El ataque con ransomware a Telefónica se revela como un fenómeno global

666777 escribió:

banderas20 escribió:Vaya tela. Afectando servicios básicos de salud. Menudos HDP

Lo de empresas, lo puedo entender, pero a servicios basicos y sobre todo salud... No lo entiendo.
Por mi que los pillen, les den con un desfibrilador a todos para provocarles parada y los dejen para que llamen con un telefono sin bateria...

Lo que no acabáis de entender algunos es QUE ESTO NO ES UN NINGÚN ATAQUE.

La gente en esas organizaciones/hospitales, lo que sea, ha ejecutado un virus que ha aprovechado, a su vez, una vulnerabilidad SMB. Repito. NO HAY NINGÚN ATAQUE.

Y, si no, corregidme.

Es lo que tienen este tipo de virus, que no tienen un objetivo, pero como piques, pues..., ya se ve.

Ahora, me gustaría saber qué contenía el correo para que todo dios esté picando

Y como han dicho theelf y otros. Buenas políticas de seguridad y backups, y "arreglado". Más bien paliado.

De guardia en el hospital sin poder hacer uso de todos aquellos PC que funcionan bajo XP (la gran mayoría), desde las 16h de esta tarde.

El servicio de atención informática del CAIB está desbordado sin solución aparente a corto plazo.

Ahora como le explico yo a un cirujano que no puedo darle salida a un componente hematico, en un quirófano, por esto (que se puede hacer como antiguamente a papel y bolígrafo).

JohnH escribió:

666777 escribió:

banderas20 escribió:Vaya tela. Afectando servicios básicos de salud. Menudos HDP

Lo de empresas, lo puedo entender, pero a servicios basicos y sobre todo salud... No lo entiendo.
Por mi que los pillen, les den con un desfibrilador a todos para provocarles parada y los dejen para que llamen con un telefono sin bateria...

Lo que no acabáis de entender algunos es QUE ESTO NO ES UN NINGÚN ATAQUE.

La gente en esas organizaciones/hospitales, lo que sea, ha ejecutado un virus que ha aprovechado, a su vez, una vulnerabilidad SMB. Repito. NO HAY NINGÚN ATAQUE.

Y, si no, corregidme.

Es lo que tienen este tipo de virus, que no tienen un objetivo, pero como piques, pues..., ya se ve.

Ahora, me gustaría saber qué contenía el correo para que todo dios esté picando

Y como han dicho theelf y otros. Buenas políticas de seguridad y backups, y "arreglado". Más bien paliado.

Te puntualizo con un par de enlaces, ya que todavía se desconoce si ha sido un zarpas o inyeccion de codigo:

https://www.ccn-cert.cni.es/seguridad-a ... nolas.html

https://technet.microsoft.com/en-us/lib ... 7-010.aspx

Según parece, se ejecuta el código aprovechando una vulnerabilidad que si has actualizado el SO deberías de estar a salvo... al parecer acceden a través del puerto 139 y 445 y se puede ejecutar código remoto...

A mi ya me sucedió hace tiempo en un cliente, que no se ejecutó ni recibió nada y a través de un puerto que este tenía abierto a un servidor para hacerle RDP (del rango 52000) le ejecutaron un criptolocker, así que no es tan extraño...

Lo que no entiendo es como han podido acceder a esos puertos en tantas empresas importantes como Telefónica... esperaremos a que digan que ha sido un zarpas, porque es lo que me gustaría escuchar...

Salu2

@El_MuLLeR
Al contrario,cuanto más antiguo sea el sistema operativo más posibilidades tienes de evadir el ataque.

falete1984 escribió:De guardia en el hospital sin poder hacer uso de todos aquellos PC que funcionan bajo XP (la gran mayoría), desde las 16h de esta tarde.

El servicio de atención informática del CAIB está desbordado sin solución aparente a corto plazo.

Ahora como le explico yo a un cirujano que no puedo darle salida a un componente hematico, en un quirófano, por esto (que se puede hacer como antiguamente a papel y bolígrafo).

PUES SACAD PAPEL Y LAPIZ CACHO VAGOS, y ya luego lo pasáis al PC.

@JohnH en la actualización de la noticia dicen que sí es un ataque global, y causalmente no afecta a china :v

kai_dranzer20 escribió:@JohnH en la actualización de la noticia dicen que sí es un ataque global, y causalmente no afecta a china :v

Eso no es lo que se dice. Esto es un copia/pega de 20minutos:

Pues estamos apañados

Yo trabajo en everis y a la 1 nos han dicho que apaguemos los pcs y nos vayamos a casa. (yo estaba teletrabajando en casa asi que nada, la semana que viene tenia vacaciones asi que vacaciones unas horas adelantadas xD)

ThE_mIk escribió:

JohnH escribió:

666777 escribió:
Lo de empresas, lo puedo entender, pero a servicios basicos y sobre todo salud... No lo entiendo.
Por mi que los pillen, les den con un desfibrilador a todos para provocarles parada y los dejen para que llamen con un telefono sin bateria...

