En general cualquier ransomware puede cifrar cualquier cosa a la que tenga acceso el usuario infectado, al igual que cualquier otro malware puede escribir en cualquier lugar utilizando los permisos de la cuenta que lo ejecuta. Eso no significa que se vuelva activo para otros usuarios, pero puede afectar todos los recursos compartidos a los que el usuario tiene acceso.
Contramedidas:
-
Prevenga con protección antivirus y cortafuegos, como de costumbre.
-
Obligue a todos los clientes a instalar actualizaciones periódicamente.
-
Las copias de seguridad son la forma más poderosa de manejar todo el ransomware después de la infección. Eventualmente, algunos de sus usuarios tendrán uno que aún no fue reconocido por su protección antivirus. Tenga una copia de seguridad a la que sus usuarios no tengan acceso de escritura. De lo contrario, las copias de seguridad son inútiles, porque el ransomware también tiene el mismo acceso para escribir sobre las copias de seguridad.
Una copia de seguridad fuera de línea es la forma más segura de lograr esto, pero puede no ser muy práctica, ya que debe hacer más manualmente y recuerde hacerlo con regularidad.
Por lo general, tengo una máquina independiente que usa credenciales separadas para acceder a las ubicaciones de las que se realizará la copia de seguridad. Allí, tengo una copia de seguridad incremental que puede almacenar cualquier cambio durante semanas o meses. Es bueno contra ransomware y errores de usuario.
Quiero Llorar está utilizando una vulnerabilidad en la implementación de Windows de SMB:el protocolo en sí no es vulnerable. De un artículo de noticias sobre MalwareLess:
Los ataques de WannaCry se inician mediante una ejecución de código remota SMBv2 en el sistema operativo Microsoft Windows. El exploit EternalBlue se puso a disposición del público a través del volcado de Shadowbrokers el 14 de abril de 2017 y Microsoft lo parcheó el 14 de marzo. Sin embargo, muchas empresas y organizaciones públicas aún no han instalado el parche en sus sistemas.
El parche mencionado es MS17-010, Actualización de seguridad para el servidor SMB de Microsoft Windows (4013389):
Esta actualización de seguridad resuelve vulnerabilidades en Microsoft Windows. La más grave de las vulnerabilidades podría permitir la ejecución remota de código si un atacante envía mensajes especialmente diseñados a un servidor de Microsoft Server Message Block 1.0 (SMBv1).
Por lo tanto, no afecta a Linux. Windows también es seguro después de instalar la actualización. Sin embargo, si todavía hay una computadora cliente con Windows sin parches, es posible que los datos en un recurso compartido no estén seguros.