Атака программы-вымогателя WannaCry

Атака программы-вымогателя WannaCry была майберовой кибератакой мая 2017 года с помощью криптовального устройства WannaCry ransomware, которое предназначалось для компьютеров под управлением операционной системы Microsoft Windows путем шифрования данных и требовательных выплат в биткойн-криптовалюте. Он распространялся через EternalBlue, эксплоит в более старых системах Windows, выпущенный The Shadow Brokers за несколько месяцев до атаки. В то время как Microsoft ранее выпускала исправления для закрытия эксплойта, большая часть распространения WannaCry распространялась на организации, которые их не применяли, или использовали более старые системы Windows, которые были в конце их срока службы. WannaCry также воспользовалась установкой backdoor на зараженные системы.

Атака была остановлена в течение нескольких дней после ее обнаружения из-за аварийных исправлений, выпущенных Microsoft, и обнаружения переключателя kill, который помешал зараженным компьютерам распространять WannaCry дальше. По оценкам, нападение затронуло более 200 000 компьютеров в 150 странах с общим ущербом от сотен миллионов до миллиардов долларов. Эксперты по безопасности полагали, что из предварительной оценки червя, что нападение возникло из Северной Кореи или учреждений, работающих в этой стране.

В декабре 2017 года Соединенные Штаты, Соединенное Королевство и Австралия официально заявили, что Северная Корея находится за нападением.

## Описание

WannaCry - это криптовальная система ransomware, предназначенная для компьютеров под управлением операционной системы Microsoft Windows путем шифрования данных и требовательных выплат в биткойн-криптовалюте. Он считается сетевым червем, так как он также включает механизм транспорта для автоматического распространения. Этот транспортный код сканирует уязвимые системы, затем использует эксплойт EternalBlue для доступа, а инструмент DoublePulsar - для установки и выполнения самой копии.

EternalBlue - это эксплойт протокола Windows Server Message Block (SMB), выпущенного The Shadow Brokers. Большая часть внимания и комментариев вокруг события была вызвана тем фактом, что Агентство национальной безопасности США (NSA) уже обнаружило эту уязвимость, но использовало ее для создания эксплойта для собственной наступательной работы, вместо того, чтобы сообщать об этом Microsoft. Microsoft в конце концов обнаружила эту уязвимость, а во вторник, 14 марта 2017 года, они выпустили бюллетень по безопасности MS17-010, в котором подробно описана ошибка и объявлено, что исправления были выпущены для всех версий Windows, которые в настоящее время поддерживаются в то время, это Windows 7, Windows 8.1, Windows 10, Windows Server 2008, Windows Server 2012 и Windows Server 2016, в дополнение к Windows Vista (которая недавно завершила поддержку).

DoublePulsar - это бэкдор-инструмент, также выпущенный The Shadow Brokers 14 апреля 2017 года. Начиная с 21 апреля 2017 года исследователи безопасности сообщили, что компьютеры с установленным бэкдором DoublePulsar были в десятках тысяч. К 25 апреля в отчетах было подсчитано, что число зараженных компьютеров составляет до нескольких сотен тысяч, причем числа увеличиваются экспоненциально каждый день. Код WannaCry может использовать любую существующую инфекцию DoublePulsar или сам устанавливает ее.

При выполнении вредоносного ПО WannaCry сначала проверяет имя домена «kill switch»; если он не найден, тогда выкуп зашифровывает данные компьютера, а затем пытается использовать уязвимость SMB для распространения на случайные компьютеры в Интернете и «сбоку» на компьютеры в той же сети. Как и в случае с другой современной выкупкой, в полезной нагрузке отображается сообщение, информирующее пользователя о том, что файлы были зашифрованы, и требует оплаты около 300 долларов в биткойне в течение трех дней или 600 долларов США в течение семи дней. Для получения платежей жертвам используются три жестко закодированных адреса биткойна или «кошельки». Как и во всех таких кошельках, их транзакции и балансы являются общедоступными, даже несмотря на то, что владельцы криптовалютных кошельков остаются неизвестными.

Несколько организаций выпустили подробные технические отчеты о вредоносном ПО, включая Microsoft, Cisco, Malwarebytes, Symantec и McAfee.

## Атака

Атака началась в пятницу, 12 мая 2017 года, с доказательствами, указывающими на первоначальную инфекцию в Азии в 7:44 UTC. Первоначальная инфекция, вероятно, была вызвана уязвимым SMB-портом, а не фишингом электронной почты, как предполагалось первоначально. Сообщалось, что в течение дня было заражено более 230 000 компьютеров в более чем 150 странах.

Атака была затронута теми организациями, которые не установили обновление безопасности Microsoft с апреля 2017 года. Те, кто по-прежнему запускал неподдерживаемые версии Microsoft Windows, такие как Windows XP и Windows Server 2003, подвергались особому риску, поскольку с апреля 2014 года не были выпущены исправления безопасности (за исключением одного аварийного патча, выпущенного в мае 2014 года). В исследовании «Лаборатории Касперского» сообщалось, что менее 0,1% затронутых компьютеров работают под управлением Windows XP, а 98% затронутых компьютеров работают под управлением Windows 7. В контролируемой среде тестирования кибербезопасность фирмы Kryptos Logic обнаружила, что они не смогли заразить систему Windows XP с помощью WannaCry, используя только эксплойты, поскольку загрузка не загружалась или приводила к сбою операционной системы, а не фактически выполняла и шифровала файлы. Однако при выполнении вручную WannaCry все еще может работать в Windows XP.

### Оборонительный ответ

Эксперты быстро посоветовали пострадавшим пользователям отказаться от выкупа из-за отсутствия сообщений о том, что люди получают свои данные после оплаты, а высокие доходы будут стимулировать больше таких кампаний. По состоянию на 14 июня 2017 года, после того, как нападение уменьшилось, было перевезено в общей сложности 327 выплат на общую сумму 130 634,77 долл. США (51,62396539 XBT).

На следующий день после первоначальной атаки в мае Microsoft выпустила исправления безопасности для Windows 7 и Windows 8.1, а также внеполосные обновления безопасности для продуктов конца жизни Windows XP, Windows Server 2003 и Windows 8, эти исправления были созданы в феврале того же года после отзыва об уязвимости в январе того же года. Организациям рекомендуется исправлять Windows и подключать эту уязвимость, чтобы защитить себя от кибер-атаки. Руководитель Центра операционных систем Microsoft Cyber Defense, Адриенна Холл, сказала, что «из-за повышенного риска разрушительных кибератак в настоящее время мы приняли решение принять это решение, потому что применение этих обновлений обеспечивает дополнительную защиту от возможных атак с характеристиками, аналогичными WannaCrypt [альтернативное имя WannaCry] ".