15 de mayo de 2017

El viernes 12 de mayo los equipos de todo el mundo fueron atacados por el cifrador Trojan.Encoder.11432, también conocido como WannaCry, WannaCryptor, WanaCrypt0r, WCrypt, WCRY y WNCRY. Han sufrido las entidades gubernamentales y comerciales, así como los usuarios particulares. Los usuarios del software Dr.Web han sido y siguen siendo protegidos.

La primera modificación del troyano conocida para Dr.Web (Wanna Decryptor 1.0) llegó para el análisis al laboratorio de virus Doctor Web el 27 de marzo de 2017 a 07:20 y el mismo día fue añadida a las bases de virus.

El cifrador Trojan.Encoder.11432, conocido como WannaCry, empezó a difundirse activamente el viernes por la tarde, y el fin de semana infectó los equipos de entidades más importantes en todo el mundo.

Doctor Web recibió su muestra el 12 de mayo a 10:45 de la mañana y la añadió a las bases de virus Dr.Web.

Antes de ser añadido a la base, el troyano se detectaba por Dr.Web como BACKDOOR.Trojan.

Este troyano es un cifrador multicomponente llamado Trojan.Encoder.11432. Consiste en 4 componentes: un gusano de red, un dropper del cifrador, un cifrador y un descifrador de autor.

Trojan.Encoder.11432 cifra los archivos en el equipo infectado y demanda un rescate por descifrar. El dinero debe ser transferido a los monederos electrónicos indicados en criptodivisa Bitcoin.

La causa de difusión masiva del troyano fue la vulnerabilidad del protocolo SMB. A esta vulnerabilidad se someten todos los sistemas operativos Windows inferiores a la versión 10. Para nuestros usuarios Trojan.Encoder.11432 no suponía ningún peligro desde el principio de su difusión.

Para evitar la penetración de este troyano en sus equipos, recomendamos lo siguiente:

• Instalar la actualización para su sistema operativo MS17-010, disponible en la dirección technet.microsoft.com/en-us/library/security/ms17-010.aspx, así como todas las actualizaciones de seguridad actuales;
• actualizar el antivirus;
• cerrar los puertos de red atacados usando Firewall (139, 445);
• desactivar el servicio atacado y vulnerable del sistema operativo;
• prohibir la instalación y el inicio del nuevo software (archivos ejecutables);
• quitar los permisos de usuarios no necesarios (permisos de inicio e instalación del nuevo software);
• borrar los servicios no necesarios del sistema;
• prohibir acceso a la red Tor.