​A día de hoy creo que ni mucho menos ha pasado desapercibido el problema que ha causado un malware llamado CrytpoLocker (https://es.wikipedia.org/wiki/CryptoLocker). He visto algunos artículos muy interesantes en donde explican que debemos hacer para "evitar" en la medida de lo posible este temido malware, el cual ha causado estragos en muchas empresas. Voy  a tratar de explicar como podéis configurar una Directiva de Grupo aplicando las Directivas de Restricción de Software, la cual utilizaremos para "evitar" la ejecución de aplicaciones no permitidas (CryptoLocker entre ellas) en zonas de seguridad en los perfiles de usuarios. Lo primero que haremos será crear una Directiva de Grupo la cual vincularemos la OU en donde tengamos los equipos que tenemos en nuestro dominio. Lo que tenemos que hacer es evitar la ejecución de aplicaciones desde las siguientes zonas que os expongo:

Ruta: %AppData%\*.exe
Nivel de Seguridad: No Permitido
Descripción: Bloquear la ejecución de aplicaciones desde %AppData%

Ruta: %AppData%\*\*.exe
Nivel de Seguridad: No Permitido
Descripción: DBloquear la ejecución de aplicaciones desde %AppData% y subcarpetas

 

Windows XP: %UserProfile%\Local Settings\Temp\Rar*\*.exe
Windows Vista/7/8: %LocalAppData%\Temp\Rar*\*.exe
Nivel de Seguridad: No Permitido
Descripción: Bloquear la ejecución de aplicaciones desde ficheros descomprimidos con WinRar

 

Windows XP: %UserProfile%\Local Settings\Temp\7z*\*.exe
Windows Vista/7/8: %LocalAppData%\Temp\7z*\*.exe
Nivel de Seguridad: No Permitido
Descripción: Bloquear la ejecución de aplicaciones desde ficheros descomprimidos con 7Zip

 

Windows XP: %UserProfile%\Local Settings\Temp\wz*\*.exe
Windows Vista/7/8: %LocalAppData%\Temp\wz*\*.exe
Nivel de Seguridad: No Permitido
Descripción: Bloquear la ejecución de aplicaciones desde ficheros descomprimidos con WinZip

 

Windows XP: %UserProfile%\Local Settings\Temp\*.zip\*.exe
Windows Vista/7/8: %LocalAppData%\Temp\*.zip\*.exe
Nivel de Seguridad: No Permitido
Descripción: Bloquear la ejecución de aplicaciones desde ficheros descomprimidos con Windows Zip

Dicho esto, vamos a editar la Directiva de Grupo y nos vamos a la sección de Configuración del Equipo – Configuración de Windows – Configuración de Seguridad y pulsamos con el botón secundario encima de Directivas de Restricción de Software  para pulsar en Nuevas directivas de restricción de software

Ahora en la sección de Reglas Adicionales debemos hacer clic con el botón secundario del ratón y pulsar en Relga de nueva ruta de acceso …

Y ahora debemos introducir las rutas una a una que he expuesto anteriormente, y en base a los sistemas operativos que tengáis en el dominio debéis crear las distintas reglas para Windows XP (SP2), Windows7/8/10. Yo sólo me centraré en las de Windows 7 y superiores, así que las imágenes solo representarán las configuraciones para estos Sistemas Operativos (espero que nadie tenga ya Windows XP en su dominio)

 

Descripción: Bloquear la ejecución de aplicaciones desde %AppData%

Ruta: %AppData%\*.exe
Nivel de Seguridad: No Permitido

Descripción: DBloquear la ejecución de aplicaciones desde %AppData% y subcarpetas

Ruta: %AppData%\*\*.exe
Nivel de Seguridad: No Permitido

Descripción: Bloquear la ejecución de aplicaciones desde ficheros descomprimidos con WinRar

Windows XP: %UserProfile%\Local Settings\Temp\Rar*\*.exe
Windows Vista/7/8: %LocalAppData%\Temp\Rar*\*.exe
Nivel de Seguridad: No Permitido

Descripción: Bloquear la ejecución de aplicaciones desde ficheros descomprimidos con 7Zip

