Foto: La sede central de la Agencia Nacional de Seguridad de Estados Unidos, donde se guardan con recelo vulnerabilidades de software... para después dejar que las roben, filtren y liberen sobre un público desprevenido. Crédito: Saul Loeb (Getty Images).

Probablemente se habrá enterado ya: un ataque de ransomware llamado WannaCry (también WannaCrypt y WannaDecryptor) arrancó el pasado viernes y se expandió por todo el planeta hasta llegar a infectar unos 200.000 ordenadores en 150 países.

Pero podría haber sido mucho peor. Por eso debemos agradecer a los investigadores de ciberseguridad su trabajo para asegurarse de que no lo fuera.

El mismo viernes, mientras aún se corría la voz de que los ordenadores de decenas de hospitales en Reino Unido habían sido maliciosamente bloqueados a menos que se pagara un rescate por ello, un investigador anónimo conocido como MalwareTech ya se encontraba manos a la obra para frenar la propagación del programa malicioso.

Como informó él o ella en una fascinante actualización de blog, MalwareTech había encontrado un dominio sin registrar dentro del código de WannaCry. Al sospechar que la dirección tenía algo que ver con la manera en que se expandía el virus –una característica común en las botnets y otros tipos de programas malignos–, Malware Tech registró la dirección y observó cómo empezó a recibir el tráfico de miles de ordenadores infectados, lo que casi llega a saturar el servidor en el que se alojaba. Este tipo de medida de "socavón" o "desagüe" suele ser un intento de impedir que una botnet envíe, por ejemplo, comandos a los sistemas infectados. En este caso, sin embargo, el dominio se convirtió en un "botón de apagado": en cualquier sistema que entraba en contacto con la URL, el virus se desactivaba. WannaCry estaba en las últimas.

No obstante, y como señaló Malware Tech, programadores malintencionados podrían modificar con facilidad el código de WannaCry para que se redirija a una nueva dirección. Lo hicieron. El domingo, una nueva variante del programa infectaba miles de sistemas en Rusia. Un ataque que también se pudo frenar gracias a la rápida intervención de un investigador de ciberseguridad.

Mientras tanto, Microsoft tomó la inusual medida de apresurarse a distribuir un parche de software para solucionar el defecto de la versiones sin soporte de Windows de las que se aprovechaba WannaCry. Aunque la Agencia Nacional de Seguridad de EEUU (NSA, por sus siglas en inglés) había guardado en secreto la existencia de la vulnerabilidad, un grupo hacker conocido como Shadow Brokers lo había filtrado tras robar la información de los servidores de la agencia.

Desafortunadamente, como hemos señalado en otras ocasiones, el ransomware se ha convertido en una popular forma de cibercriminalidad por un sencillo motivo: resulta lucrativo. También es difícil, aunque no imposible, de detener. Además de los ataques del pasado fin de semana, los criminales ya habían deshabilitado en otra ocasión parte del sistema de transporte de la ciudad de San Francisco (EEUU) y un hospital en Los Ángeles (EEUU), el cual se vio obligado a pagar 17.000 dólares (algo más de 15.000 euros) para recuperar el acceso a sus registros.

Los arquitectos de WannaCry buscaban, del mismo modo, enriquecerse con rapidez. Sin embargo, facilitaron bastante el rastreo del dinero: el código de WannaCry contenía las direcciones de tres carteras de Bitcoin. Para mediodía del lunes, un bot de Twitter que rastrea los pagos percibidos por las carteras informó de que las cuentas contenían en ese momento algo más del equivalente a 55.000 dólares (unos 49.800 euros).

Gracias a este tipo de escrutinio, algunos expertos han supuesto que, sea quien sea la persona que está detrás de WannaCry, no se atreverá a retirar el dinero de las carteras por temor a descubrir su identidad. La propia suma también podría hacerle dudar. Claro que es mucho dinero, pero podría haber sido muchísimo más.

(Para saber más: Malware Tech, Los Angeles Times, BBC, Quartz,Internet ofrece un nuevo crimen perfecto: el secuestro de datos,Ya se puede acorralar al 'ransomware' en laboratorio, pero no en el mundo real)