[Globalny cyberatak. Ransomware – wirus żądający okupu. Wyłącz protokół SMB. J.B.]
Tak mógłby zaczynać się ten artykuł:
“Wczoraj zamknięto wszystkie szpitale i stacje benzynowe. W każdym zakładzie na świecie stanęły linie produkcyjne, a miliony osób zostało nie mogło wyjechać z podziemnych parkingów. Rządy nie panują nad sytuacją, bo komputery ministerstw wszystkich krajów także odmówiły posłuszeństwa. Na mieście, z każdego elektronicznego billboardu płynie obecnie tylko jeden przekaz: Jeśli nie zapłacisz 300 dolarów, już nigdy nie odzyskasz kontroli nad tym sprzętem i nad swoimi danymi.”
Tak mógłby zaczynać się ten artykuł, gdyby wszyscy na świecie korzystali z Windowsa i nikt go nie aktualizował od 3 miesięcy.
Na szczęście tak nie jest. Nie wszystkie szpitale i zakłady pracy korzystają z systemu Microsoftu. I nie każda firma podpina go bezpośrednio do internetu. A co najważniejsze, większość z nas regularnie aktualizuje oprogramowanie. Tylko ci, którzy tego nie zrobili przez ostatnie 3 miesiące, od piątku rano przeżywają horror… Ofiar jest sporo, bo obecnie ponad 200 tysięcy w 150 krajach:
Na liście ofiar znajdują się brytyjskie szpitale (48 z 248 związków NHS), rosyjskie i chińskie ministerstwa, firmy telekomunikacyjne (m.in. hiszpańska Telefonica — firma, podobnie jak kiedyś Sony, kazała pracownikom iść do domu oraz rosyjski Megafon czy Portugal Telecom), producenci samochodów (Renault, Nissan) a także przewoźnicy i kurierzy (Frankfurt Sbahn, Deutsche Bahn, Fedex).
Co ciekawe, w Polsce nie słychać o ofiarach. A co jeszcze ciekawsze, oświadczenie w sprawie tego robaka wydał rzecznik prasowy Ministra Koordynatora Służb:
Instytucje odpowiedzialne za cyber-bezpieczeństwo Polski na bieżąco analizują i monitorują próby ataków hakerskich i inne incydenty cybernetyczne. W chwili obecnej zarówno ABW, jak i podległe pod Ministerstwo Cyfryzacji instytucje nie identyfikują zdarzeń godzących w bezpieczeństwo cybernetyczne Polski.
Znajdujący się w gestii ABW Cert.gov.pl nie odnotował żadnych poważnych incydentów związanych z atakami hakerskimi w ostatnim czasie. Również NASK zajmujący się cyberbezpieczeństwem prywatnych podmiotów nie zgłasza sygnałów o incydentach. Duży atak hakerski, który miał miejsce na skalę światową, nie dotyczy Polski.
Z dotychczasowych analiz ABW wynika, że działania podejmowane przez hakerów skupiły się na kilku krajach, w tym Wielkiej Brytanii i Rosji. Atak wykorzystujący luki w oprogramowaniu instalowanym na komputerach był nakierowany na prywatnych odbiorców. Sposób działania hakerów sugeruje, że mamy do czynienia z atakami o charakterze kryminalnym, które są powiązane z próbą wyłudzenia pieniędzy.
Zarówno ABW, jak i NASK nie identyfikują obecnie ataków wymierzonych w Polskę.
Rzecznik Prasowy Ministra Koordynatora Służb
==============================================
Tylko się cieszyć. Bo u innych wygląda to źle [opuszczam z 10 zdjęć, jak źle. md]:
Ale co się dzieje?!
Po świecie od piątku rano grasuje internetowy robak WANNACRY. Rozprzestrzenia się poprzez błąd w protokole SMB, który zidentyfikowano dzięki analizie hackerskich narzędzi wykradzionych z NSA i opublikowanych w internecie przez grupę Shadow Brokers (dokładnie chodzi o narzędzie ETERNALBLUE). Zabawki NSA ujawniono 3 miesiące temu. Co ciekawe — już wtedy dostępna była łatka MS17-010, bo Microsoft jakoś dowiedział się o tych dziurach jeszcze przed upublicznieniem archiwum NSA. Kto nie wgrał tej poprawki, teraz pewnie bardzo tego żałuje.
