Unit221B y Krebs convierten la propia prohibición de Rusia contra el ransomware en una 'vacuna' gratuita para PC

Durante el ataque de DarkSide de mayo de 2021 que paralizó el oleoducto Colonial, Krebs señaló que prácticamente todas las cepas de ransomware ruso se niegan a instalarse en máquinas Windows que tienen instalado un teclado ruso o ucraniano — un mecanismo de seguridad incorporado que protege a los delincuentes de las fuerzas del orden de su propio país. Los lectores querían saber si los usuarios comunes podían aprovechar esa regla.

Usar la propia lista de exclusión por país del malware como vacuna: hacer que cada PC con Windows parezca rusa o ucraniana para que la comprobación de no instalación del ransomware ruso la deje pasar.

KrebsOnSecurity explicó cómo: instalar una distribución de teclado de un país de la CEI, o ejecutar el script por lotes de Windows de dos líneas y con un clic creado por Lance James, de Unit221B, que añade una referencia al idioma ruso en las claves de registro específicas que comprueba el malware sin descargar los archivos de idioma de Microsoft. Allison Nixon enmarcó el truco estratégicamente: si suficientes personas lo hicieran, los hackers rusos se enfrentarían a la elección entre perder la protección legal de mantenerse fuera de su propio territorio o perder ingresos.

La explicación se convirtió en una de las publicaciones de seguridad más comentadas de mayo de 2021 — 604 puntos y 278 comentarios en Hacker News, además de 147 comentarios en el sitio — y el script de James circuló como la versión gratuita y de un solo paso de la solución. Nixon sostuvo que la adopción masiva obligaría a los delincuentes a debilitar su propio escudo legal o aceptar pérdidas, mientras que el artículo dejaba claro que la defensa solo funciona contra malware con una exclusión de la CEI y que una variante reciente de DarkSide analizada por Mandiant se saltaba por completo la comprobación de idioma.

En mayo de 2021, mientras la banda de ransomware DarkSide paralizaba 5.500 millas del oleoducto Colonial y hacía subir los precios del combustible en EE. UU., Brian Krebs señaló una peculiaridad de la economía criminal: prácticamente todo el ransomware en ruso se niega a instalarse en máquinas Windows que llevan una distribución de teclado rusa o ucraniana. La lista de exclusión abarca la Comunidad de Estados Independientes, y existe para que los afiliados nunca creen víctimas en sus propios países — donde la policía solo investiga cuando una víctima local se queja.

El golpe creativo de Krebs fue devolver esa regla a los defensores: si el malware se autoexcluye de las máquinas que parecen rusas, haz que todas las máquinas parezcan rusas. Su artículo mostró a los lectores cómo instalar un teclado de un país de la CEI, y Lance James, de Unit221B, publicó un script por lotes de dos líneas que añade una referencia al idioma ruso en las claves de registro exactas que comprueba el malware. Allison Nixon lo llamó una 'vacuna' cuyo verdadero valor era estratégico: la adopción masiva obligaría a los hackers rusos a elegir entre mantener la protección legal evitando las máquinas nacionales, o eliminar la comprobación y arriesgarse a ser procesados.

La publicación se convirtió en una de las historias de seguridad más leídas del mes — 604 puntos y 278 comentarios en Hacker News, además de 147 en el propio artículo — con lectores instalando distribuciones, compartiendo el script y debatiendo si los delincuentes se adaptarían. Las advertencias formaban parte de la propuesta: el truco no hace nada contra malware sin una exclusión de la CEI, no sustituye a la defensa en profundidad, y Mandiant descubrió que una variante reciente de DarkSide ya había eliminado la comprobación de idioma. Aun así, como un paso gratuito de dos minutos, dio a los usuarios comunes una defensa real e hizo que los atacantes pagaran por cada solución alternativa.

La vacuna no necesita ningún producto de seguridad nuevo: convierte en arma la propia lista de no infectar de los delincuentes, que ya existe en su código.

Un script de registro de dos líneas hizo que la solución fuera trivialmente adoptable, convirtiendo una idea ingeniosa en algo que cualquier usuario podía ejecutar esa misma tarde.

El contexto del oleoducto Colonial dio al truco su momento: el ataque de ransomware más visible en años hizo que un truco defensivo gratuito fuera inmediatamente noticiable.

El enfoque estratégico — obligar a los delincuentes a cambiar protección legal por ingresos — hizo que el truco fuera más que higiene personal, lo convirtió en un movimiento colectivo.

Las advertencias honestas (no todo el malware lo comprueba, las variantes ya eliminan la comprobación) mantuvieron el consejo lo bastante creíble como para difundirse entre un público de seguridad escéptico.

La regla de seguridad de un adversario es una superficie de control: los delincuentes se mantienen fuera de su propio territorio para esquivar a la policía local, así que los defensores que falsifican ese territorio obligan a los atacantes a debilitar su escudo o perder ingresos.

El truco se convirtió en un punto de referencia en el debate sobre ransomware que siguió al oleoducto Colonial: DarkSide anunció que cerraba tras la incautación de sus servidores y bitcoins, y la defensa de la comprobación de idioma circuló como un paliativo gratuito mientras los defensores debatían sus límites. Los comentaristas sondearon las debilidades — comprobar qué teclado está activo, vigilar cuándo se instaló una distribución, eliminar la comprobación por completo — lo que Nixon enmarcó como el intercambio que la vacuna estaba diseñada para forzar. La publicación siguió activa y comentada, una explicación duradera de cómo la regla geográfica de un delincuente se convirtió en la defensa de cualquiera.