Recursos afectats:

Microsoft Windows Vestisca SP2

Windows Server 2008 SP2 and R2 SP1

Windows 7

Windows 8.1

Windows RT 8.1

Windows Server 2012 and R2

Windows 10

Windows Server 2016

Descripció: 

S'està produint una infecció massiva d'equips tant personals com en organitzacions, per un malware del tipus ransomware que després d'instal·lar-se en l'equip, bloqueja l'accés als fitxers de l'ordinador afectat i com és típic en aquest tipus de virus, sol·licita un rescat per a permetre l'accés. A més en aquest cas, podria infectar a la resta d'ordinadors vulnerables de la xarxa a la qual pertany.

Solució: 

Com recuperar les dades xifrades?

L'Institut Nacional de Ciberseguridad d'Espanya (INCIBE) a través del CERT de Seguretat i Indústria (CERTSI) disposa d'un servei gratuït d'anàlisi i desxifrat de fitxers afectats per certs tipus de ransomware denominat Servei Antiransomware.

Per a poder identificar el tipus de virus i verificar si les dades són recuperables, segueix els passos del següent article per a posar-te en contacte: Nou Servei Antiransomware, recupera el control de la teua informació.

A causa que la prestació d'aquest servei d'anàlisi i desxifrat es realitza en col·laboració amb una entitat externa a INCIBE i malgrat tenir acord de confidencialitat amb la mateixa, és recomanable que els fitxers que ens envie no continguen informació privada o confidencial, ja que seran compartits amb la citada entitat per a la seua anàlisi.

Finalment, si no ho has fet ja, pots posar la corresponent denúncia de l'ocorregut davant les Forces i Cossos de Seguretat de l'Estat.

Pagar serveix per a recuperar els meus arxius?

Es tracta de ciberdelinquents i no existeix garantia alguna de recuperar les dades una vegada efectuat el pagament.

Com desinfectar l'ordinador?

Per a eliminar la infecció, en principi, es podria utilitzar qualsevol antivirus o antivirus acte-arrancable actualitzat (https://www.incibe.es/protege-tu-empresa/herramientas). Depenent de la importància de les dades perdudes és recomanable realitzar un clonat previ dels discos (còpia de la informació del disc dur en un altre suport). El clonat és important ja que si es vol interposar una denúncia tots els arxius seran necessaris per a la recerca, a més és molt probable que existisca alguna eina capaç de desxifrar els arxius en un futur.

Recorda mantenir el sistema antivirus actualitzat a les últimes versions i amb els pegats de seguretat més recents.

Evita ser víctima de fraus de tipus de delicte seguint les nostres recomanacions:

• No òbrigues adjunts en correus d'usuaris desconeguts o que no hages sol·licitat, elimina'ls directament.
• No contestes en cap cas a aquest tipus de correus.
• Precaució en seguir enllaços en correus, missatgeria instantània i xarxes socials, encara que siguen de contactes coneguts.
• Precaució en descarregar fitxers adjunts de correus encara que siguen de contactes coneguts.

Detall: 

El mètode d'infecció i propagació es produeix aprofitant una vulnerabilitat del sistema operatiu Windows para la que ja existeix un pegat:

https://technet.microsoft.com/en-us/library/security/ms17-010.aspx

Probablement el malware que ha infectat a les organitzacions, ha arribat a través d'un adjunt, una descàrrega aprofitant una vulnerabilitat d'un ordinador. La versió del malware segons les anàlisis és un HydraCrypter que pertany a una variant de les versions WannaCry.
Després d'infectar i xifrar els arxius de l'equip afectat, com és habitual, el ransomware sol·licita un import per a desbloquejar l'equip a través d'una finestra d'aquest tipus: