Un nou ransomware anomenat "Petya" va atacar diversos llocs web de grans companyies. En els mesos anteriors, el atac de WannaCry va causar caos en més de 300,000 ordinadors a través del món; Petya es creu que està connectat al mateix tipus d'eines de hacking que WannaCry i comparteix vectors de propagació similars.
Petya ja va prendre milers d'ordinadors com a ostatges, impactant companyies i les seves infraestructures que abasten des de Ucraïna fins als Estats Units i l'Índia. Això va afectar el aeroport internacional ucraïnès, a l'enviament multinacional, a firmes legals i de publicitat, i va portar al cessament dels sistemes de monitorització de radiació a les instal·lacions nuclears de Txernòbil, evidenciant el gran impacte global d'aquest ransomware sobre infraestructures crítiques i serveis essencials.
Abast i impacte global de Petya
Nombroses companyies a tot el món s'han vist afectades per aquest atac de ransomware que impacta equips amb sistemes Windows i que, habitualment, requereix un rescat en bitcoins per intentar recuperar l'accés. Els països més afectats van incloure Ucraïna, Rússia, Regne Unit i Índia, encara que també es van registrar incidents a Espanya i diverses regions d'Amèrica del Nord, Amèrica del Sud i Àsia.
Experts en seguretat van identificar variants relacionades amb Petya (també referides com Petrwrap), mentre que companyies com Kaspersky i altres proveïdors van identificar una variant anomenada No Petya, considerada per molts especialistes com un pseudo-ransomware del qual objectiu principal és causar mal i no necessàriament recaptar fons.
En l'àmbit corporatiu, Petya va afectar grans grups de publicitat, empreses de infraestructura, energia, farmacèutiques, així com oficines de govern i administracions públiques. El veritable cost no es limita al rescat: inclou pèrdua o robatori d'informació, interrupció perllongada d'operacions, dany reputacional i costos tècnics i legals. En nombrosos incidents, el sistema de pagament de rescats va quedar inutilitzat o no es va proporcionar cap clau de desxifrat, cosa que reforça la hipòtesi que en molts casos el propòsit era destruir dades i generar inestabilitat.
Resposta d'organismes internacionals i forces de llei
Europol no va poder proveir dades operacionals relacionades amb l'atac en les primeres fases; el seu portaveu tine Hollevoet va indicar que tractaven de "tenir una imatge completa de l'atac" treballant amb la indústria i els seus socis a les forces de seguretat. Petya “és una demostració de com els crims cibernètics poden evolucionar i créixer, i una vegada més, és un recordatori del negoci i de la importància que és la seguretat cibernètica,” va afirmar el director executiu de la Europol, Rob Wainwright.
A més d'Europol, equips de Resposta a Incidents de múltiples proveïdors (com Check Point, Cisco i altres) van detectar variants de Petya que s'expandien lateralment dins de xarxes corporatives. Molts informes coincideixen que l'atac va començar amb especial força a Ucraïna, i va ocasionar interrupcions massives en infraestructures crítiques abans d'estendre's a la resta d'Europa i altres continents.
Com funciona Petya i per què és tan destructiu
Petya és especialment nociu perquè, a diferència de ransomware que xifra arxius un a un, pot bloquejar la unitat de disc completa. Moltes variants xifren el Registre d'arrencada mestre (MBR) i sectors crítics del disc, i mostren un missatge que en simula una “reparació del sistema de fitxers” mentre que en realitat estan xifrant l'equip.
A diferència de WannaCry, l'atac de Petya no inclou un "interruptor de matança", segons Europol i anàlisi de la indústria, cosa que dificulta la seva desactivació una vegada que s'ha propagat. En alguns casos el codi maliciós espera al voltant d'una hora després de la infecció abans de reiniciar el sistema i mostrar l'avís de xifratge, temps durant el qual es pot continuar estenent per la xarxa.
El Equip de Resposta a Emergències Informàtiques dels Estats Units (US-CERT) i altres centres de resposta van començar a rebre nombrosos reports d'infeccions i van observar que aquesta variant xifra els registres de Windows i explota vulnerabilitats al servei de missatges SMB. Aquests errors permeten que sistemes sense pegats actualitzats resultin compromesos fins i tot si disposen de proteccions bàsiques.
El fitxer identificat com RAMSON_PETYA.SMA inclou diferents variants i vectors d'infecció, alguns dels quals també es van usar al atac de WannaCry. Les tècniques de propagació combinen l'exploit SMBv1 “EternalBlue”, eines d'administració remota com psexec per a moviment lateral, i campanyes de Phishing amb adjunts o enllaços maliciosos.
Estratègies de prevenció: què cal fer abans, durant i després d'un atac
La millor protecció davant de Petya és una estratègia preventiva integral. Els especialistes recomanen mesures en tres fases: abans de l'atac, la infecció i l'incident, combinant controls tècnics amb gestió del factor humà.
Abans de latac: mantenir còpies de seguretat periòdiques i verificades mitjançant simulacres de restauració; aplicar pegats i actualitzacions de sistemes operatius i aplicacions; deshabilitar protocols insegurs com SMBv1 quan sigui possible; desplegar solucions de prevenció d'amenaces i fer formació en ciberseguretat per a usuaris.
Durant l'atac: desconnectar els equips afectats de la xarxa per contenir la propagació, notificar les autoritats i els equips de resposta, dimensionar l'abast mitjançant intel·ligència d'amenaces i coordinar la resposta amb suport legal i tècnic especialitzat.
Després de la contenció: fer-ne una avaluació de seguretat profunda, netejar portes del darrere i artefactes persistents, realitzar una anàlisi forense de la cadena d'esdeveniments, i reforçar la consciència dels usuaris. Implementar arquitectures de seguretat que prioritzin la prevenció i la segmentació de xarxes pot reduir significativament l'impacte de futurs incidents.
El cas de Petya i les seves variants demostra que el ransomware ha passat de ser un problema marginal a una amenaça estratègica per a empreses, governs i ciutadans. Aprendre d'aquests atacs i aplicar mesures proactives és l'única manera de mitigar l'abast de brots futurs.