el Banco Nacional de Ucrania . ^{[ 11 ] [ 12 ]} ESET estimó el 28 de junio de 2017 que el 80,0% de todas las infecciones se encontraban en Ucrania, siendo Alemania el segundo país más afectado con aproximadamente un 9%. ^{[ 13 ]} El secretario de prensa del presidente ruso Vladimir Putin , Dmitry Peskov , declaró que el ataque no había causado daños graves en Rusia. ^{[ 13 ]} Los expertos creían que se trataba de un ataque con motivaciones políticas contra Ucrania, ya que ocurrió en vísperas del Día de la Constitución, festividad ucraniana . ^{[ 14 ] [ 15 ]}

Oleksandr Kardakov , fundador de la empresa Oktava Cyber ​​Protection, destacó que el virus Petya paralizó un tercio de la economía de Ucrania durante tres días, lo que provocó pérdidas de más de 400 millones de dólares. ^{[ 16 ]}

Kaspersky denominó a esta variante "NotPetya", ya que presenta diferencias importantes en su funcionamiento en comparación con variantes anteriores. ^{[ 11 ]} El ingeniero de McAfee, Christiaan Beek, afirmó que esta variante fue diseñada para propagarse rápidamente y que había estado dirigida a "compañías energéticas completas, la red eléctrica , estaciones de autobuses, gasolineras, el aeropuerto y bancos". ^{[ 11 ] [ 17 ]}

Se creía que el mecanismo de actualización de software de MEDoc —un programa ucraniano de preparación de impuestos que, según el analista de F-Secure Mikko Hyppönen , "parece ser de facto" entre las empresas que hacen negocios en el país— había sido comprometido para propagar el malware. ^{[ 13 ] [ 18 ] [ 19 ]} Un análisis de ESET encontró que una puerta trasera había estado presente en el sistema de actualización durante al menos seis semanas antes del ataque, describiéndolo como una "operación minuciosamente bien planificada y bien ejecutada". ^{[ 20 ]} Los desarrolladores de MEDoc negaron ser totalmente responsables del ciberataque, afirmando que ellos también eran víctimas. ^{[ 18 ] [ 21 ] [ 22 ] [ 23 ]}

El 4 de julio de 2017, la unidad de ciberdelincuencia de Ucrania confiscó los servidores de la empresa tras detectar "nueva actividad" que, según creía, daría lugar a una "proliferación incontrolada" de malware. La policía ucraniana aconsejó a los usuarios de MEDoc que dejaran de usar el software, ya que presumía que la puerta trasera seguía presente. ^{[ 20 ] [ 24 ]} El análisis de los servidores confiscados mostró que no se habían aplicado actualizaciones de software desde 2013, había indicios de presencia rusa y la cuenta de un empleado en los servidores había sido comprometida; el jefe de las unidades advirtió que MEDoc podría ser considerada penalmente responsable por facilitar el ataque debido a su negligencia en el mantenimiento de la seguridad de sus servidores. ^{[ 20 ] [ 23 ] [ 25 ]}

El empresario informático y presidente del consejo de supervisión de la empresa Oktava Capital, Oleksandr Kardakov, propuso crear una defensa cibernética civil en Ucrania. ^{[ 26 ]}

La carga útil de Petya infecta el registro de arranque maestro (MBR) del equipo, sobrescribe el gestor de arranque de Windows y provoca un reinicio. Al iniciar, la carga útil cifra la tabla maestra de archivos del sistema de archivos NTFS y luego muestra el mensaje de rescate exigiendo un pago en Bitcoin . ^{[ 6 ] [ 27 ] [ 28 ]} Mientras tanto, la pantalla del equipo muestra una supuesta salida de chkdsk , el escáner del sistema de archivos de Windows, que sugiere que se están reparando los sectores del disco duro. ^{[ 1 ]}

La carga útil original requería que el usuario le otorgara privilegios administrativos; una variante de Petya venía con una segunda carga útil, Mischa, que se activaba si Petya no se instalaba. Mischa es una carga útil de ransomware más convencional que cifra documentos del usuario, así como archivos ejecutables, y no requiere privilegios administrativos para ejecutarse. ^{[ 6 ]} Las versiones anteriores de Petya disfrazaban su carga útil como un archivo PDF , adjunto a un correo electrónico. ^{[ 6 ]} El Equipo de Preparación para Emergencias Informáticas de los Estados Unidos (US-CERT) y el Centro Nacional de Integración de Ciberseguridad y Comunicaciones (NCCIC) publicaron el Informe de Hallazgos Iniciales de Malware (MIFR) sobre Petya el 30 de junio de 2017. ^{[ 29 ]}