Lo que no acabáis de entender algunos es QUE ESTO NO ES UN NINGÚN ATAQUE.

La gente en esas organizaciones/hospitales, lo que sea, ha ejecutado un virus que ha aprovechado, a su vez, una vulnerabilidad SMB. Repito. NO HAY NINGÚN ATAQUE.

Y, si no, corregidme.

Es lo que tienen este tipo de virus, que no tienen un objetivo, pero como piques, pues..., ya se ve.

Ahora, me gustaría saber qué contenía el correo para que todo dios esté picando

Y como han dicho theelf y otros. Buenas políticas de seguridad y backups, y "arreglado". Más bien paliado.

Te puntualizo con un par de enlaces, ya que todavía se desconoce si ha sido un zarpas o inyeccion de codigo:

https://www.ccn-cert.cni.es/seguridad-a ... nolas.html

https://technet.microsoft.com/en-us/lib ... 7-010.aspx

Según parece, se ejecuta el código aprovechando una vulnerabilidad que si has actualizado el SO deberías de estar a salvo... al parecer acceden a través del puerto 139 y 445 y se puede ejecutar código remoto...

A mi ya me sucedió hace tiempo en un cliente, que no se ejecutó ni recibió nada y a través de un puerto que este tenía abierto a un servidor para hacerle RDP (del rango 52000) le ejecutaron un criptolocker, así que no es tan extraño...

Lo que no entiendo es como han podido acceder a esos puertos en tantas empresas importantes como Telefónica... esperaremos a que digan que ha sido un zarpas, porque es lo que me gustaría escuchar...

Salu2

Por eso yo decía también, que me corrijáis si me equivoco.

Porque, sinceramente, yo tampoco creo que el servicio SMB este de puertas abiertas al campo (a Internet, se entiende) de par en par. Y menos en estas mega organizaciones, bien sea empresas, sanitarias, o lo que toque.

Es que me cuesta creerlo. Si ha sido por ejecución remota de código, ha tenido que haber un vector adicional. ¿Flash? (Las ESR de Firefox todavía lo soportan y se suelen usar empresas o entornos de especial estabilidad).

Sea como sea, lo iremos viendo en los próximos días.

Yo pregunto... no se puede saber los titulares del número de cuenta famoso? ir a por ellos y aquí no pague ni cristo.

DarkMessiah escribió:Y que le hagan eso a Telefónica teniendo a un Hacker como Chema Alonso....

Menudo cantamañanas ...

Yo no veo ataque, lo que veo es una infección y la consiguiente auto replicación de la misma.

Después de un pseudo ataque, siempre llegan los consultores de las grandes firmas a venderte el software milagroso de turno o el tipico real time data packet analyzer

Auditoras de seguridad, raspando contratos nuevos en 3.2.1...

Saludos

PD: Mas de 20 años de experiencia en sector.

P2501 escribió:

DarkMessiah escribió:Y que le hagan eso a Telefónica teniendo a un Hacker como Chema Alonso....

Menudo cantamañanas ...

Cuidado, lleva un gorro de lana, es Hacker.

Es posible que este sea el mayor ataque cibernetico que se ha hecho hasta el dia de hoy? porque la verdad esque no recuerdo ninguno que afectase a tantas empresas y de esta forma tan seria.

PD: también hay que decir que soy bastante joven, asique el "no recuerdo" es relativo jaja

HDP!!!

El valor del BTC ha bajado considerablemente, será debido a esto?

@latruchasuici que fácil es criticar, cuando no eres responsable de la seguridad de una persona.

Lo que implica sacar de una cámara de cientos de componentes separados y clasificados, sin asignación informática a persona física, es que cuando se restaure el sistema:
- El médico responsable asigne la petición informatizada al paciente.
- El componente en sí, se pueda recuperar del área quirúrgica para el conteo.
- Enviar un fax a Valladolid (esta la sede el programa que gestiona esto) para que la persona encargada pique datos y actualice registros.

Si el médico se salta lo primero, el jefe de servicio pedirá cuentas de porque falta un hemoderivado. Por ejemplo un complejo protombínico que son 600€/u y una persona de 80kg precisa 2u, dime como justifico 1200€ sin jugarme una falta (el 75% de mi nómina).

Este es el problema de dejarlo todo en manos de la informática o de que las empresas no pongan suficiente partida presupuestaria en actualizar los SO de sus equipos y su seguridad.

falete1984 escribió:@latruchasuici que fácil es criticar, cuando no eres responsable de la seguridad de una persona.

