Protege lo que importa
Protege endpoints, correo electrónico y empleados con el poder de nuestro SOC 24/7. Prueba Huntress gratis y despliega en minutos para empezar a combatir las amenazas.
¿Qué es el malware Petya?
Petya es un malware identificado por primera vez en 2016 que sobrescribe el registro de arranque maestro (MBR) de un sistema con un cargador de arranque personalizado, y luego cifra la tabla maestra de archivos (MFT), dejando el dispositivo inutilizable hasta que se pague un rescate. Su variante más infame, NotPetya, surgió en junio de 2017 usando el mismo mecanismo pero con una diferencia crítica: funciona como un wiper destructivo disfrazado de ransomware en lugar de ser ransomware genuino. Los sistemas Windows son el objetivo principal, y el malware está diseñado para interrumpir operaciones a gran escala.
¿Cuándo se descubrió Petya por primera vez?
Petya surgió por primera vez en marzo de 2016, identificado en una campaña de correos electrónicos maliciosos. Una variante más destructiva, NotPetya, surgió en junio de 2017, provocando un caos global. Las empresas de ciberseguridad y organizaciones han analizado extensamente el malware desde su descubrimiento.
¿Quién creó Petya?
El autor original de Petya sigue siendo desconocido. Sin embargo, NotPetya ha sido formalmente atribuido al Sandworm Team (GRU Unit 74455), una unidad de la agencia de inteligencia militar de Rusia. El 15 de febrero de 2018, la Casa Blanca lo calificó como "el ciberataque más destructivo y costoso de la historia", atribuyéndolo directamente al ejército ruso. En octubre de 2020, el Departamento de Justicia de EE. UU. acusó por nombre a seis oficiales de la GRU Unit 74455 por el ataque de NotPetya (junto con los ataques a la red eléctrica de Ucrania de 2015-2016, la interrupción de los Juegos Olímpicos de 2018 y otras operaciones). Los gobiernos del Reino Unido, Australia, Canadá y Nueva Zelanda emitieron atribuciones coincidentes. Este es uno de los ciberataques de un estado-nación más definitivamente atribuidos que se conocen, no uno especulativo ni puramente criminal.
¿A qué ataca Petya?
Petya ataca principalmente sistemas basados en Windows en empresas y organizaciones. Entre las industrias de alto perfil afectadas están la salud, la logística y las finanzas, siendo Ucrania un objetivo temprano significativo para las campañas de NotPetya.
Método de distribución de Petya
Las variantes originales de Petya de 2016 se propagaban principalmente mediante correos de phishing con archivos adjuntos maliciosos. NotPetya se propagó de otra manera: su vector de infección inicial fue una actualización de software comprometida de M.E.Doc, un software ucraniano de contabilidad fiscal que usaba casi toda empresa que operaba en Ucrania. Una vez dentro de la red, NotPetya usaba los exploits de SMB EternalBlue y EternalRomance, junto con un recolector de credenciales basado en Mimikatz, para moverse lateralmente e infectar otros sistemas, sin necesidad de phishing para propagarse
Análisis técnico del malware Petya
El proceso de infección de Petya comienza con la ejecución de su payload, que cifra el registro de arranque maestro (MBR) y la MFT mientras muestra una nota de rescate al reiniciar. Cabe destacar que NotPetya renuncia a cobrar el rescate para maximizar la interrupción, pues borra los datos por completo en lugar de cifrarlos de verdad.
Tácticas, técnicas y procedimientos (TTPs)
T1486 – Datos cifrados para causar impacto (cifrado del MBR y de archivos mediante RSA de 2048 bits)
T1210 – Explotación de servicios remotos (exploits EternalBlue/EternalRomance de SMBv1)
T1003.001 – Volcado de credenciales del sistema operativo: memoria LSASS (variante de Mimikatz incluida)
T1021.002 – Servicios remotos: SMB/recursos compartidos administrativos de Windows (movimiento lateral basado en PsExec)
T1078.003 – Cuentas válidas: cuentas locales
T1047 – Instrumental de administración de Windows
T1529 – Apagado/reinicio del sistema
T1036 – Enmascaramiento (coloca PsExec como dllhost.dat)
Indicadores de compromiso (IoCs)
Hashes conocidos de variantes de Petya
Direcciones IP y nombres de dominio usados para comando y control (C2)
Actividad de red sospechosa, como tráfico SMB excesivo
¿Cómo saber si estás infectado con Petya?
Los síntomas de una infección por Petya incluyen lentitud del sistema, ciclos de reinicio anormales que muestran notas de rescate y la imposibilidad de acceder a los archivos. Un comportamiento de red inusual o fallos en la secuencia de arranque también pueden indicar una infección.
Instrucciones para eliminar Petya
Para eliminarlo, desconecta de inmediato el equipo infectado de la red. Usa herramientas de EDR confiables como Huntress para aislar y remediar los sistemas afectados de forma segura. La eliminación manual es riesgosa y solo se recomienda para expertos, dada la complejidad del malware. Dado el impacto del ransomware, cuando sea posible, restaurar la función del negocio desde copias de seguridad confiables es la mejor recomendación.
¿Petya sigue activo?
Aunque Petya ha visto una actividad reducida, sus variantes, incluida NotPetya, siguen representando riesgos por infecciones heredadas y nuevas adaptaciones. Las organizaciones deben mantenerse alerta.
Estrategias de mitigación y prevención
Para protegerte de Petya y amenazas similares:
Aplica parches con regularidad a los sistemas operativos y al software.
Implementa autenticación multifactor (MFA).
Realiza capacitación de concientización sobre phishing para los empleados.
Usa monitoreo 24/7 de soluciones como Huntress para detectar anomalías a tiempo.
Artículos educativos y videos relacionados
Preguntas frecuentes
Petya es un malware identificado por primera vez en 2016 que sobrescribe el registro de arranque maestro (MBR) de un sistema con un cargador de arranque personalizado, y luego cifra la tabla maestra de archivos (MFT), dejando el equipo inutilizable hasta que se pague un rescate. Su variante más conocida, NotPetya, surgió en junio de 2017 usando el mismo mecanismo pero con una diferencia crítica: funciona como un wiper destructivo disfrazado de ransomware en lugar de ser un ransomware genuino. Los sistemas Windows son el objetivo principal, y el malware está diseñado para interrumpir operaciones a gran escala.
Petya se propaga mediante correos de phishing con enlaces o archivos adjuntos maliciosos. Ciertas variantes, como NotPetya, también explotan vulnerabilidades, lo que permite una propagación rápida a través de las redes mediante protocolos SMB desactualizados.
Ni Petya ni NotPetya circulan hoy como brotes activos. La campaña de NotPetya de 2017 fue, en la práctica, autolimitada: una vez que agotó sus objetivos iniciales, no estaba diseñada para reutilizarse a largo plazo como un servicio de ransomware activo, y no ha resurgido como gusano generalizado desde entonces. Dos cosas siguen siendo relevantes: los sistemas sin parchear que aún son vulnerables al exploit EternalBlue que usó, y Sandworm Team (GRU Unit 74455), el grupo de estado-nación detrás de NotPetya, que sigue muy activo y continúa realizando ataques destructivos con otras herramientas. Trata a Petya/NotPetya menos como una amenaza activa y más como un caso de estudio sobre por qué las vulnerabilidades de SMB sin parchear y las redes planas siguen siendo peligrosas.
Las organizaciones pueden mitigar los riesgos manteniendo los sistemas actualizados, realizando security awareness training con regularidad y usando herramientas de EDR robustas como Huntress para monitorear y remediar amenazas en tiempo real.
