¿Que significa: 'NotPetya (2017)'?

NotPetya, también conocido como Petya/NotPetya o ExPetr, es un ciberataque masivo que se produjo en junio de 2017 y tuvo un alcance global, afectando a diversas organizaciones en múltiples países. Este malware, aunque a menudo se le menciona como un ransomware, en realidad actuaba más como un wiper, ya que su objetivo principal no era tanto extorsionar dinero como causar destrucción y disrupción.

Historia y Contexto

NotPetya apareció el 27 de junio de 2017, inicialmente afectando a múltiples organizaciones en Ucrania, incluyendo bancos, aeropuertos, servicios de transporte, y centrales eléctricas. Rápidamente se expandió a otras partes del mundo, afectando a empresas como Maersk, Merck, y el gigante de la publicidad WPP. A diferencia de otros ataques, este fue notable por su virulencia y sofisticación, lo que llevó a una rápida propagación.

Propagación e Infección

NotPetya se originó a través de una actualización de software comprometida del programa de contabilidad MeDoc, el cual es muy popular en Ucrania. Quienes utilizaban este software recibieron una actualización automática que contenía el malware, permitiendo que NotPetya se introdujera inicialmente en las redes corporativas.

Una vez dentro de una red, NotPetya utilizaba múltiples métodos para propagarse:

1. Exploits SMB (Server Message Block): Utilizando herramientas como EternalBlue y EternalRomance, exploits que habían sido desarrollados por la NSA y posteriormente filtrados por el grupo Shadow Brokers, NotPetya pudo explotar vulnerabilidades en el protocolo SMB de Windows para propagarse lateralmente dentro de la red.
2. Credenciales Robadas: Empleando herramientas como Mimikatz, NotPetya escaneaba la memoria del sistema en busca de credenciales administrativas, utilizando estas para infectar otros dispositivos dentro de la red.
3. Herramientas de Administración Remota: NotPetya también utilizaba herramientas de administración como PsExec y Windows Management Instrumentation (WMI) para infectar otros equipos.

Mecanismo de Ataque

NotPetya cifraba la Master File Table (MFT) del sistema de archivos NTFS, lo que hacía que el sistema operativo fuera incapaz de ubicar los archivos en el disco y, por ende, hacer imposible el acceso a los datos. También sobrescribía el MBR (Master Boot Record) con su propio código malicioso. Al reiniciar el sistema, los usuarios veían una pantalla de ransomware, demandando un pago en Bitcoin para recuperar los datos.

Sin embargo, a diferencia de los ransomware tradicionales, NotPetya estaba diseñado de manera que la recuperación de los datos era prácticamente imposible, incluso si se pagaba el rescate. Esto sugiere que sus creadores estaban más interesados en causar daño que en obtener dinero.

Efectos y Costos

Los efectos de NotPetya fueron devastadores:

• Económicos: Se estiman pérdidas de aproximadamente 10 mil millones de dólares globalmente.
• Disrupción: Varias empresas y servicios críticos experimentaron interrupciones significativas. Maersk, por ejemplo, tuvo que reinstalar miles de servidores y sistemas de PC para recuperarse de la infección.
• Sensibilización: Este ataque subrayó la vulnerabilidad de infraestructuras críticas y redes corporativas a ciberataques sofisticados, impulsando más discusiones y medidas sobre ciberseguridad a nivel global.

Prevención y Mitigación

Para mitigar este tipo de ataques, las organizaciones tomaron varias medidas:

1. Actualización de Software: Mantener todos los sistemas y software actualizados para cerrar vulnerabilidades conocidas, como las explotadas por EternalBlue.
2. Segmentación de Redes: Implementar segmentación de redes para limitar la propagación interna de malware.
3. Prácticas de Seguridad: Adoptar el principio de "mínimo privilegio", por lo que los usuarios y aplicaciones solo tienen los permisos estrictamente necesarios.
4. Copias de Seguridad: Mantener copias de seguridad regulares y offline para poder recuperar la información en caso de ataque.

NotPetya fue un recordatorio contundente de la necesidad de una ciberseguridad robusta y resiliente, adaptada al contexto actual de amenazas sofisticadas y persistentes.