Lo que implica sacar de una cámara de cientos de componentes separados y clasificados, sin asignación informática a persona física, es que cuando se restaure el sistema:
- El médico responsable asigne la petición informatizada al paciente.
- El componente en sí, se pueda recuperar del área quirúrgica para el conteo.
- Enviar un fax a Valladolid (esta la sede el programa que gestiona esto) para que la persona encargada pique datos y actualice registros.

Si el médico se salta lo primero, el jefe de servicio pedirá cuentas de porque falta un hemoderivado. Por ejemplo un complejo protombínico que son 600€/u y una persona de 80kg precisa 2u, dime como justifico 1200€ sin jugarme una falta (el 75% de mi nómina).

Este es el problema de dejarlo todo en manos de la informática o de que las empresas no pongan suficiente partida presupuestaria en actualizar los SO de sus equipos y su seguridad.

LAS VIDAS HUMANAS ESTÁN POR ENCIMA DE LA BUROCRACÍA

No hace mucho tuve una discusión con un director general de una empresa que decía que la seguridad no vale para nada, que todos viven del cuento del puede pasar y del la información puede estar comprometida, pero el negocio es lo que da dinero y la seguridad siempre está dificultando el negocio. Hoy seguro que alguien ha recibido una lección, y probablemente más de uno.

Empresas del Ibex-35 empezarán a preocuparse seriamente por la seguridad y a dejar de pasársela por el forro.

Esto me recuerda al capi de The Good Wife en el que les secuestran la red y les piden 50.000$ en bitcoins. De hecho, la pantalla que sale se parece mucho a la del capi, con esos tonos en rojo

Alin82 escribió:Que se jodan.

Lo de ataque contra la salud lo pongo en duda, me fio 0 de las noticias oficiales que nos llegan. Puede ser otro recurso para alienar a la población contra los hackers, como diciendo.. "no os olvidéis de quiénes son los malos en el tablero". Y si no, quién les manda usa Windows?

Típico mensaje de alguien que no tiene ni luces ni idea de lo que habla. He trabajado en el sector de la salud y están afectados y no te imaginas de que forma, poca gracia te haría si tuvieras que ir al hospital y hacerte una prueba, que no te pudieran diagnosticar y que tu vida dependiera de ello.

Saludos

cmhacks escribió:Yo no veo ataque, lo que veo es una infección y la consiguiente auto replicación de la misma.

Después de un pseudo ataque, siempre llegan los consultores de las grandes firmas a venderte el software milagroso de turno o el tipico real time data packet analyzer

Auditoras de seguridad, raspando contratos nuevos en 3.2.1...

Saludos

PD: Mas de 20 años de experiencia en sector.

En mi empresa apuntan a eso, lo están analizando al detalle y dicen que es malware pero no esta claro como se propaga luego.

falete1984 escribió:De guardia en el hospital sin poder hacer uso de todos aquellos PC que funcionan bajo XP (la gran mayoría), desde las 16h de esta tarde.

El servicio de atención informática del CAIB está desbordado sin solución aparente a corto plazo.

Ahora como le explico yo a un cirujano que no puedo darle salida a un componente hematico, en un quirófano, por esto (que se puede hacer como antiguamente a papel y bolígrafo).

Pues ya os pudedn actualizar a algo más moderno. XP ya no recibe parches de ningún tipo.... salvo que M$ decida que es una vulnerabilidad lo suficientemente grave.

Los de MS son unos cantamañanas... este tipo de agujeros tan graves, deberían ser actualizados obligatoriamente... O actualizas o no usas el equipo. Punto. Porque vale que saquen los parches, pero es que hay mucho gañán en la cadena de posibles fallos.... usuario que abre cualquier mierda que le llega, administradores que no tienen los sistemas actualizados... cantamañanas encorbatados como el que dice el compañero de arriba que ven inutil cualquier gasto en seguridad....

No viene mal un caos brutal de estos cada cierto tiempo para enseñar una lección.

@Gu1rao

Porque es un ransom, pero además un gusano que busca otras máquinas en la red. Se propaga a través de un exploit en el SMB de microsoft.

PussyLover escribió:[

DarkMessiah escribió:Y que le hagan eso a Telefónica teniendo a un Hacker como Chema Alonso....

Chema Alonso no es responsable de la seguridad de Telefónica ni mucho menos, habrá 40 por encima de él, eso tenlo seguro, no todos son inútiles los que trabajan ahí.

