El INCIBE alerta sobre el virus que ha infectado a Telefónica

«Se está produciendo una infección masiva de equipos tanto personales como en organizaciones, por un malware del tipo ransomware que tras instalarse en el equipo, bloquea el acceso a los ficheros del ordenador afectado pidiendo un rescate», ha asegurado el Instituto Nacional de Ciberseguridad.

El virus «podría infectar al resto de ordenadores vulnerables de la red», ha asegurado el organismo, que ha dado la alerta «crítica», la mayor en la escala. Ante esta amenaza, el INCIBE recomienda aplicar los últimos parches de seguridad que afectan a numerosos programas como Adobe Flash Player; Internet Explorer 10 y 11;
Microsoft .NET Framework 2.0 Service Pack 2; Microsoft .NET Framework 3.5, 3.5.1, 4.5.2, 4.6, 4.6.1, 4.6.2, 4.6/4.6.1; Microsoft Edge; Microsoft Office 2016 paraMac
Windows 10 para 32-bit Systems; Windows 10 para x64-based Systems; Windows 10 versión 1511 para sistemas 32-bit; Windows 10 versión 1511 para sistemas x64
Windows 10 versión 1607 para sistemas 32-bit; Windows 10 versión 1607 para sistemas x64-based; Windows 7 para sistemas 32-bit Service Pack 1; Windows 7 para sistemas x64 Service Pack 1; Windows 8.1 para sistemas 32-bit; Windows 8.1 para sistemas x64; Windows RT 8.1; Windows Server 2008 para sistemas 32-bit Service Pack 2; Windows Server 2008 para sistemas 32-bit Service Pack 2 (Server Core installation); Windows Server 2008 para sistemas Itanium Systems Service Pack 2
Windows Server 2008 para sistemas x64 Service Pack 2; Windows Server 2008 para sistemas x64 Service Pack 2 (Server Core installation); Windows Server 2008 R2 para sistemas Itanium Service Pack 1; Windows Server 2008 R2 para sistemas x64 Service Pack 1; Windows Server 2008 R2 para sistemas x64 Service Pack 1 (Server Core installation); Windows Server 2012; Windows Server 2012 (Server Core installation); Windows Server 2012 R2; Windows Server 2012 R2 (Server Core installation); Windows Server 2016; y Windows Server 2016 (Server Core installation).

Adobe Flash está afectado por 7 vulnerabilidades de corrupción de memoria que podrían resultar en la ejecución remota de código. Windows está afectado por estas vulnerabilidades, ya que Flash Player está integrado en Internet Explorer y Edge en Windows 8 y 10. Los identificadores reservados de las vulnerabilidades son CVE-2017-3068, CVE-2017-3069, CVE-2017-3070, CVE-2017-3071, CVE-2017-3072, CVE-2017-3073, CVE-2017-3074.

Internet Explorer/Edge está afectado por múltiples vulnerabilidades de corrupción de memoria cuya explotación permitiría la ejecución remota de código al navegar por páginas web especialmente diseñadas con los permisos de usuario en cuestión. Los identificadores reservados de las vulnerabilidades son CVE-2017-0221, CVE-2017-0222, CVE-2017-0224, CVE-2017-0227, CVE-2017-0228, CVE-2017-0229, CVE-2017-0235, CVE-2017-0236, CVE-2017-0240, CVE-2017-0266.

Windows SMB afectado por varias vulnerabilidades en Microsoft Server Message Block (SMB) 1.0 que podrían permitir a un atacante no autenticado ejecutar código arbitrario en el host de destino a través de paquetes especiales enviados servidor SMBv1 vulnerable. Los identificadores reservados de las vulnerabilidades son CVE-2017-0272, CVE-2017-0277, CVE-2017-0278, CVE-2017-0279.

Microsoft Malware Protection Engine esta afectado por una vulnerabilidad que permite la ejecución remota de código. Esta vulnerabilidad fue publicada fuera de ciclo 48 horas antes debido a la criticidad e la misma. Para mas información vea el correspondiente aviso Ejecución remota de código en Microsoft Malware Protection Engine.

El método de infección y propagación se produce aprovechando una vulnerabilidad del sistema operativo Windows. Se recomienda aplicar los últimos parches de seguridad publicados. Probablemente el malware que ha infectado al “paciente 0”, para el caso de las organizaciones, ha llegado a través de un adjunto, una descarga aprovechando una vulnerabilidad de un ordenador. La versión del malware según los análisis es un WanaCrypt0r, una variante de WCry/WannaCry.

¿Cómo recuperar los datos cifrados?

El INCIBE a través del CERT de Seguridad e Industria (CERTSI) dispone de un servicio gratuito de análisis y descifrado de ficheros afectados por ciertos tipos de ransomware denominado Servicio Antiransomware. Para poder identificar el tipo de virus y verificar si los datos son recuperables, sigue los pasos del siguiente artículo para ponerte en contacto: Nuevo Servicio Antiransomware, recupera el control de tu información.

Debido a que la prestación de este servicio de análisis y descifrado se realiza en colaboración con una entidad externa a INCIBE y a pesar de tener acuerdo de confidencialidad con la misma, es recomendable que los ficheros que nos envíe no contengan información privada o confidencial, ya que serán compartidos con la citada entidad para su análisis.

Por último, si no lo has hecho ya, puedes poner la correspondiente denuncia de lo ocurrido ante las Fuerzas y Cuerpos de Seguridad del Estado.

¿Pagar sirve para recuperar mis archivos?

Se trata de ciberdelincuentes y no existe garantía alguna de recuperar los datos una vez efectuado el pago.

¿Cómo desinfectar el ordenador?

Para eliminar la infección, en principio, se podría utilizar cualquier antivirus o antivirus auto-arrancable actualizado (https://www.incibe.es/protege-tu-empresa/herramientas). Dependiendo de la importancia de los datos perdidos es recomendable realizar un clonado previo de los discos (copia de la información del disco duro en otro soporte). El clonado es importante ya que si se quiere interponer una denuncia todos los archivos serán necesarios para la investigación, además es muy probable que exista alguna herramienta capaz de descifrar los archivos en un futuro.
Si dispones de una licencia de algún antivirus, también puedes contactar con su departamento de soporte técnico para que te indiquen la manera de proceder ya que muy probablemente tengan más información de otros usuarios afectados.

Para este caso, recuerda mantener el sistema actualizado a las últimas versiones y con los parches de seguridad más recientes.

Evita ser víctima de fraudes de tipo de delito siguiendo nuestras recomendaciones

No abras adjuntos en correos de usuarios desconocidos o que no hayas solicitado, elimínalos directamente.
No contestes en ningún caso a este tipo de correos.
Precaución al seguir enlaces en correos, mensajería instantánea y redes sociales, aunque sean de contactos conocidos.
Precaución al descargar ficheros adjuntos de correos aunque sean de contactos conocidos.