Po wejściu na komputer, WANNACRY szyfruje pliki, dodając rozszerzenie WNCRY i wyświetla komunikat z żądaniem okupu:
Ofiara musi zapłacić 300 dolarów (w bitcoinach). Jeśli tego nie zrobi w przeciągu 3 dni, cena wzrasta do 600 dolarów. Jeśli przestępcy nie otrzymają okupu w ciągu 7 dni, ofiara straci na zawsze możliwość odzyskania swoich danych (choć jest tu pewna sprzeczność, bo przestępcy później zastrzegają, że jeśli ktoś jest tak biedny, że nie będzie w stanie zapłacić, to po 6 miesiącach przewidują uruchomienie możliwości darmowego odzyskania danych).
Nie płaćcie!
Zanim przejdziemy do technicznego opisu robaka, ważny komunikat: NIE PŁAĆCIE
O ile zazwyczaj w przypadku ataków ransomware, (o ile ktoś nie dysponował kopią bezpieczeństwa, a zaszyfrowane dane były istotne), radziliśmy płacenie — i to jak najszybsze — to tu mamy pewne obawy, czy ta strategia się ofiarom nomen omen opłaci. Dlaczego? Z ujawnionych przypadków infekcji wynika, że przestępcy na przemian pokazują ofiarom tylko 3 adresy portfeli Bitcoin:
115p7UMMngoj1pMvkpHijcRdfJNXj6LrLn
12t9YDPgwueZ9NyMgw519p7AA8isjr6SMw
13AM4VW2dhxYgXeQepoHkHSQuy6NgaEb94
To oznacza, że nie są oni w stanie zweryfikować która z ofiar wpłaciła okup! Jest co prawda możliwość kontaktu z przestępcami — ale przy takiej skali infekcji, mamy podejrzenia, czy zapewnią oni odpowiednią skalowalność dla komunikacji… Do tej pory nie widzieliśmy też żadnego potwierdzonego “odzyskania” danych po zapłacie okupu.
Na chwilę obecną przestępcy zgromadzili na tych adresach 129 wpłat na kwotę ok. 18 BTC (125 000 PLN). To bardzo mało, jak na taką skalę ataku. Cryptolocker, czyli inny ransmoware, w 2013 zarobił miliony!
Czyżby z racji weekendu nie w każdej z dotkniętych atakiem firm podjęto działania naprawcze? A może większość ofiar dysponowało backupami i po prostu przeinstalowało systemy, odtwarzając dane z kopii bezpieczeństwa? Miejmy nadzieję, że ta druga hipoteza jest bliższa prawdy.
Bardziej techniczne ciekawostki z działania robaka
Akcja jest całkiem nieźle przygotowana, bo robak komunikuje się z ofiarami w kilkadziesięciu językach. Ale obsługa wpłat na tylko 3 adresach BTC i wbudowany w robaka “kill switch” każą nam się zastanowić, czy przypadkiem nie jest to jakiś laboratoryjny prototyp, który wymknął się spod kontroli.
Otóż WANNACRY na starcie próbuje się łączyć z domeną
iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com
I jeśli to się powiedzie, przestaje działać.
FAIL: Niestety, tę domenę niektóre z antywirusów uznają za złośliwą i blokują do niej dostęp co pozwala robakowi działać…
Rzadko spotyka się takie proste “wyłączniki” w “produkcyjnym” kodzie robaka. Może więc ten był wersją testową, która wymknęła się spod kontroli? Kiedy jeden z badaczy odkrył ten mechanizm kill switcha w kodzie robaka, szybko zarejestrował domenę i zapobiegł dalszemu rozprzestrzenianiu się WANNACRY po świecie. Niestety nie na długo…
Dziś rano do internetu ktoś wpuścił kolejną próbkę. Bez tego kill switcha. I co gorsza, badacze wskazują, że szybko mogą powstać kolejne warianty. Pierwsza wersja WANNACRY jest bowiem tak napisana, że łatwo jest podmienić payload a z oryginału wziąć najważniejsze — skuteczny mechanizm rozprzestrzeniania się po świecie. Według analityków działa on tak, że, robak po infekcji oprócz szyfrowania plików skanuje sieć lokalną i infekuje inne znajdujące się w niej i niezałatane Windowsy, a dodatkowo w poszukiwaniu nowych ofiar skanuje też fragmenty internetu.
