Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
¿Qué es el malware NotPetya?
NotPetya es un tipo de malware wiper que se hace pasar por ransomware, pero busca dejar los sistemas y datos objetivo completamente irrecuperables. Observado por primera vez en junio de 2017, está estrechamente relacionado con la familia Petya, pero es mucho más destructivo. Una vez ejecutado, cifra la Master File Table (MFT) en los sistemas infectados, lo que hace imposible recuperar los archivos. Este malware se clasifica como un arma cibernética debido a su diseño deliberado para causar daños generalizados.
¿Cuándo se descubrió NotPetya por primera vez?
NotPetya se identificó por primera vez durante un brote global el 27 de junio de 2017. Se usó notablemente en un ciberataque dirigido a Ucrania antes de propagarse rápidamente a diversas industrias y países en todo el mundo. Empresas de ciberseguridad y agencias gubernamentales atribuyeron el origen del malware a esta campaña específica de alto perfil.
¿Quién creó NotPetya?
La creación de NotPetya se atribuye ampliamente a la agencia de inteligencia militar rusa GRU. En concreto, se cree que el equipo Sandworm, una división de hackers del GRU, desarrolló y desplegó el malware como parte de operaciones cibernéticas geopolíticas más amplias.
¿A qué apunta NotPetya?
NotPetya ataca sistemas basados en Windows y ha afectado principalmente a empresas de industrias críticas como logística, salud e infraestructura crítica. El malware inicialmente apuntó a organizaciones en Ucrania antes de propagarse a organizaciones multinacionales, lo que resultó en miles de millones de dólares en daños a nivel mundial.
Método de distribución de NotPetya
El malware NotPetya se propaga principalmente a través de un mecanismo de actualización comprometido del software tributario ucraniano M.E.Doc. Una vez dentro de una red, explota la vulnerabilidad EternalBlue (CVE-2017-0144) y usa técnicas de robo de credenciales como mimikatz para propagarse mediante movimiento lateral dentro de redes locales.
Análisis técnico del malware NotPetya
NotPetya inicia su infección sobrescribiendo el Master Boot Record (MBR) del sistema, lo que lo deja inarrancable. Aprovecha las vulnerabilidades de Windows EternalBlue y EternalRomance para el movimiento lateral, junto con credenciales de administrador extraídas mediante mimikatz. El payload del malware busca cifrar la MFT, pero sin crear un medio para descifrarla, lo que refleja su naturaleza de malware wiper.
Tácticas, técnicas y procedimientos (TTPs)
Explota la vulnerabilidad EternalBlue (protocolo Windows SMBv1).
Aprovecha herramientas de extracción de credenciales como mimikatz.
Propagación lateral rápida usando credenciales de administrador robadas.
Indicadores de compromiso (IoCs)
Direcciones IP conectadas a servidores maliciosos.
Hashes de archivos (p. ej., 71b6a493388e7d0b40c83ce903bc6b04).
Uso de dominio conocido: "www.1dnscontrol.com".
Cómo saber si estás infectado con NotPetya
Los sistemas infectados con NotPetya suelen mostrar síntomas como fallas o dispositivos que no inician, notas de rescate que exigen pagos en Bitcoin y archivos de datos cifrados o inaccesibles. Una actividad inusual de red lateral también puede indicar una infección.
Instrucciones para eliminar NotPetya
Eliminar el malware de NotPetya requiere desconectar los equipos infectados de la red para evitar que se siga propagando. Si bien los esfuerzos de recuperación suelen enfocarse en reconstruir los sistemas a partir de copias de seguridad, herramientas como los servicios de remediación administrada de Huntress ofrecen ayuda experta para restablecer las operaciones.
¿NotPetya sigue activo?
NotPetya ya no está activo en su forma original, pero ha inspirado campañas de malware similares. Su impacto en la ciberseguridad ha impulsado mejoras globales en el monitoreo de redes y los mecanismos de defensa. Variantes o imitaciones todavía podrían explotar las mismas vulnerabilidades que este malware aprovechó en su momento.
Estrategias de mitigación y prevención
Mitigar NotPetya requiere aplicar parches a todas las vulnerabilidades conocidas, en particular las relacionadas con protocolos SMB (por ejemplo, EternalBlue). Otras estrategias incluyen aplicar la autenticación multifactor, mantener copias de seguridad periódicas del sistema y llevar a cabo capacitaciones continuas de concientización para los usuarios. Servicios de detección administrada como el SOC de Huntress 24/7 pueden identificar y neutralizar amenazas similares a NotPetya.
Artículos educativos y videos relacionados
Preguntas frecuentes
NotPetya es un malware limpiador (wiper) altamente destructivo que se hace pasar por ransomware. Cifra la Tabla Maestra de Archivos en los sistemas infectados, dejando los datos completamente irrecuperables, y se propaga a través de exploits como EternalBlue y campañas de spear-phishing.
NotPetya se propaga inicialmente a través de actualizaciones comprometidas del software M.E.Doc y se propaga dentro de las redes al explotar la vulnerabilidad EternalBlue y recolectar credenciales administrativas para el movimiento lateral.
Si bien el NotPetya original ya no está activo, sus técnicas y vulnerabilidades siguen siendo blancos comunes. Las organizaciones deben mantener defensas sólidas, ya que podrían surgir variantes o malware similar.
Las organizaciones pueden protegerse aplicando parches a las vulnerabilidades conocidas, implementando medidas de ciberseguridad en varias capas, aplicando la autenticación multifactor (MFA), y usando servicios de detección de endpoints como Huntress para monitorear y neutralizar las amenazas a tiempo.
