HybridPetya representa la evolución contemporánea de las familias Petya y NotPetya, conocidas por su devastador impacto en 2016 y 2017. Esta nueva variante no solo retoma técnicas clásicas de cifrado y sabotaje, sino que además demuestra la capacidad de evadir el mecanismo de UEFI Secure Boot, considerado hasta ahora como una barrera crítica frente a malware en el arranque.

Descubierto por investigadores de ESET, HybridPetya introduce un bootkit persistente en la partición EFI y aprovecha la vulnerabilidad CVE-2024-7344, una falla de seguridad corregida por Microsoft en enero de 2025. Esta debilidad permitía a atacantes reemplazar archivos legítimos del proceso de arranque, como bootmgfw.efi, por versiones alteradas, facilitando la instalación de un cargador malicioso incluso con Secure Boot habilitado.

Funcionamiento técnico

El ataque se centra en sistemas con particiones GPT y firmware UEFI:

• Inserción de bootkit → HybridPetya modifica directamente la partición de sistema EFI, integrando un bootloader manipulado.
• Componentes maliciosos → utiliza ficheros falsos de configuración (config, verify), además de un bootloader alterado que se activa tras un reinicio.
• Cifrado de datos → emplea el algoritmo Salsa20 para bloquear archivos críticos, impidiendo la recuperación del sistema sin la clave de rescate.
• Mecanismo de activación → provoca intencionalmente pantallas azules (BSOD), forzando un reinicio en el que el bootkit toma el control de la secuencia de arranque.

El resultado es un sabotaje total de la integridad del arranque, imposibilitando la restauración convencional del sistema operativo.

Riesgos e implicaciones

• Evasión de UEFI Secure Boot, debilitando uno de los pilares de seguridad en Windows.
• Compromiso a nivel de firmware, lo que permite persistencia avanzada incluso tras reinstalaciones superficiales.
• Interrupción total de operaciones, dado que el sistema no puede iniciar sin la clave de descifrado.
• Amenaza a la recuperación forense, ya que los componentes originales de arranque son eliminados o sobrescritos.

Aunque no existen campañas masivas detectadas todavía, HybridPetya ya circula como proof of concept y establece un precedente para futuros ataques dirigidos a organizaciones con equipos sin parches aplicados.

Recomendaciones

• Aplicar inmediatamente los parches de Microsoft de enero 2025 que corrigen la vulnerabilidad CVE-2024-7344.
• Mantener respaldos fuera de línea (offline) de la información crítica, mitigando el riesgo de pérdida total.
• Auditar periódicamente la partición EFI y validar la integridad de archivos de arranque.
• Eliminar permisos de arranque innecesarios y reforzar configuraciones de seguridad de firmware.
• Consultar indicadores de compromiso (IoCs) publicados por ESET para detección temprana.
• Activar MFA en sistemas y plataformas críticas, reduciendo la superficie de ataque en caso de explotación inicial.

📑 Conclusión

HybridPetya confirma que ninguna capa de seguridad es infalible si las vulnerabilidades no se corrigen oportunamente. Su capacidad para subvertir UEFI Secure Boot y cifrar datos desde la raíz del sistema lo posiciona como un nuevo referente en ransomware de arranque.
El mensaje es claro: solo mediante parcheo riguroso, monitoreo de firmware y copias de seguridad protegidas es posible mitigar el riesgo y evitar la pérdida catastrófica de sistemas y datos en entornos Windows modernos.

Fuente: unaaldia.hispasec[.]com