Windows XP: %UserProfile%\Local Settings\Temp\7z*\*.exe
Windows Vista/7/8: %LocalAppData%\Temp\7z*\*.exe
Nivel de Seguridad: No Permitido

Descripción: Bloquear la ejecución de aplicaciones desde ficheros descomprimidos con WinZip

Windows XP: %UserProfile%\Local Settings\Temp\wz*\*.exe
Windows Vista/7/8: %LocalAppData%\Temp\wz*\*.exe
Nivel de Seguridad: No Permitido

Descripción: Bloquear la ejecución de aplicaciones desde ficheros descomprimidos con Windows Zip

Windows XP: %UserProfile%\Local Settings\Temp\*.zip\*.exe
Windows Vista/7/8: %LocalAppData%\Temp\*.zip\*.exe
Nivel de Seguridad: No Permitido

Estas configuraciones se establecen como valores en la siguiente clave de registro de los equipos: HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\safer\codeidentifiers\0\Paths, cada una de las subclaves son las rutas que hemos definido a nivel de la Directiva de Grupo:

Pues ahora sólo nos tocar probar que funciona bien, para ello voy a realizar dos pruebas sencillas:

 

1. Intentar ejecutar el TeamViewer en %Appdata%

Cada vez que se evite la ejecución de una aplicación dentro de cualquier carpeta  dentro de %AppData%\*\*.exe nos dejará un eventod con el ID 886

2. Intentar ejecutar el TeamViewer dentro de un fichero RAR: aquí os muestro el fichero .RAR el error que muestra y la ruta en donde se ha descomprimido para ejecutarse (%LocalAppData%\Temp\Rar*\*.exe)

Si volvemos a revisar el Visor de Eventos, tendremos otro ID 886 y la información del evento:

De esta forma, ya se podrá ejecutar el TeamViewer desde %appdata% y a buen seguro tendréis que configurar varias aplicaciones legítimas para que los usuarios puedan ejecutarlas, pero no escatiméis el esfuerzo de hacerlo y dar carta blanca, la seguridad conlleva un esfuerzo incial, pero luego os veréis recompensados, vosotros y los usuarios.

• Backup
• Backup
• Backup
• o … Backup

Esto de forma "normal", porque en todo caso podéis pagar un "rescate" a la gente que lo ha creado previo pago de xxxx de Euros. El cual a  menos que no os quede otra yo no haría, puesto que sino al final estamos colaborando con este tipo de "gentuza". Está claro, que si tu empresa no tiene un sistema de backup adecudado a sus necesidades, etc … empezarás a sudar en frío.

Desde ASIR hemos enviado un documento  de "Buenas Prácticas de Utilización del Correo Electrónico", el cual os dejo aquí por si alguien quiere tenerlo: Recomendaciones de seguridad para el uso de correo electrónico.pdf. En el documento hacemos referencia a los últimos ataques que tienen como vía de expansión el correo electrónico, y sobre todo buscando informar al usuario que tenga cuidad con lo que descarga y como identificar la legitimidad de los correos que recibe. Lo que buscamos es que se pare a pensar que hacer frente a un correo que no ve clara su finalidad y sino lo tiene claro … que lo borre directamente sin abrir.

Por último, comentaros que también es cierto que a los usuarios que he visto con el problema del CryptoLocker y que le ha venido por el correo electrónico, tenían como plataforma de correo sisteas low-cost, el Anti-SPAM sin activar, etc … porque empresas que tienen Office 365 o algún proveedor especializado en Anti-SPAM, etc.. no hemos tenido problema alguno, es que ni hemos visto ese correo en nuestros buzones.

Al final, la seguridad es responsabilidad de todos!! El usuario final que no ejecute lo que no debe y los de IT que tengamos las medidas necesarias para que los usuarios ya no tengan que tomar este tipo de decisiones (que a veces son complejas). Para los que vivimos el dia a día con estas cosas lo vemos muy sencillo (que no lo es), pero para un usuario normal no es tan sencillo de identificar.

Espero que os sea de utilidad!!!

Fuente para recopilar información para este artículo: Cryptolocker Ransomware Prevention