La variante "NotPetya" utilizada en el ataque de 2017 utiliza EternalBlue , un exploit que aprovecha una vulnerabilidad en el protocolo Server Message Block (SMB) de Windows. Generalmente se cree que EternalBlue fue desarrollado por la Agencia de Seguridad Nacional (NSA) de EE. UU.; ^{[ 28 ]} se filtró en abril de 2017 y también fue utilizado por WannaCry . ^{[ 28 ] [ 30 ]} El malware recopila contraseñas (utilizando una versión modificada del software de código abierto Mimikatz ^{[ 31 ]} ) y utiliza otras técnicas para propagarse a otras computadoras en la misma red, y utiliza esas contraseñas junto con PSExec para ejecutar código en otras computadoras locales. ^{[ 32 ] [ 33 ] [ 34 ]} Además, aunque todavía pretende ser ransomware, la rutina de cifrado fue modificada de manera que el malware no pudiera revertir sus cambios técnicamente. ^{[ 35 ]} Esta característica, junto con otros signos inusuales en comparación con WannaCry (incluida la tarifa de desbloqueo relativamente baja de US$300 y el uso de una única billetera Bitcoin fija para recaudar pagos de rescate en lugar de generar una identificación única para cada infección específica con fines de seguimiento), ^{[ 36 ]} llevó a los investigadores a especular que este ataque no tenía la intención de ser una empresa generadora de ganancias, sino de dañar dispositivos rápidamente y aprovechar la atención mediática que recibió WannaCry al afirmar ser ransomware. ^{[ 37 ] [ 38 ]}

Se descubrió que podría ser posible detener el proceso de cifrado si una computadora infectada se apaga inmediatamente cuando aparece la pantalla ficticia de chkdsk, ^{[ 39 ]} y un analista de seguridad propuso que la creación de archivos de solo lectura llamados perfcy/o perfc.daty/o perfc.dllen el directorio de instalación de Windows podría evitar que se ejecutara la carga útil de la cepa actual. ^{[ 40 ] [ 41 ] [ 42 ] [ 43 ]} La dirección de correo electrónico que figuraba en la pantalla de rescate fue suspendida por su proveedor, Posteo , por ser una violación de sus términos de uso . Como resultado, los usuarios infectados no pudieron enviar la confirmación de pago requerida al perpetrador. ^{[ 36 ] [ 44 ]} Además, si el sistema de archivos de la computadora estaba basado en FAT, la secuencia de cifrado MFT se omitía y solo se mostraba el mensaje del ransomware, lo que permitía recuperar los datos trivialmente. ^{[ 45 ]}

Microsoft ya había publicado parches para versiones compatibles de Windows en marzo de 2017 para abordar la vulnerabilidad EternalBlue. A esto le siguieron parches para versiones no compatibles de Windows (como Windows XP ) en mayo de 2017, inmediatamente después de WannaCry. ^{[ 46 ] [ 47 ]} Wired creía que "con base en la magnitud del daño que Petya ha causado hasta ahora, parece que muchas empresas han pospuesto la aplicación de parches, a pesar de la clara y potencialmente devastadora amenaza de una propagación de ransomware similar". ^{[ 48 ]} Algunas empresas pueden considerar demasiado perjudicial instalar actualizaciones en ciertos sistemas, ya sea por posibles tiempos de inactividad o problemas de compatibilidad, lo que puede ser problemático en algunos entornos. ^{[ 46 ]}

En un informe publicado por Wired , una evaluación de la Casa Blanca estimó los daños totales causados ​​por NotPetya en más de 10 mil millones de dólares. Esta evaluación fue reiterada por el exasesor de Seguridad Nacional, Tom Bossert , quien en el momento del ataque era el funcionario de mayor rango del gobierno estadounidense especializado en ciberseguridad. ^{[ 49 ]}