No si ya lo sé. Conozco a Chema personalmente de hace años, antes de que ocupase ese puesto en telefónica etc etc pero por eso lo digo, que me parece de coña que les pase algo así teniendo a gente como él y otros por ahí danzando. Aunque seguro que ya ha tomado medidas

DarkMessiah escribió:

PussyLover escribió:[

DarkMessiah escribió:Y que le hagan eso a Telefónica teniendo a un Hacker como Chema Alonso....

Chema Alonso no es responsable de la seguridad de Telefónica ni mucho menos, habrá 40 por encima de él, eso tenlo seguro, no todos son inútiles los que trabajan ahí.

No si ya lo sé. Conozco a Chema personalmente de hace años, antes de que ocupase ese puesto en telefónica etc etc pero por eso lo digo, que me parece de coña que les pase algo así teniendo a gente como él y otros por ahí danzando. Aunque seguro que ya ha tomado medidas

No usar Windows fue mi medida hace unos años. Seguramente él también lo haga así.

Esto va a traer cola...

Es un ataque claramente, ya que piden PAGO, no una propagacion a la vieja usanza sin mas objetivo que el joder y el decir lo hicimos nosotros, aqui hay una cuenta para pagar y cuantos mas "clientes" tengas, mas posibilidades de ganar dinero tienes.

Lo siguiente, ¿quien lo hizo? realmente no creo que se sepa a corto medio plazo, seguramente algun cabeza de turco en un garaje de un pueblo remoto de china pague el pato para que las grandes empresas afectadas puedan decir que lo "capturaron", pero quien esta detras de todo esto es la NSA y sus "grupos de invenstigacion" para controlar cualquier dispositivo electronico al precio que sea y como sea, si leeis un poco mas la historia, que ya viene de hace algunas semanas (esta en los links de la noticia) vereis que todo encaja en fechas.

1.- Un grupo de la NSA descubre vulnerabilidades presentes en casi todos los sistemas windows
2.- Crean software para explotarlas
3.- se filtra la informacion y las herramientas
4.- se hacen publicas
5.- microsoft dice que las vulnerabilidades estan corregidas desde hace meses y que no hay que preocuparse
6.- las herramientas publicadas caen en manos de gente que las analiza y aplica los fallos hasta entonces no publicados como un agujero para meter el ranson
7.- liberan el ranson y este hace lo que sabe, propagarse
8.- el empleado de telefonica aburrido ejecuta un adjunto o un fichero que le pasaron y ya esta metido en ajo.
9.- el resto es conocido ya por todos

ahora las preguntas son varias:

1.- Empresas de seguridad, antivirus, administradores de sistemas, ¿que tendran que decir al respecto de sus sistemas de filtrado y deteccion de codigo malicioso?
2.- La seguridad sirve, hasta cierto punto, en realidad si no conoces el fallo no te puedes proteger contra el, es la pescadilla que se muerde la cola, el protocolo SMB lleva 20 años con nosotros, y es ahora cuando se hizo publico el agujero de seguridad, nadie conocia ese bug excepto la NSA, se le escapo el fuego y paso lo que paso, entonces ¿tiene sentido las millonadas que se gastan las empresas y la administracion en contratar todo tipo de seguridad para protegerse de no se sabe muy bien de que? No estaria mejor educar al usuario en las buenas practicas y en darle un conocimiento de lo que NO SE DEBE HACER? Ahora bien, en este caso, una vez "dentro" de la red, se autopropaga, logicamente sin que el usuario intervenga, ¿entonces de quien es la culpa?
Como un administrador de sistemas va a ser el responsable de esto, ¿es culpa de microsoft? es culpa de tener xp en vez de 10, es por no tener linux....

Siempre que pasa esto sale nuestro informatico conocedor de cualquier agujero de seguridad y sentencia cuaquier borricada que se le ocurre, no, esto se veia venir, se olia, la 3 guerra mundial ya lleva tiempo cociendose y no va a ser a tiros, va a ser cortando suministro electrico a 10.000 km de distancia desde una shell remota, o abriendo pantanos, o desviando fondos bancarios a cuentas en no se sabe donde....

Inversion en tecnologia, investigacion y en proteccion de la informacion, sino se hubiera filtrado el agujero y las herramientas creadas por quien todos sabemos... seguiriamos con nuestra vida como si nada.

¿De quien es la culpa?

En esta cuenta de twitter se autoproclaman los creadores del bicho, pero a saber.

https://twitter.com/0xspamtech

Info que se va conociendo

https://gist.github.com/rain-1/989428fa ... 6efbc0b168

@MuR3 De hecho Snowden en su cuenta de Twitter va por ese camino, criticando a la NSA y diciendo que si la NSA ha aprovechado una vulnerabilidad para hacer una herramienta, que ataca equipos no parcheados y algunos no se van a parchear (Snowden nombra XP), y que si un tercero ha aprovechado ese trabajo para hacer daño, ¿no debería ser la NSA como responsable quien hiciera un parche?.

adidi escribió:Típico mensaje de alguien que no tiene ni luces ni idea de lo que habla. He trabajado en el sector de la salud y están afectados y no te imaginas de que forma, poca gracia te haría si tuvieras que ir al hospital y hacerte una prueba, que no te pudieran diagnosticar y que tu vida dependiera de ello.

