WannaCry

Trudno dziś ignorować ataki ransomware. Według Internet Crime Report FBI, lokalne zgłoszenia takich zagrożeń wzrosły o 20% w 2020 roku. Globalnie, ataki nasiliły się o ponad 60% w latach 2019-2020. Nie tylko ataki ransomware są coraz częstsze, ale stają się one również bardziej zauważalne.

Od rurociągów naftowych i szpitali po szkoły, banki i organizacje charytatywne, wydaje się, że żadna organizacja nie jest odporna na ataki ransomware. To nie tylko duże firmy cierpią z powodu tych naruszeń cyberbezpieczeństwa. Małe firmy również stają się celem ransomware i mogą mieć trudności z przetrwaniem, ponieważ zazwyczaj mają mniej zasobów niż większe korporacje do odzyskiwania.

Chociaż globalny atak WannaCry miał miejsce w 2017 roku, od tego czasu pojawiło się wiele innych typów ransomware. Przyjrzyjmy się WannaCry i dowiedzmy się, dlaczego był to tak znaczący incydent cybernetyczny. 

Czym był atak ransomware WannaCry? 

„Ups, Twoje pliki zostały zaszyfrowane!”

W maju 2017 roku ransomware WannaCry rozprzestrzenił się po całym świecie poprzez komputery z systemem Windows. Prawie dwa miesiące wcześniej firma Microsoft wydała łatkę zabezpieczającą dla EternalBlue, exploita, który napastnicy wykorzystali do propagowania ransomware WannaCry. Jednak wielu użytkowników Windowsa na całym świecie nie zaktualizowało swojego oprogramowania lub używało nieaktualnych wersji, przez co było podatnych na atak na dużą skalę. 

Atakujący WannaCry zaszyfrowali komputery z Windows na całym świecie i zażądali okupu w wysokości początkowo 300 USD w Bitcoinach, a później 600 USD. Szacuje się, że w ciągu zaledwie kilku godzin zainfekowano 230 000 komputerów w 150 krajach. Po początkowym szybkim rozprzestrzenianiu się na całym świecie, badacz bezpieczeństwa Marcus Hutchins odkrył wyłącznik awaryjny, który znacznie spowolnił rozprzestrzenianie się ataku. 

Mapa ciepła infekcji ransomware WannaCry

Dlaczego WannaCry odniósł taki sukces?

Ransomware takie jak WannaCry zazwyczaj działa poprzez szyfrowanie plików lub blokowanie systemu. Następnie żąda zapłaty w formie kryptowaluty, takiej jak Bitcoin, ponieważ takie waluty są bardziej skomplikowane do wyśledzenia niż elektroniczne przelewy pieniężne, czeki lub zimna, twarda gotówka. WannaCry ma jednak pewne cechy, które odróżniają go od typowego ataku ransomware, o którym dziś czytamy.

Cybergangi zazwyczaj używają czystych szczepów ransomware do ataków ukierunkowanych. Przypomina to łuk i strzały zamiast katapulty. Ten pierwszy jest najlepszy do uderzania w jeden cel naraz, podczas gdy ten drugi jest lepszy do uderzania w wiele celów. Na przykład złośliwe oprogramowanie i gang przestępczy stojący za atakiem ransomware Colonial Pipeline pozornie skupiały się tylko na jednym celu. Aby podłożyć oprogramowanie ransomware DarkSide, gang najwyraźniej wykorzystał znane hasło do starszego konta wirtualnej sieci prywatnej (VPN).

Z drugiej strony, WannaCry był bardziej jak katapulta. Spełnił swoją nazwę, infekując setki tysięcy komputerów w ponad 150 krajach w zaledwie kilka godzin. Nie brał jeńców, szybko uderzał we wszelkiego rodzaju systemy poprzez sieci biznesowe. Dlaczego więc rozprzestrzenienie się ransomworma WannaCry było tak powszechne i skuteczne?

1. Komponent worma

Robak to rodzaj złośliwego oprogramowania, które może usuwać pliki, zużywać przepustowość i szybko się rozprzestrzeniać bez konieczności posiadania pliku hosta. Rozprzestrzenia się samoczynnie, co oznacza, że w przeciwieństwie do wirusa, nie potrzebuje ludzkiej aktywacji, aby rozpocząć swoją złośliwą aktywność. Ponadto robaki mogą przenosić złośliwe oprogramowanie, takie jak ransomware. WannaCry uderzył w komputery z systemem Windows jak pożar dzięki komponentowi robaka.

2. Exploity

Exploit to niezałatana luka w systemie, którą cyberprzestępca może wykorzystać do złośliwej działalności. WannaCry wykorzystuje lukę w sposobie, w jaki Windows zarządza protokołem SMB (Server Message Block). W skrócie, protokół SMB umożliwia komunikację między węzłami sieci. Chociaż Microsoft załatał luki w 2017 r., podmioty stanowiące zagrożenie wykorzystują luki w SMB nawet dziś do ataków trojanów i ransomware, ponieważ wielu użytkowników systemu Windows nie pobiera aktualizacji.  

