Me recuerda a un viejo ataque, uno que he enfrentado y que todavía me persigue y me anima a mantener mis prácticas de seguridad en forma. Puede que también tengas un evento así, pero déjame compartir el mío y cómo el evento cambió las prácticas de seguridad que muchas empresas seguían.
En julio de 2001, un cliente del Reino Unido estaba experimentando un desfiguramiento de su sitio web en sus sitios de comercio. Este fue el comienzo del gusano Código Rojo. Aunque fue lanzado unos días antes, nuestro equipo de seguridad no se había enterado de la noticia sobre este gusano y su impacto en los sitios web alojados en el IIS de Microsoft. Con un equipo de ingenieros, comencé el proceso de diagnóstico y limpieza del gusano de los sistemas. Cabe señalar que el Código Rojo afectaba a todos los sistemas que tenían instalado IIS, por lo que era necesario un inventario claro de los activos para asegurar la eliminación completa. Rápidamente descubrimos que muchos de nuestros clientes no habían mantenido su inventario de activos, haciendo imposible una eliminación completa hasta que realizamos otro inventario para encontrar todos los sistemas que ejecutaban Microsoft IIS (que era la mayoría de ellos).
El «Código Rojo II» siguió rápidamente al «Código Rojo» y el 18 de septiembre de 2001, uno de los gusanos más devastadores -Nimda- fue liberado usando la hazaña que abrió el «Código Rojo». Aunque Nimda tenía múltiples vectores de ataque, su entrada a través de los sistemas expuestos de Microsoft IIS (los que habían sido afectados por Code Red) ocurrió rápidamente, afectando a los sistemas operativos Windows 95, 98, NT y 2000. Si el gusano Code Red no se hubiera limpiado completamente de una red, te infectaste con algo mucho peor.
La parte más vergonzosa de esta historia es que el parche para prevenir el Código Rojo fue publicado por Microsoft en junio de 2001. En otras palabras, si las compañías hubieran actualizado sus sistemas operativos, no se habrían infectado. En aquellos días, los equipos de IT eran muy lentos para actualizar cualquier cosa.