Saludos

Lo que me jodería es tener que depender directamente del establishment médico, sin más. Si no me queda más remedio, lo haría con resignación independientemente de cyberataques al sistema; lo que en una escala mucho más global, transmiten cierto aire de esperanza contra la hegemonía de las multinacionales y los estados. Los cuales querido ingenuo amigo, incluida la industria farmacéútica, matan o hacen un daño mucho mayor de una forma mucho más sutil y difícil de señalar como la que aquí nos venden de forma propagandística y fácil calado en el populacho, los mass media.

eRgAlle escribió:

P2501 escribió:

DarkMessiah escribió:Y que le hagan eso a Telefónica teniendo a un Hacker como Chema Alonso....

Menudo cantamañanas ...

Cuidado, lleva un gorro de lana, es Hacker.

Yo pregunto desde la ignorancia porque he intentado contactar con el 1002 pero llevan todo el día "ocupados" y no ha habido manera de hablar con esta gente, ahí va mi pregunta, el que me vaya mal internet y unas paginas las cargue bien, otras las carga casi sin imagenes o youtube me vaya fatal... ¿puede ser por la historia esta o no tiene nada que ver?, ¿sabéis algo?, gracias y un saludo.

En total SecureList señala que ha detectado 45.000 ataques del ransomware WannaCry en 74 países.

y como se supone que detectan que una PC se contagió si no se puede usar ?

@Parallax Snake no tiene que ver, te bloquea todo el PC y te aparece el mensaje de amenaza de que si no pagas te borran todos tus archivos, por lo que no se puede ni usar

No te preocupes, si no ves esta pantalla estás seguro, pero si te aparece no hay cura, apuesto que ni pagando se arregla

https://gist.github.com/rain-1/989428fa ... 6efbc0b168

Aqui podeis ver las direcciones de BTC para realizar los pagos, si las examinais veries que hay pagos de entre 0.15 y 0.18 BTC dependiendo de como cotice en ese momento lo que corresponde entre 250 y 300$, osea que se esta pagando por descifrar los equipos infectados, osea que hay animo de lucro por lo que es un ataque masivo para ganar pasta.

Lo demas son inventos, aqui hay dos elementos innegables. LA NSA y sus grupos de investigacion quieres encontraron y explotaron el bug y despues alguien lo filtro todo y el grupo que aplico ese bug y sus herramientas en ranson para ganar dinero, no hay mas. ¿Que toco a telefonica? Como podria ser otra empresa o cualquier sitio, no creo que fuera dirigido directamente a esta organizacion, es mas, posiblemente en el ambito gubernamental y de grandes empresas es donde menos dinero ganen, sistemas de copia diarias, equipos casi terminales.... no hay mucho por lo que pagar mas alla del transtorno momentaneo, pero si en pequeñas empresas donde no hay copia de nada y hay 2 o 3 equipos con el contaplus y toda la informacion importante... 300$??? y 1000 si quieren con tal de volver a tener todo como estaba....

Saludos.

@kai_dranzer20 Gracias por contestar pero me refería de que si influye el hecho de que a Movistar se la han liado pero bien para que a mi me vaya hoy como me ha ido bastante mal internet, de hecho esta tarde le costaba cosa mala cargar esta web y los videos de youtube se me paraban cada dos por tres, la barra de caché esa gris apenas estaba a 4 o 5 segundos por delante de la linea de reproducción cuando otras veces nada mas cargar cualquier video la barra de caché llega hasta la mitas de la duración de cualquier video y a los pocos segundos ya está completa, pero hoy no, inlcuso el videojuego BF1 iba fatal me salían perdida de paquetes, desconexiones con EA... una amargura, de ahí mi pregunta.

@Parallax Snake pues muy posiblemente afecte

@Parallax Snake

Lo que se ha infectado esta mañana/tarde son los ordenadores de administración de Telefónica. Las oficinas, vaya.

Esos ordenadores no tienen nada que ver con el funcionamiento de la red de Telefónica.

Si no contestan al 1002 es por que la gente está acojonada y les están llamando para pedir explicaciones. Además, se lee por alguna web que los sistemas de comerciales también han caído, así que también puede estar fallando el soporte técnico. Por eso también se satura.

Esto según lo que se lee por algunas webs. Pero lo que es la conexión en sí, no está afectada por lo que ocurre.

