WannaCry ransomware angreb

WannaCry, også kendt under navnene WannaCrypt, WanaCrypt0r 2.0, Wanna Decryptor og andre lignende navne, er et ransomwareprogram rettet mod Microsoft Windows. I maj 2017 blev et stort cyber-angreb lanceret, hvor WannaCry blev brugt til at inficere over 230.000 computere i 99 lande, og afkræve løsepenge i bitcoin på 28 sprog. Angrebet er blevet beskrevet af Europol som hidtil uset i omfang.

13. maj 2017 udsendte Center for Cybersikkerhed (CFCS) et varsel om WannaCry ransomware hvor de vurderer at truslen er MEGET HØJ, og anbefaler, at ejere og administratorer af Windows-baserede systemer straks opdaterer eventuelt sårbare systemer, med de seneste sikkerhedsopdateringer fra Microsoft, herunder specifikt MS17-010.

Angrebet ramte Telefónica og flere andre store selskaber i Spanien, samt dele af Storbritanniens National Health Service (NHS), FedEx og Deutsche Bahn. Der blev også rapporteret om at andre mål i mindst 99 lande var blevet ramt omtrent samtidigt.

Det menes at WannaCry anvender den såkaldte EternalBlue exploit, der blev udviklet af det amerikanske National Security Agency for at kunne angribe computere, der kører Microsoft Windows-operativsystemerne. Selv om en rettelse der fjerner den underliggende svaghed blev udsendt 14. marts 2017, har forsinkelser i installationen af sikkerhedsopdateringerne betydet at nogle brugere og organisationer stadig var sårbare. Microsoft har taget det usædvanlige skridt at udsende opdateringer til versioner af Windows, der ikke længere er officielt understøttet, som Windows XP og Windows Server 2003 samt opdateringer til Windows 8 operativsystemerne.

En kill switch - en slags afbryder, som forhindrer spredning er blevet fundet i programkoden. Denne er blevet aktiveret af forskere, men da der kan eksistere forskellige udgaver af angrebet, er det stadig af den største vigtighed at alle sårbare systemer bliver opdateret.

Baggrund 
Den påståede angrebsmetode, EternalBlue, blev frigivet af hacker-gruppen Shadow Brokers 14. april 2017, sammen med andre værktøjer, der så ud til at var blevet lækket fra Equation Group, der menes at være en del af United States National Security Agency.

EternalBlue udnytter sårbarhed MS17-010 i Microsofts implementering af SMB (Server Message Block) protokollen. Microsoft havde en måned tidligere, 14. marts 2017 udsendt en opdatering betegnet "Kritisk" der lukker for svagheden. Denne opdatering lukkede kun for svagheden i Windows Vista og nyere operativsystemer, men ikke det ældre Windows XP.

Angreb 

12. maj 2017, begyndte WannaCry at ramme computere over hele verden. Efter at have fået adgang til computere, via lokalnetværk (LAN), e-mails med vedhæftede filer, eller ved at der hentes filer uden at brugeren er opmærksom på det (drive-by-download), krypterer ransomwaren computerens harddisk, og forsøger derefter på at udnytte SMB sårbarheden til at sprede sig til tilfældige computere på Internettet gennem TCP port 445, og mellem computere på det samme LAN. Som med al anden moderne ransomware, vises der en meddelelse der informerer brugeren om, at filerne er blevet krypteret, og kræver en betaling, i dette tilfælde på $300 i bitcoin inden for tre dage hvis man vil have sine data tilbage.

Windows-sårbarheden er ikke en nul-dags-fejl, men én, som Microsoft havde udsendt en sikkerhedsopdatering til 14. marts 2017, næsten to måneder før angrebet. Opdateringen rettede en fejl i SMB (Server Message Block) protokollen, der bruges af Windows. Organisationer, der manglede denne sikkerhedsrettelse blev ramt, selv om der indtil videre ingen beviser er for, at bestemte organisationer skulle have været udpeget som mål af udviklerne af ransomwaren. Alle organisationer der stadig kører det ældre Windows XP var i særlig høj risiko, fordi der indtil 13. maj 2017, ikke var blevet udsendt sikkerhedsrettelser siden april 2014. Efter angrebet har Microsoft udgivet en sikkerhedsopdatering til Windows XP.

Ifølge Wired magazine, bliver der også installeret DOUBLEPULSAR bagdøren på de ramte systemer. Hvis dette er tilfældet, vil det også være nødvendigt at få denne fjernet, i forbindelse med retableringen.

Virkning 
Ransomware-angrebet var ifølge Europol af hidtil uset omfang. Angrebet ramte mange NHS hospitaler i Storbritannien. 12. maj var det nødvendigt for nogle NHS-tjenester at nedprioritere ikke-kritiske nødsituationer, og nogle ambulancer blev omdirigeret. I 2016 blev det rapporteret at tusindvis af computere i 42 forskellige NHS trusts i England stadig kørte med Windows XP. Nissan Motor Manufacturing UK i Tyne and Wear, en af Europa's mest produktive bilfabrikker, stoppede produktionen efter ransomwaren havde ramt nogle af deres systemer. Renault stoppede også produktionen flere steder, i et forsøg på at stoppe spredningen af ransomwaren.

Liste over ramte organisationer 

 São Paulo Court of Justice (Brasilien)
 Vivo (Telefônica Brasil) (Brasilien)
 Instituto Nacional de Salud (Colombia)
 Renault (Frankrig)
 Deutsche Bahn (Tyskland) 
 Telenor Hungary (Ungarn)
 Andhra Pradesh Police (Indien) 
 University of Milano-Bicocca (Italien)
 Portugal Telecom (Portugal)
 Automobile Dacia (Rumænien)
 Ministry of Foreign Affairs (Rumænien)
 MegaFon (Rusland)
 Russian Railways (Rusland)
 Banco Bilbao Vizcaya Argentaria (Spanien)
 Telefónica (Spanien) 
 National Health Service (Storbritanien) 
 Nissan UK (Stobritanien) 
 FedEx (USA)

Svar 
12. maj 2017, flere timer efter den oprindelige udgivelse af ransomwaren, blev en "kill switch", en slags afbryder, der var hardcoded ind i ransomwaren, opdaget. Dette betød at den oprindelige spredning blev bragt til ophør ved at registrere et domænenavn. Men kill switchen ser ud til at være en programmeringsfejl lavet af de kriminelle, og det forventes at varianter uden denne kill-switch dukker op.

Se også 
 Sikkerhedsvidenskab
 ILOVEYOU

Noter 

Ransomware