¿Por qué un SMB deshabilitado previene un ataque de ransomware?

Primero, aclaremos la terminología:

Los parásitos infectan como troyanos (simulando ser algo más) Gusanos (buscando vulnerabilidades), c) Virus (adjuntos a programas legítimos) o d) Los parásitos los instalan directamente desde los primeros 3 grupos o piratas informáticos.

El ransomware es una función que tiene el malware, no un método de distribución. Los mismos parásitos pueden instalarse utilizando cualquier método y (en la mayoría de los casos) ejecutarse con éxito.

En la mayoría de los casos, el parásito podría clasificarse por ambas clases.

Si bien la mayoría de los ransomwares se instalan utilizando troyanos, los autores de Wannacry utilizaron la vulnerabilidad del servicio SMB (es decir, un enfoque de gusano) que era conocido por el gobierno de los EE. UU. Durante un tiempo y que también utilizaron otros parásitos.

Deshabilitar SMB evita que algunos gusanos de red exploten sus vulnerabilidades para infectar su computadora. Sin embargo, no evitará que (otros) ransomware cifren archivos.

Cómo leer y comprender nombres de malware

Deshabilitar SMB no evita todos los ataques de ransomware. Sin embargo, WannaCry explotó vulnerabilidades en SMB para propagarse rápida y fácilmente. Investigaciones de seguridad le dijeron a los administradores de sistemas que deshabiliten SMB para prevenir futuras infecciones y ralentizar la funcionalidad de gusanos de WannaCry

Nunca preguntes “por qué”. Pregunte “si” en su lugar.

Deshabilitar SMB no evita todos los ataques de Ransomwares. Solo es efectivo contra WannaCrypt Ransomware. No puede hacer que su sistema sea invulnerable a todo tipo de Ransomwares simplemente deshabilitando SMB. Además, no tiene sentido deshabilitar SMB en Linux o macOS. No son objetivo de WannaCrypt, y no se convertirán en “portadores de virus” en este incidente.

El ransomware Wannacry infesta computadoras a través de la red local, al explotar una falla de software (también conocida como “vulnerabilidad”) en la implementación SMB de la plataforma Windows. Esta vulnerabilidad existe en todas las versiones de Windows; La implementación de SMB (también conocido como “Samba”) en Linux y Mac no tiene esta vulnerabilidad.

La NSA había descubierto esta vulnerabilidad hace mucho tiempo; incluso tenían un código “EternalBlue” para ello. Microsoft no descubrió esto hasta marzo de 2017. Luego lanzaron de inmediato un parche del sistema para solucionar ese error.

Si está utilizando Windows 7/10 y ya ha aplicado el parche del sistema de marzo de 2017, o simplemente dejó habilitada la actualización automática, estará bien.

Para dar más detalles sobre la respuesta de Paul Oralu, el gusano Wannacry utilizó un exploit SMB (ETERNALBLUE) para propagarse, por lo que al deshabilitarlo no puede infectarse con Wannacry ni con ningún otro malware que utilice este exploit.

Deshabilitar SMB también evita que una máquina remota cifre datos que se compartirían, en este caso no es un punto importante.

Las computadoras Windows en red utilizan el servicio SMB para la capacidad de compartir archivos e impresiones en una red de Windows, por lo que si lo desactiva puede detener la propagación de un tipo específico de ransomware / malware a través de una red.