Durante el ataque iniciado el 27 de junio de 2017, el sistema de monitoreo de radiación de la central nuclear de Chernóbil en Ucrania quedó fuera de servicio. ^{[ 50 ]} Varios ministerios, bancos y sistemas de metro ucranianos también se vieron afectados. ^{[ 51 ]} Se dice que fue el ciberataque más destructivo de la historia. ^{[ 52 ]}

Entre los afectados en otros lugares se encontraban la empresa británica de publicidad WPP , ^{[ 51 ]} Maersk Line , ^{[ 53 ]} la farmacéutica estadounidense Merck & Co. (que opera internacionalmente como MSD), la petrolera rusa Rosneft (su producción de petróleo no se vio afectada ^{[ 54 ]} ), el bufete de abogados multinacional DLA Piper , ^{[ 51 ]} la constructora francesa Saint-Gobain y sus puntos de venta minoristas y subsidiarios en Estonia, ^{[ 55 ]} la empresa británica de bienes de consumo Reckitt Benckiser , ^{[ 56 ]} la empresa alemana de cuidado personal Beiersdorf , la empresa alemana de logística DHL , ^{[ 57 ]} la empresa alimentaria estadounidense Mondelez International y el operador hospitalario estadounidense Heritage Valley Health System. ^{[ 11 ] [ 58 ]} La fábrica de chocolate Cadbury en Hobart , Tasmania, es la primera empresa en Australia afectada por Petya. ^{[ 59 ]} El 28 de junio de 2017, JNPT , el puerto de contenedores más grande de la India, se vio afectado, paralizándose todas sus operaciones. ^{[ 60 ]} El Hospital Comunitario de Princeton, en la zona rural de Virginia Occidental, anunció que desmantelaría y reemplazaría toda su red informática en su camino hacia la recuperación. ^{[ 61 ]}

La interrupción de la actividad comercial de Maersk, el mayor operador mundial de buques portacontenedores y de suministro, se estimó entre 200 y 300 millones de dólares en pérdidas de ingresos. ^{[ 49 ] [ 62 ]}

El impacto comercial en FedEx se estima en 400 millones de dólares en 2018, según el informe anual de la compañía de 2019. ^{[ 63 ]}

Jens Stoltenberg , secretario general de la OTAN , instó a la alianza a reforzar sus defensas cibernéticas, afirmando que un ciberataque podría activar el principio de defensa colectiva del artículo 5. ^{[ 64 ] [ 65 ]}

La aseguradora de Mondelez International, Zurich American Insurance Company , se ha negado a pagar una reclamación por la limpieza de los daños causados ​​por una infección de NotPetya, alegando que NotPetya es un "acto de guerra" que no está cubierto por la póliza. Mondelez demandó a Zurich American por 100 millones de dólares en 2018; ^{[ 66 ]} la demanda se resolvió en 2022 y los términos del acuerdo permanecen confidenciales. ^{[ 67 ]}

Europol declaró estar al tanto de los informes sobre un ciberataque en los Estados miembros de la Unión Europea y responder con urgencia a ellos . ^{[ 12 ]} El Departamento de Seguridad Nacional de los Estados Unidos participó y coordinó con sus socios internacionales y locales. ^{[ 53 ]} En una carta a la NSA, ^{[ 68 ]} el congresista demócrata Ted Lieu solicitó a la agencia que colaborara más activamente con las empresas tecnológicas para notificarles sobre las vulnerabilidades del software y ayudarlas a prevenir futuros ataques basados ​​en malware creado por la NSA. ^{[ 34 ] [ 69 ]} El 15 de febrero de 2018, la administración Trump culpó a Rusia del ataque y advirtió que habría "consecuencias internacionales". ^{[ 70 ]} El Reino Unido y el gobierno australiano también emitieron declaraciones similares. ^{[ 71 ]}

En octubre de 2020, el Departamento de Justicia nombró a más oficiales del GRU en una acusación formal. ^{[ 72 ]} Al mismo tiempo, el gobierno del Reino Unido también culpó al grupo Sandworm del GRU por los ataques contra los Juegos Olímpicos de Verano de 2020. ^{[ 73 ]}

• CIH (1998)
• Stuxnet (2010)
• WannaCry (2017)

• portal de Internet
• Portal jurídico
• Energía negra
• Controlador de dominio (Windows)
• Azul eterno
• Mimikatz
• Gusano de arena (grupo de hackers)
• Bloque de mensajes del servidor
• Filtración de archivos Vulkan