# WannaCry

Na informática, o WannaCry, também chamado WCry, WCrypt, WanaCrypt0r 2.0, Wanna Decryptor 2.0.é um crypto-ransomware (um malware) que afeta o sistema operativo Microsoft Windows desatualizado. A sua difusão em larga escala iniciou-se em 2017 infectando mais de 230 mil sistemas, dentre operadoras de telecomunicações, empresas de transportes, organizações governamentais, bancos e universidades. Com impacto qualificado como «sem precedentes».
A ameaça utiliza técnicas de exploração alegadamente desenvolvidas pela Agência de Segurança Nacional dos Estados Unidos. Uma correção crítica para a vulnerabilidade (em sistemas operativos com suporte) foi publicada a 14 de março de 2017. Atualizações de segurança para Windows XP e Server 2003, não suportados pela empresa Microsoft, foram também lançadas em resposta a esta ameaça.
Após o início da sua propagação, um investigador permitiu inadvertidamente uma estabilização do número de infeções, ao qual se seguiu pouco depois o surgimento de variantes que contornam a técnica utilizada para a prevenção da infeção. Os três endereços bitcoin incorporados no software malicioso foram monitorizados através de um bot. A 14 de maio de 2017, os resgates pagos totalizavam cerca de 33.000 dólares.
Em dezembro de 2017, os Estados Unidos e o Reino Unido afirmaram formalmente que a Coreia do Norte estava por trás do ataque, embora os norte-coreanos tenham negado qualquer envolvimento no ataque.

## Infecção

A difusão do WannaCry em larga escala iniciou-se a 12 de maio de 2017 infectando mais de 230 mil sistemas. Organizações como a Telefónica e o Serviço Nacional de Saúde britânico foram afetadas, juntamente com outras operadoras de telecomunicações, empresas de transportes, organizações governamentais, bancos e universidades. O Centro de Cibersegurança Europeu (Europol) qualificou o seu impacto como «sem precedentes».
A divulgação de exploits pelo grupo The Shadow Brokers a 14 de abril de 2017 levou ao lançamento de uma correção crítica pela Microsoft em maio de 2017. A técnica de exploração utilizada pelo malware deve-se a uma vulnerabilidade (EternalBlue/MS17-010) referente ao protocolo Server Message Block (SMBv1 e SMBv2) que permite a execução de código remoto ou, em alternativa, a um backdoor (DOUBLEPULSAR).
O ransomware foi detectado pela primeira vez no início de fevereiro de 2017. A ameaça propaga-se através de um anexo de correio eletrônico ou através de outros computadores comprometidos na mesma rede graças a um executável, com características de worm, que procura replicar-se por servidores Windows que estejam acessíveis através da porta 445. Após ganhar acesso a um sistema, procede à sua replicação e execução, tentando depois a ligação a um domínio na Internet. Caso esta ligação seja bem-sucedida, o processo é terminado sem que a sua componente de ransomware seja executada. Em caso contrário, um ficheiro comprimido e protegido por palavra-passe é extraído para o sistema e executado. A ameaça procede depois à extração de um cliente TOR, para a comunicação com os servidores de comando e controlo; e à alteração de privilégios do utilizador de modo a facilitar a criptografia dos dados.
Após a encriptação dos dados, serviços relacionados com a recuperação de dados e restauro do sistema são desativados pelo ransomware. Como acontece com ameaças semelhantes, é exigido o resgate dos dados através do pagamento de $300 em bitcoin num prazo de três dias, e com a ameaça de destruição dos dados caso esta quantia não seja paga. A mensagem foi traduzida para mais de vinte idiomas.
Em 17 de Julho de 2017 aconteceu um ataque cibernético em grande escala, em cidades do Brasil e mundo.

## Impacto
### Europa

O Centro de Cibersegurança Europeu (Europol), notou o nível «sem precedentes» do acontecimento e a necessidade de uma «investigação internacional complexa que permita identificar os culpados». As repercussões desta ameaça foram sentidas particularmente no Reino Unido, onde o Serviço Nacional de Saúde se viu obrigado a cancelar consultas não-urgentes e a desviar ambulâncias. A organização viu-se fortemente afetada graças à presença de numerosos sistemas com Windows XP, cujo suporte havia terminado em abril de 2014.
Foi também noticiada a paragem, no mesmo país, da linha de produção de uma fábrica pertencente à companhia automóvel Nissan e de outra, em França, pertencente à Renault.
Em Portugal, as empresas afetadas, entre as quais a Portugal Telecom e a EDP, decidiram ativar os seus planos de segurança, restringindo o acesso ou desligando as suas redes internas. Por sua parte, a Polícia Judiciária deu início a investigações ao sucedido.

### Organizações afetadas

* Tribunal de Justiça de São Paulo
* Vivo (Telefônica Brasil) (Brasil)
* Hospital Sírio-Libanês (Brasil)
* Universidade Sun Yat-sen (China)
* Instituto Nacional de Salud (Colômbia)
* Renault (França)
* Deutsche Bahn (Alemanha)
* Telenor (Hungria)
* Andhra Pradesh Police (Índia)
* Dharmais Hospital (Indonésia)
* Harapan Kita Hospital (Indonésia)
* Universidade de Milano-Bicocca (Itália)
* Portugal Telecom
* Automobile Dacia (Roménia)
* Ministério dos Negócios Estrangeiro (Romênia)
* MegaFon (Rússia)
* Ministério do Interior (Rússia)
* Ferrovias Russas
* BBVA (Espanha)
* Telefónica (Espanha)
* Sandvik (Suécia)
* Serviço Nacional de Saúde (Reino Unido)
* Nissan UK (Reino Unido)
* FedEx (Estados Unidos)

### Interrupção da propagação

No dia 13 de Maio de 2017, um investigador sob o pseudónimo MalwareTech, que havia criado uma ferramenta para monitorar a propagação do ransomware em tempo real, encontrou por acidente um mecanismo de interrupção contido no código da ameaça, que permitia a prevenção da sua propagação através do contato com um domínio. No entanto, este mecanismo é interpretado como um erro por parte dos criminosos, e foi dado como expectável a criação de variantes sem este.
A identidade de MalwareTech foi revelada posteriormente: o surfista britânico Marcus Hutchins que trabalha na empresa Kryptos Logic.