Jeden z badaczy, który wystawił do internetu honeypota, został zainfekowany w 3 minuty:
Mam Windowsa — co robić, jak żyć?
Jeśli jeszcze nie zostałeś zainfekowany — zaktualizuj oprogramowanie, a jeśli z jakiegoś powodu nie możesz tego zrobić, wyłącz obsługę protokołu SMB.
Jest też narzędzie hiszpańskeigo CERT-u, które może pomóc w walce z infekcją.
Co ciekawe, obecność mutexu o nazwie MsWinZonesCacheCounterMutexA też ogranicza działanie WANNACRY.
Jeśli ktoś szuka ICO, znajdzie je tutaj.
Ale ja mam Windows XP, na którego Microsoft nie wydaje już poprawek!!!
To prawda, że dziura z której korzysta robak jest także obecna w Windows XP, a jak wiemy Microsoft już nie wspiera i nie wydaje na ten system poprawek bezpieczeństwa. Łatka dla nowszych windowsów (MS17-010) więc nie dotyczyła tego systemu. Dlatego Windows XP stanowił dość spory procent ofiar WANNACRY.
Na szczęście Microsoft zlitował się nad posiadaczami przestarzałego systemy i wydał dla niego poprawkę. Jeśli więc gdzieś macie jeszcze XP, szybko ją zaaplikujcie.
…choć nie zawsze będzie to łatwe. Jak informuje Barry Dorrants
The release of the patch probably isn’t going to help that £15m MRI machine that runs XP embedded whose maker went bankrupt 10 years ago.
Przypomnijmy, że Windows Embedded działa na wielu dziwnych urządzeniach (m.in. terminalach płatniczych). Jest on również podatny na ten atak — więc jeśli w sieci lokalnej znajdzie się zainfekowany host, urządzenie pracujące pod kontrolą wbudowanej wersji Windows XP zostanie zaszyfrowane.
Być może to jest także klucz do odpowiedzi na pytanie dlaczego pomimo tak wielu ofiar jest tak niewiele wpłat? Te urządzenia nie zawierają istotnych danych (choć pełnią istotną funkcję). Jeśli coś złego się z nimi stanie, można je łatwo jest “przeinstalować”. Nie trzeba płacić za odzyskiwanie danych.
Większy atak mógł mieć już miejsce (albo nawet trwa), tylko go nie zauważyliśmy
I tu dochodzimy do ciekawej refleksji. Nie licząc zagrożenia życia pacjentów w szpitalach oraz zapewne wielomilionowych strat w fabrykach w których stanęły linie produkcyjne, WANNACRY może być dobrą lekcją “security awareness”. Że należy aktualizować oprogramowanie. Że należy migrować ze starych systemów na nowsze. Że nie należy ich wystawiać “do internetu” na protokołach, które w internecie nie muszą być dostępne. I że w lokalnych podsieciach warto izolować stacje w podsieciach, aby ograniczać efekt “domina”.
Zauważmy też, że ransomware to bardzo widoczny objaw działania złośliwego oprogramowania. Są wyraźne komunikaty, że coś jest nie tak — niczego nie da się zrobić na zainfekowanym komputerze. Ale pamiętajmy, że ten sam (albo inny) błąd mógł zostać wykorzystany “po cichu”. Do inwigilacji lub kradzieży danych. Ba! Był do tego wykorzystywany przez NSA. I to w czasach, kiedy nie było na niego patcha, a więc każdy użytkownik Windowsa mógł być ofiarą. I nikt by o tym nie wiedział…
PS. Na koniec warto wspomnieć, że błędy w oprogramowaniu nie dotyczą tylko Windowsa. Użytkownik każdego systemu (nawet tego, który nie został dotknięty robakiem WANNACRY) powinien regularnie wgrywać aktualizacje bezpieczeństwa. Dziś na celowniku są Windowsy, ale kwestią czasu jest, kiedy ktoś stworzy robaka atakującego ransomwarem inne systemy (botnet Mirai, choć nie szyfrował danych, pięknie to pokazał).
Tekst wzięty z http://dakowski.pl/index.php?option=com_content&task=view&id=20234&Itemid=52