Si te va mal es pura casualidad.

JohnH escribió:@Parallax Snake

Lo que se ha infectado esta mañana/tarde son los ordenadores de administración de Telefónica. Las oficinas, vaya.

Esos ordenadores no tienen nada que ver con el funcionamiento de la red de Telefónica.

Si no contestan al 1002 es por que la gente está acojonada y les están llamando para pedir explicaciones. Además, se lee por alguna web que los sistemas de comerciales también han caído, así que también puede estar fallando el soporte técnico. Por eso también se satura.

Esto según lo que se lee por algunas webs. Pero lo que es la conexión en sí, no está afectada por lo que ocurre.

Si te va mal es pura casualidad.

Llevas razon en parte. Cierto que ha sido en la red de supervision de telefónica, nada que ver con la red nuria o red alejandra o servidores rima que es por donde todo el mundo navega pero el 1002 no lo coge no porque esten saturados sino porque las aplicaciones siguen sin funcionar correctamente. Búsquedas de datos que normalmente tardan segundos ahora llevan decenas de segundos. La cosa pinta mal hasta que se estabilice puede pasar varios dias.

amigos895 escribió:

Edy escribió: agarrate que vienen curvas, y mas ahora por como esta el valor del BITCOIN ...

¿Y qué más da el valor del bitcoin si no influye en nada? Da igual que el bitcoin esté en 100 euros que en 1700 o 3000 euros, piden 300 dólares en bitcoin como pago.

Entoces se nota que no sabes como opera esta gente por lo que veo. Dependiendo de la cantidad de informacion encriptada, piden una X cantidad de Bitcoins ... por consiguiente, SI importa mucho ...

PD: Para los que dicen que ni pagando se arregla ... os confirmo que SI se recuperan los datos. El proceso esta tan automatizado, que una vez realizas el pago, el propio enlace que genera de retorno del decrypt, acepta la clave de desencriptacion, y el proceso se ejecuta IGUAL que cuando se encriptan pero al contrario, dejando los datos tal cual estaban ... solo que en algunos casos, se debe realizar el proceso varias veces para hacerlo totalmente.

Esto lo he realizado ya varias veces a varios clientes.

Alin82 escribió:Que se jodan.

Lo de ataque contra la salud lo pongo en duda, me fio 0 de las noticias oficiales que nos llegan. Puede ser otro recurso para alienar a la población contra los hackers, como diciendo.. "no os olvidéis de quiénes son los malos en el tablero". Y si no, quién les manda usa Windows?

Y quien te dice a ti que usar otro S.O. te da seguridad?, jajajajaja, vaya tela, lo que hay que leer!

De hecho, Dr. Web dispone de servicio de desencriptado para variantes de este tipo de Ramson, y es preferible contactar con ellos antes que pagar a estos delincuentes.
https://antifraud.drweb.com/encryption_trojs/?lng=en

Alin82 escribió:

adidi escribió:Típico mensaje de alguien que no tiene ni luces ni idea de lo que habla. He trabajado en el sector de la salud y están afectados y no te imaginas de que forma, poca gracia te haría si tuvieras que ir al hospital y hacerte una prueba, que no te pudieran diagnosticar y que tu vida dependiera de ello.

Saludos

Lo que me jodería es tener que depender directamente del establishment médico, sin más. Si no me queda más remedio, lo haría con resignación independientemente de cyberataques al sistema; lo que en una escala mucho más global, transmiten cierto aire de esperanza contra la hegemonía de las multinacionales y los estados. Los cuales querido ingenuo amigo, incluida la industria farmacéútica, matan o hacen un daño mucho mayor de una forma mucho más sutil y difícil de señalar como la que aquí nos venden de forma propagandística y fácil calado en el populacho, los mass media.

Vamos que justificas el terrorismo,da igual los daños colaterales lo importante es joder el stablishment.

Anda que no cambiaria la opinion si necesitases que te atendiesen en el hospital...menudo egoista estas hecho.

Un saludo.

MuR3 escribió:Esto va a traer cola...

Es un ataque claramente, ya que piden PAGO, no una propagacion a la vieja usanza sin mas objetivo que el joder y el decir lo hicimos nosotros, aqui hay una cuenta para pagar y cuantos mas "clientes" tengas, mas posibilidades de ganar dinero tienes.

Lo siguiente, ¿quien lo hizo? realmente no creo que se sepa a corto medio plazo, seguramente algun cabeza de turco en un garaje de un pueblo remoto de china pague el pato para que las grandes empresas afectadas puedan decir que lo "capturaron", pero quien esta detras de todo esto es la NSA y sus "grupos de invenstigacion" para controlar cualquier dispositivo electronico al precio que sea y como sea, si leeis un poco mas la historia, que ya viene de hace algunas semanas (esta en los links de la noticia) vereis que todo encaja en fechas.

