Como es sabido, Microsoft distribuyó una actualización extraordinaria de seguridad para Windows, incluyendo la obsoleta versión XP, con el fin de contener los estragos causados por el ransomware, o más exactamente ransomworm WannaCrypt, WannaCry o Wana Decrypt0r. El malware utiliza una vulnerabilidad en la implementación SMB v1 de Windows. En marzo, Microsoft publicó una actualización de seguridad que elimina la vulnerabilidad desde la versión Vista de su sistema operativo. El soporte para Windows XP, en tanto, finalizó oficialmente en abril de 2014.
“Soporte personalizado”
La publicación The Register comenta que lo anterior es una verdad a medias, debido a que es inexacto afirmar que Microsoft repentinamente decidió, por el bien común, incluir a Windows XP entre los sistemas parcheados. Lo cierto es que el parche está fechado a mediados de febrero, alrededor de la misma fecha en que la empresa creó los parches para los sistemas operativos que aún cuentan con soporte oficial.
La explicación estaría en un comunicado difundido por Microsoft el viernes 12 de mayo con motivo de la distribución del parche general para Windows, donde indica: “Adicionalmente, hemos dado el inusual paso de proveer actualizaciones de seguridad para todos los clientes, con el fin de proteger plataformas para las que sólo existe soporte personalizado [nota de redacción: subrayado nuestro], incluyendo Windows XP, Windows 8, and Windows Server 2003. Los usuarios que utilicen Windows 10 no se vieron en ningún caso afectado por el ataque de hoy”.
Microsoft no niega las actualizaciones de seguridad para sistemas obsoletos que por una u otra razón continúan siendo utilizados. Mientras los usuarios paguen, continuarán recibiendo parches y actualizaciones. Es precisamente a esto a lo que Microsoft se refiere con “soporte personalizado”.
The Register concentra su crítica en señalar que los usuarios de Windows XP cuyos datos han sido cifrados por WannaCry podrían haberlo evitado si Microsoft hubiese distribuido el parche de seguridad mucho antes, en lugar de sólo entregárselo a los usuarios de pago.
Por otra parte, es precisamente situaciones como esta que podrían motivar a los usuarios a entender, de una vez por todas, los riesgos de utilizar software obsoleto, que carece de soporte oficial.
Según The Register, la mayor parte de usuarios de XP se encuentra en China, país donde circula un gran número de versiones pirateadas de sistemas operativos y otro software.
Críticas a la NSA
El director de asuntos jurídicos de Microsoft, Brad Smith, criticó durante el fin de semana a la Agencia Nacional de Seguridad estadounidense, NSA, por acaparar vulnerabilidades para uso ofensivo, en lugar de ayudar a los actores afectados a eliminarlas. La vulnerabilidad aprovechada por WannaCry quedó a disposición de todo interesado con la filtración de una serie de ciberarmas sustraídas a la NSA.
Sin embargo, esta opinión no es compartida por la empresa de seguridad informática High-Tech Bridge: “Sería injusto e irrazonable culpar a la NSA de haber contribuido a este ataque. Vulnerabilidades similares de día cero son compradas y vendidas prácticamente cada día, entre un gran número de organizaciones. A cualquiera puede ocurrirle que una vulnerabilidad sea filtrada, y que desconocidos la aprovechen para causar daño. El problema real es que en 2017 sigue habiendo empresas y autoridades que esperan meses antes de parchear vulnerabilidades del conocimiento público. En la práctica, la NSA no necesita recurrir a vulnerabilidad desde el día cero para apropiarse de sus datos. Su negligencia prácticamente ‘invita’ a los atacantes a entrar”.
