Masivní ofenzíva ransomwaru WanaCrypt0r

Několik desítek zemí bylo zasaženo masivní vlnou ransomwaru WanaCrypt0r. Ten zašifroval dokumenty a obrázky na obrovském množství počítačů a třeba ve Velké Británii zasáhl i řadu nemocnic. Útok se nevyhnul ani jiným oblastem. Kupříkladu společnost Renault díky útoku pozastavila výrobu.

O útocích informuje celá řada médií, tudíž by bylo divné, pokud by to server viry.cz minulo 🙂

Bez spolupráce uživatele

Výrazný úspěch této havěti z kategorie ransomware spočívá v tom, že nepožaduje od uživatele žádnou „spolupráci“ ke svému spuštění. Nedorazí mu totiž e-mailem v podobě přílohy, vydávající se například za fakturu (více třeba v předchozí novince). WanaCrypt0r místo toho sází na chybu v operačním systému Microsoft Windows a šíří je jako síťový červ. Mezi počítači tak „přeskakuje“ v podobě, která není pro uživatele „hmatatelná“.

Záplata je na světě

Chyba je popsána v Microsoft Security Bulletinu MS17-010 a existuje tedy patřičná záplata. Ta je ale relativně čerstvá (vznikla v průběhu března 2017) a tudíž se na světě vyskytuje celá řada počítačů, kde ještě nedošlo k její instalaci. Problém je evidentně tak velký, že k dispozici jsou záplaty i na dávno nepodporované verze operačních systémů ze strany Microsoftu, například Windows XP či Windows Server 2003 (více zde)!

Některé příspěvky na twitteru jsou jak z akčního filmu. Níže třeba fotka toho, jak se ransomware WanaCrypt0r postupně šíří na další a další počítače v učebně:

Hacking the hackers

Využitou zranitelnost cíleně využívala i organizace NSA (proslula hlavně s aférou Edwarda Snowdena), nicméně díky nedávnému útoku, kdy skupina hackerů hacknula jinou skupinu hackerů (Shadow Brokers vs Equation Group – více třeba zde), se tyto nástroje dostaly na veřejnost a bylo jen otázkou času, kdy je někdo zneužije. V té době šlo přitom o nástroje zneužívající chyby, o kterých neměli ponětí ani samotní autoři cílených aplikací a tudíž nemohly existovat ani patřičné záplaty. Přesně ideální „materiál“ do nově vznikající havěti :-/

Vypínač

Zajímavostí je, že havěť v sobě obsahuje „kill switch“ a lze ji tak centrálně usmrtit. Celá pointa spočívá v tom, že havěť po spuštění kontroluje existenci domény www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com. Pokud neexistuje, normálně pokračuje v další činnosti, zašifruje dokumenty a šíří se na další počítače. Pokud ale doména s tímhle šíleným názvem existuje, žádnou škodlivou aktivitu nezahájí. První vlna útoku tak teoreticky skončila, neboť doménu zaregistroval jeden člověk z Anglie, který havěť analyzoval. Prakticky ale útok neskončil, neboť řada korporací přistupuje do internetu skrze proxy (tam se „kill switch“ neuplatní) a taky může dojít k velmi drobné úpravě havěti a odstranění tohoto „vypínače“.

Závěr

Nejvíce infekcí je hlášeno z Ruska, Ukrajiny a Taiwanu. Českou republiku a Slovensko zasáhl útok pouze okrajově. Nicméně uvidíme v dalších dnech, hlavně těch pracovních.

Co se týká samotného procesu šifrování dokumentů, obrázků a dalších souborů, přítomnost havěti lze rozpoznat podle přípony .WNCRY u postižených souborů. Útočníci se nechají platit kolem 300$ a to pochopitelně v Bitcoinech.

Co říci závěrem? Záplatujte a to ideálně automaticky!