Primero, el ataque no fue realizado por piratas informáticos. Actualmente no está claro si fue incluso un ataque guiado de malware entregado por phishing, abrevadero u otra dirección similar dirigida al usuario del malware.
El malware es básicamente software de extorsión, encripta el disco duro del usuario sin su conocimiento y una vez hecho, muestra un mensaje que indica al usuario que pague una cantidad específica de dinero a través de varios métodos de pago (en este caso, una cantidad específica (aproximadamente $ 300) USD) de dinero en bitcoins, a una cuenta de bitcoin específica).
El malware fue instalado por un nuevo gusano, que atacó una vulnerabilidad conocida en el protocolo SMB1 de Microsoft Windows, que Microsoft había emitido un parche para el 14 de marzo de 2017. Cualquier organización que todavía está utilizando el protocolo SMB1 merece lo que recibe, ya que es bastante protocolo débil que ha sido abandonado en gran medida.
Actualmente, no se sabe con certeza cómo el virus fue inicialmente vectorizado a las redes NHS, un ataque de phishing, ataque de abrevadero, malvertisement (malware oculto dentro de un anuncio), sitio web infectado o cualquiera de varios otros en los que el ransomware generalmente se propaga instalado en una computadora de la víctima. Por lo tanto, es totalmente incierto si esto fue realmente un ataque dirigido, de hecho, más que los sistemas NHS en el Reino Unido se infectaron, hay muchas víctimas, en toda Europa que se infectaron.
Afortunadamente, independientemente de los medios de propagación inicial, la propagación aún más dentro de varias organizaciones Redes de área local se detuvo accidentalmente por un investigador de seguridad.
El viernes, un investigador de seguridad, enteramente en su propio tiempo (vacaciones), se enteró de todo el desastre y se puso en contacto con amigos para investigar sobre seguridad. Uno, le proporcionó una muestra del malware.
Durante su investigación, notó que el gusano intentó, una vez instalado, ponerse en contacto con un dominio de Internet no registrado. Queriendo saber qué tipo de tráfico estaba enviando el gusano, el investigador registró el dominio y puso su propio servidor en él.
Más tarde, al examinar el código, descubrió que se trataba de una instrucción sin importancia. Una vez que ese dominio estuvo disponible, el gusano terminó por sí solo y, si el sistema aún no estaba encriptado, no encriptaría el sistema. Los sistemas ya encriptados permanecieron así.
Así que, involuntariamente, ¡había detenido la propagación del malware!
