Trojan szyfrujący o nazwie „WannaCry“ szaleje od 12 marca 2017 roku i atakuje systemy Windows na całym świecie, w tym infrastrukturę krytyczną, choć raczej losowo. To, że plądrowanie cyfrowego skarbu NSA ma taki wpływ na cały świat, jest naprawdę przerażające, zwłaszcza że Microsoft wydał łatę dla swoich systemów operacyjnych natychmiast po tym, jak stała się ona znana, wystarczająco długo przed tą falą ataków. Poniższy artykuł jest przeglądem WannaCry, jego wpływu i opcji ochrony.

Co było przyczyną? Przyczyny rozprzestrzeniania się WannaCry

Na początku 2017 r. ponuraki były jeszcze wysokie, gdy grupa hakerska Shadow Brookers dokonała nalotu na cyfrowe skarby NSA i opublikowała exploity pochodzące od zespołu NSA Equation Group. Wśród nich znalazła się luka w Windowsowych udziałach w plikach SMB, którą Microsoft naprawił natychmiast po jej upublicznieniu za pomocą MS17-010 (KB 4013389). W tym miejscu zaczyna się tragedia, gdyż Microsoft po prostu przeszedł nad przestarzałymi systemami, takimi jak Windows XP czy Windows Server 2003, choć te właśnie systemy są nadal używane w firmach i w administracji publicznej.

Reszta to potem już tylko recykling starych modułów kryptowalutowych trojanów z dostosowaniem do nowej luki i „WannaCry“ była gotowa, która znana jest również jako Wana Decrypt0r 2.0 i rozprzestrzenia się na całym świecie od 12 maja 2017 roku. Ataki przeprowadzane są w klasyczny sposób za pośrednictwem wiadomości e-mail, a także rozprzestrzeniają się w ramach zainfekowanych sieci.

Trojan szyfruje znalezione pliki i bierze je jako zakładników. Dane mają być ponownie uwolnione za zapłatą 300 dolarów amerykańskich za pośrednictwem metod płatności takich jak Bitcon. Securelist udokumentował infekcję i sposób działania WannaCry we wpisie na blogu.

Światowa infestacja

Szantażyści muszą być bardziej niż zaskoczeni własnym sukcesem. Porażone są systemy na całym świecie, nie tylko przez prywatnych użytkowników, z wyraźnym naciskiem na Rosję.

W Niemczech najbardziej widoczną ofiarą była firma Deutsche Bahn, na której tablicach wyświetlanych były nie tylko opóźnienia, ale także ekran wymuszenia WannaCry.

To, że rozprzestrzenianie się – mimo łatki od Microsoftu – było tak szybkie na całym świecie, wynika z dwóch czynników: z jednej strony z nieostrożności wielu adminów przy dystrybucji łatek, a z drugiej strony z kroku podjętego przez Microsoft, polegającego na pozostawieniu na razie bez łatki starych, wciąż powszechnie używanych systemów, takich jak Windows XP.

Wycofanie się Microsoftu

Podczas gdy w Niemczech Federalny Urząd Policji Kryminalnej rozpoczął już śledztwo, a Federalny Urząd Bezpieczeństwa Informacji (BSI) ostrzegł przed ransomware, użytkownikowi Twittera udało się znaleźć w kodzie trojana „wyłącznik awaryjny“ i tym samym powstrzymać jego dalsze rozprzestrzenianie. Dokładne odkrycie udokumentował we wpisie na blogu.

Microsoft ze swojej strony stara się ograniczyć szkody i ze względu na ogólnoświatowe rozprzestrzenianie jest zmuszony do podjęcia kroku polegającego na udostępnieniu łatki dla systemów, które zostały już spisane na straty, takich jak Windows XP czy Server 2003.

Przypisywanie winy?

Tymczasem Microsoft przeszedł do ofensywy, obwiniając przede wszystkim rząd USA za ukrywanie znanych luk w zabezpieczeniach, a następnie zlecanie ich wykradania. Szef działu prawnego Microsoftu opisuje nawet scenariusz, jak gdyby amerykańskiemu wojsku skradziono niektóre z jego rakiet typu „Tomahawk“.

Analiza być może pokaże później dokładnie, które systemy (operacyjne) zostały dotknięte. Podejrzenie nasuwa się samo, że to głównie stare systemy XP zostały dotknięte. To, czy Microsoft może uchylić się od odpowiedzialności mając na uwadze fakt, że wsparcie dla tych systemów zostało przerwane już w 2014 roku, pozostaje nie tylko pytaniem etycznym.

Przynajmniej użytkownicy Windows 10 powinni być zadowoleni: często krytykowany wymóg auto-update zapobiegał gorszemu samopoczuciu na takich systemach, a tym samym zagrał prosto w ręce Redmond z ich argumentacją za auto-update.

Ochrona przed podobnymi atakami

Obecna pandemia ransomware, które szyfruje własne pliki takie jak dokumenty, zdjęcia czy filmy i może je ponownie uwolnić dopiero po zapłaceniu okupu, jest groźna. A dobre rady, jak zaradzić sytuacji, jeśli samemu jest się poszkodowanym, są drogie. Chyba że ma się w ręku odpowiedni backup.

W naszym artykule „Strategie ochrony przed trojanami takimi jak Locky: właściwy backup!“ w 2016 roku opisywaliśmy już strategie właściwego backupu, ale także pułapki takiego backupu, które są aktualne do dziś.