1.- Un grupo de la NSA descubre vulnerabilidades presentes en casi todos los sistemas windows
2.- Crean software para explotarlas
3.- se filtra la informacion y las herramientas
4.- se hacen publicas
5.- microsoft dice que las vulnerabilidades estan corregidas desde hace meses y que no hay que preocuparse
6.- las herramientas publicadas caen en manos de gente que las analiza y aplica los fallos hasta entonces no publicados como un agujero para meter el ranson
7.- liberan el ranson y este hace lo que sabe, propagarse
8.- el empleado de telefonica aburrido ejecuta un adjunto o un fichero que le pasaron y ya esta metido en ajo.
9.- el resto es conocido ya por todos

ahora las preguntas son varias:

1.- Empresas de seguridad, antivirus, administradores de sistemas, ¿que tendran que decir al respecto de sus sistemas de filtrado y deteccion de codigo malicioso?
2.- La seguridad sirve, hasta cierto punto, en realidad si no conoces el fallo no te puedes proteger contra el, es la pescadilla que se muerde la cola, el protocolo SMB lleva 20 años con nosotros, y es ahora cuando se hizo publico el agujero de seguridad, nadie conocia ese bug excepto la NSA, se le escapo el fuego y paso lo que paso, entonces ¿tiene sentido las millonadas que se gastan las empresas y la administracion en contratar todo tipo de seguridad para protegerse de no se sabe muy bien de que? No estaria mejor educar al usuario en las buenas practicas y en darle un conocimiento de lo que NO SE DEBE HACER? Ahora bien, en este caso, una vez "dentro" de la red, se autopropaga, logicamente sin que el usuario intervenga, ¿entonces de quien es la culpa?
Como un administrador de sistemas va a ser el responsable de esto, ¿es culpa de microsoft? es culpa de tener xp en vez de 10, es por no tener linux....

Siempre que pasa esto sale nuestro informatico conocedor de cualquier agujero de seguridad y sentencia cuaquier borricada que se le ocurre, no, esto se veia venir, se olia, la 3 guerra mundial ya lleva tiempo cociendose y no va a ser a tiros, va a ser cortando suministro electrico a 10.000 km de distancia desde una shell remota, o abriendo pantanos, o desviando fondos bancarios a cuentas en no se sabe donde....

Inversion en tecnologia, investigacion y en proteccion de la informacion, sino se hubiera filtrado el agujero y las herramientas creadas por quien todos sabemos... seguiriamos con nuestra vida como si nada.

¿De quien es la culpa?

No lo podías haber dicho mejor, despues sale una noticia de que espían y la gente ignorante diciendo que "a mi que me espien que no tengo nada que esconder" cuando el problema de fondo es mucho más oscuro, pues un dia igual te encuentras sin casa, sin dinero y sin vida, y todo gracias a los salvaguardias patrióticos, gracias E.E.U.U y su gran NSA, salvadores del mundo, ahora a ver a qué pringao le cargan el muerto.

Madre mia como se lia

Acabo de leer esto y no sé que tiene de real

http://internacional.elpais.com/interna ... rsoc=TW_CM

Según parece, el malware contactaba con un dominio “gwea.com”. Dos "expertos" compraron el dominio y ha terminado por desactivarse.

Skyner esta llegando y esta dando sus pasitos poco a poco

HeRo_DaRkNeSS escribió:Acabo de leer esto y no sé que tiene de real

http://internacional.elpais.com/interna ... rsoc=TW_CM

Según parece, el malware contactaba con un dominio “gwea.com”. Dos "expertos" compraron el dominio y ha terminado por desactivarse.

Es real

https://gist.github.com/rain-1/989428fa ... 6efbc0b168

Kill switch: If the website http://www.iuqerfsodp9ifjaposdfjhgosuri ... ergwea.com is up the virus exits instead of infecting the host. (source: malwarebytes). This domain has been sinkholed, stopping the spread of the worm.

¿Cuánto lleva ya? ¿Unos 6500 dólares no?

Una vez tuve un ataque de ransomware en mi empresa. Sin duda, la forma de actuar es la misma, un correo electrónico que suele parecer real, ya suelen ir sin adjunto, pero apuntando mediante link a una web externa con el virus. "Su factura de Endesa de 245€ link para descargarla". O por ejemplo, un Nombre muy común, tipo Antonio González, le envia la factura por dropbox, y un link tipo "dropboxx.es/adkjasdlk", apuntando a la mierda. Suelen ser bastante directos, y da bastante veracidad porque muchos estan esperando una factura de cualquier cosa, o un consumo elevado en invierno, asusta y lo abres etc...

