En general, cualquier ransomware puede cifrar cualquier cosa a la que tenga acceso el usuario infectado, como cualquier otro malware puede escribir en cualquier lugar utilizando los permisos de la cuenta que lo ejecuta. Eso no equivale a que se active para otros usuarios, pero puede afectar a todos los recursos compartidos a los que el usuario tiene acceso.
Contramedidas:
Prevenir con protección antivirus y firewall, como de costumbre.
Forzar a todos los clientes a instalar actualizaciones regularmente.
Las copias de seguridad son la forma más poderosa de manejar todo el ransomware después de la infección. Eventualmente, algunos de sus usuarios tendrán uno que aún no fue reconocido por su protección antivirus. Tenga una copia de seguridad a la que sus usuarios no tengan acceso de escritura. De lo contrario, las copias de seguridad son inútiles, porque el ransomware también tiene el mismo acceso para escribir sobre las copias de seguridad.
Una copia de seguridad fuera de línea es la forma más segura de lograr esto, pero puede que no sea muy práctico, ya que debe hacerlo más manualmente y recuerde hacerlo regularmente.
Por lo general, tengo una máquina independiente que usa credenciales separadas para acceder a las ubicaciones para hacer una copia de seguridad. Allí, tengo una copia de seguridad incremental que puede almacenar cualquier cambio durante semanas o meses. Es bueno contra el ransomware y los errores del usuario.
WannaCry está utilizando una vulnerabilidad en la implementación de Windows de SMB: el protocolo en sí no es vulnerable. De un artículo de noticias sobre MalwareLess :
Los ataques WannaCry se inician utilizando una ejecución remota de código SMBv2 en el sistema operativo Microsoft Windows. El exploit EternalBlue se puso a disposición del público a través del vertedero de Shadowbrokers el 14 de abril de 2017 y fue parcheado por Microsoft el 14 de marzo. Sin embargo, muchas compañías y organizaciones públicas aún no han instalado el parche en sus sistemas.
El parche mencionado es MS17-010 , Actualización de seguridad para Microsoft Windows SMB Server ( 4013389 ):
Esta actualización de seguridad resuelve vulnerabilidades en Microsoft Windows. La más grave de las vulnerabilidades podría permitir la ejecución remota de código si un atacante envía mensajes especialmente diseñados a un servidor Microsoft Server Message Block 1.0 (SMBv1).
Por lo tanto, no afecta a Linux. Windows también es seguro después de instalar la actualización. Sin embargo, si todavía hay una computadora cliente con un Windows no parcheado, los datos en un recurso compartido podrían no estar seguros.