Które sektory ucierpiały najbardziej przez WannaCry?

Atak WannaCry rozprzestrzenił się tak szybko i zainfekował tak wiele komputerów na całym świecie, że wiele branż zostało dotkniętych. Są to m.in.: 

• Opieka zdrowotna
• Służby ratunkowe
• Bezpieczeństwo
• Logistyka
• Telekomunikacja
• Gaz
• Benzyna
• Motoryzacja
• Edukacja
• Reklama

Ile komputerów zainfekował WannaCry?

WannaCry dotknął szacunkowo 230 000 komputerów. Malware wpłynął na działalność szpitali, służb ratunkowych, stacji benzynowych, a nawet fabryk. Niektóre szacunki oceniają finansowy koszt ataku na miliardy dolarów.

Kto stworzył WannaCry?

Stany Zjednoczone oficjalnie obwiniają Koreę Północną za atak WannaCry i nawet postawiły w stan oskarżenia trzech Koreańczyków Północnych za tego rodzaju malware oraz za atak na Sony Pictures Entertainment w 2014 roku. Co ciekawe, NSA (National Security Agency) mogła również nieumyślnie odegrać rolę w ataku WannaCry.

Rzekomo NSA odkryła lukę w zabezpieczeniach SMB, którą wykorzystuje WannaCry. Później to tak zwane narzędzie EternalBlue zostało rzekomo wykradzione z organizacji wywiadowczej i wyciekło przez The Shadow Brokers (TSB), hakera z grupy hacker grupę hakerów.

Czy WannaCry nadal stanowi zagrożenie?

WannaCry stanowi mniejsze zagrożenie w dużej mierze dzięki heroizmowi Marcus'a Hutchinsa. Brytyjski badacz bezpieczeństwa komputerowego opracował "kill switch" za pomocą inżynierii odwrotnej i honeypotów, które zapobiegły dalszemu wykonywaniu WannaCry. Ponadto, zespół francuskich badaczy znalazł sposób na odszyfrowanie niektórych zarażonych komputerów bez płacenia okupu.

Jednak WannaCry nadal jest aktywne. Aktualizuj regularnie system operacyjny Windows, aby mieć najnowsze łatki bezpieczeństwa. Możesz też polegać na inteligentnej technologii antymalware Malwarebytes, która proaktywnie wykrywa i usuwa Ransom.WannaCrypt.  

Co robi WannaCry, jeśli nie zostanie zapłacony okup?

WannaCry żąda 300 dolarów w Bitcoinie po zablokowaniu systemu, a później podwaja kwotę okupu. Grozi również trwałym usunięciem danych w ciągu trzech dni. W Malwarebytes zalecamy nie płacić gangom ransomware, częściowo dlatego, że to zachęca więcej takich grup do szybkiego wzbogacenia się. Ponadto nie ma gwarancji, że odblokujesz swoje pliki lub komputer. Na przykład, nie każdy ofiara WannaCry odzyskała swoje pliki po zapłaceniu okupu, prawdopodobnie z powodu defektu w samym ransomware.  

Jakie są dobre strategie ochrony przed ransomware?

Dla urządzeń, z których korzystasz w domu, używaj oprogramowania antywirusowego/antymalware, które chroni przed wszelkiego rodzaju złośliwym oprogramowaniem, w tym ochrona przed ransomware. W przypadku firm, strategie łagodzenia ransomware obejmują: 

1. Korzystaj z oprogramowania zabezpieczającego, które potrafi wykrywać i blokować zagrożenia ransomware. 
2. Regularnie twórz kopie zapasowe swoich danych i zastosuj air gap do krytycznych kopii zapasowych.
3. Segmentuj swoją sieć.
4. Zabezpieczaj luki w zabezpieczeniach poprzez regularne sprawdzanie aktualizacji.
5. Uważaj na wektory zagrożeń ransomware, takie jak e-maile phishingowe.
6. Ustawiaj skomplikowane hasła i zmieniaj je okresowo.
7. Chroń swój system i najważniejsze konta za pomocą uwierzytelniania dwuskładnikowego.

Artykuły o WannaCry z Malwarebytes Labs

• Microsoft wypuszcza łatkę, aby zapobiec luce na miarę WannaCry.
• Zaawansowane Pliki Trwałych Zagrożeń: Grupa Lazarus
• Jak aktorzy zagrożeń wykorzystują luki w SMB
• Cała ta sprawa z EternalPetya sprawia, że chce mi się WannaCry
• Mobilne Zagrożenie Poniedziałku: Fałszywy skaner WannaCry
• Chcesz odszyfrować swoje pliki? Rozwiązanie WannaCry, dla niektórych
• Jak rozprzestrzenił się ransomworm WannaCry?
• Masz jeszcze dość WannaCry? Specjalna edycja przeglądu ransomware
• Robak rozprzestrzeniający WanaCrypt0r