Es muy peligroso, y además de un problema de seguridad externo intervienen muchos fallos internos, propios y ajenos:

- El servidor de correo contratado no lo filtra. He comprobado que a todos los usuarios les llega 1 vez al día el mismo correo durante 3-4 días.
- El antivirus actualizado de los PC, no lo detecta al ejecutarse. Supongo que son versiones demasiado nuevas de virus.
- Chrome, ie, firefox no detecta nada al entrar al link, cuando sabemos que cuando una web es potencialmente peligrosa, avisa.
- Incluso después de ejecutarlo en la maquina local, los usuarios no se percatan de nada. (aquí es donde no me sabe explicar que pasó). Suelen además, intentar "darle" 3 o 4 veces más.

El mayor y peor problema de todo no es lo que infecta en la propia máquina local (que tambien), sino que esta mierda accede a todo el sistema de red al que tenga acceso el usuario que ha intervenido. La red local de una empresa, por dominio o por grupo de trabajo tiene una intranet, SMB por lo general, con una zona, importante, con permisos para casi todo. Es decir, el virus se propaga hasta donde puede por la red, encripando todos los archivos que son documentos, fotos, videos, etc, EXCEPTO los archivos de sistema que hacen que el equipo funcione.

La clave está en que una vez ejecutado, actúa de forma silenciosa en segundo plano, encriptando uno por uno todo lo que encuentra a su paso, de manera recursiva, hasta que acaba. Puede tirarse horas y horas para encriptar una carpeta grande de una red compartida y es por eso que es importantísimo apagar cuanto antes todos los ordenadores al detectar un sólo archivo encriptado. (una archivo tipo "libro.xls" la convierte en libro.xdefrejosisidoisjdjspayforme" o similar, osea que se detecta rápido.

Lo de pagar, tengo clarísimo que no vale para nada, e incluso creo que es hasta perjudicial si consiguiera desencriptarse todo. Estaríamos marcados en rojo como empresa pagadora para estos HDP, siendo el siguiente objetivo numero 1 para la siguiente. Backup de la red y a lamentar lo que hubiera en el equipo local, no hay más.

pericoloco2000 escribió:Lo de pagar, tengo clarísimo que no vale para nada, e incluso creo que es hasta perjudicial si consiguiera desencriptarse todo. Estaríamos marcados en rojo como empresa pagadora para estos HDP, siendo el siguiente objetivo numero 1 para la siguiente.

Pues no lo tengas tan claro, yo pagué, recibí el desencriptador y fin del problema. Hasta la fecha estamos limpios y sin nuevos sustos

En Hispasec ya han publicado datos de como actua el virus en cuestión:
http://unaaldia.hispasec.com/2017/05/un ... anias.html

pericoloco2000 escribió:Es muy peligroso, y además de un problema de seguridad externo intervienen muchos fallos internos, propios y ajenos:

- El servidor de correo contratado no lo filtra. He comprobado que a todos los usuarios les llega 1 vez al día el mismo correo durante 3-4 días.
- El antivirus actualizado de los PC, no lo detecta al ejecutarse. Supongo que son versiones demasiado nuevas de virus.
- Chrome, ie, firefox no detecta nada al entrar al link, cuando sabemos que cuando una web es potencialmente peligrosa, avisa.
- Incluso después de ejecutarlo en la maquina local, los usuarios no se percatan de nada. (aquí es donde no me sabe explicar que pasó). Suelen además, intentar "darle" 3 o 4 veces más.

El problema de los virus actuales no está en que sean muy nuevos, en la actualidad por lo que nos enseñaron hace poco solo existen 26 formas reales de comprometer una máquina. Los antivirus mayormente conocidos son escáneres que lo que hacen es analizar el archivo en busca de cadenas o trozos de código malicioso. El problema viene cuando esete código mismo viene ofsucado varias veces, en escáner del antivirus no sirve de nada. Por otro lado como bien has mencionado a veces llegan simples enlaces con una URL así que el antispam de tu proveedor hasta que no detecta un número significativo de reportes o que acceden a enlaces maliciosos no lo meten en la lista negra. Al acceder a esa URL no tiene porque descargar nada, simplemente el kit de vulnerabilidades que hay detrás ejecuta algún javascript o lenguaje que utilice analizando la máquina en busca de vulnerabilidades no parcheadas (Internet explorer, Chrome, Adobe Reader, Adoble Flash) y entonces ejecuta la primera que encuentra inutilizando en menos de 30 segundos la máquina. Ahí el antivirus no sirve de nada ya que no ha descargado ningún fichero, simplemente ha ejecutado un código en memoria que ha modificado registro de Windows o lo que necesite por tener exceso de privilegios.

https://youtu.be/uD12Bh9RuwU