WannaCry

WannaCry, WannaCrypt, WanaCrypt0r 2.0, Wanna Decryptor, Microsoft Windows'u hedef alan bir fidye virüsü. Mayıs 2017'de 99 ülkedeki 230.000 bilgisayara bulaşarak 28 dilde fidye talep eden geniş çaplı bir siber saldırı başlattı. WannaCry, enfekte olduğu bilgisayardaki dosyaları şifreleyip yeniden erişime açılabilmesi için fidye talep etmektedir. Saldırı, Europol tarafından "eşi benzeri görülmemiş" şeklinde nitelendirildi.
Saldırı, İspanya'daki telekom şirketi Telefónica, enerji şirketi Iberdrola ve kamu hizmeti şirketi Gas Natural'ın da aralarında bulunduğu büyük kuruluşların yanı sıra İngiltere Ulusal Sağlık Servisi (NHS), FedEx ve Deutsche Bahn'i de etkiledi. En az 99 ülkedeki diğer hedeflerin de aynı zamanda saldırıya uğradığı bildirildi.. Rusya İçişleri Bakanlığı, Rusya Acil Durum Bakanlığı ve Rusya telekomünikasyon şirketi MegaFon da virüsün binden fazla bilgisayara enfekte olduğunu bildirdi.
WannaCry'ın ABD Ulusal Güvenlik Ajansı tarafından Microsoft Windows işletim sistemlerini kullanan bilgisayarlara saldırmak üzere geliştirilen EternalBlue'yu kötüye kullandığı düşünülmektedir. Temel güvenlik açığını gidermeye yönelik bir düzeltme yaması 14 Mart 2017'de yayımlanmış olmasına rağmen, güvenlik güncelleştirmelerinin uygulanmasının gecikmesi bazı kullanıcılar ve kuruluşları savunmasız bıraktı.
Yeni bulaşmaları önleyebilecek bir öldürme anahtarı bulundu. Araştırmacılar tarafından aktif hale getirilek WannaCry'ın yayılımının yavaşlaması ya da durdurulması hedeflendi. Ancak fidye yazılımın farklı sürümleri yayınlanabilir ve güvenlik açığı bulunan sistemlerin güncellenmesi gerekmektedir.
Arka plan
Sözde bulaşma taşıyıcısı EternalBlue, 14 Nisan 2017'de düzenlenen The Shadow Brokers hacker grubu tarafından ve Amerika Birleşik Devletleri Ulusal Güvenlik Ajansı'nın bir parçası olduğu düşünülen Equation Group'tan sızdırılmış diğer araçlarla birlikte salıverildi.
EternalBlue, Microsoft'un Sunucu Mesaj Bloğu (SMB) protokolünü uygulamasındaki MS17-010 güvenlik açığından yararlanmaktadır. Microsoft, 14 Mart 2017'de güvenlik açığından etkilenen bir düzeltme yaması ile birlikte "Kritik" bir öneri yayımladı.
12 Mayıs 2017'de WannaCry, dünyadaki bilgisayarları etkilemeye başladı. Fidye virüsü, bilgisayarlara eriştikten sonra bilgisayarın sabit disk sürücüsünü şifrelemekte ve ardından SMB'nin güvenlik açığından yararlanarak internetteki rastgele bilgisayarlara ve LAN'da aynı LAN üzerindeki bilgisayarlar arasında yayılmaya çalışmaktadır.
Windows güvenlik açığı bir sıfır gün açığı değil ancak Microsoft'un 14 Mart 2017'de (neredeyse olaydan tam iki ay önce) bir güvenlik yaması hazırladığı bir güvenlik açığıdır. Düzeltme yaması, Windows tarafından kullanılan Sunucu Mesaj Bloğu (SMB) protokolüne yönelikti. Microsoft ayrıca kullanıcıları eski SMB1 protokolünü kullanmayı bırakmaya ve daha yeni, daha güvenli SMB3 protokolünü kullanmaya teşvik etmektedir. Kuruluşların virüsten etkilenme sebebi bu güvenlik yamasından yoksun olmaları ve bugüne kadar herhangi birinin fidye yazılımı geliştiricileri tarafından hedef alındığına dair hiçbir kanıt olmamasıydı. Ömrünü tamamlamış olan Windows XP kullanan herhangi bir kuruluş 13 Mayıs tarihine kadar yüksek risk altındaydı. XP için bu tarihten önce Nisan 2014'ten beri herhangi bir güvenlik yaması çıkarılmadı.
Etkisi
Zararlı yazılım, İngiltere ve İskoçya'da Ulusal Sağlık Sistemi'nin (NHS) çökmesine neden oldu. 12 Mayıs'ta bazı NHS hizmetleri, acil durumlar dışında hasta kabul etmedi ve ambulanslar bekletildi. 2016'da İngiltere'deki 42 ayrı NHS tröstünde binlerce bilgisayarın hala Windows XP çalıştırıldığı bildirildi. Rusya İçişleri Bakanlığı, Rusya Acil Durum Bakanlığı ve Rusya telekomünikasyon şirketi MegaFon da virüsün binden fazla bilgisayara enfekte olduğunu bildirdi.
Etkilenen kuruluşlar
São Paulo Court of Justice (Brezilya)
Vivo (Telefonica Brasil) (Brazil)
Waterloo Üniversitesi (Kanada)
PetroChina (Çin)
Kamu Güvenliği Bürosu (Çin)
Sun Yat-sen Üniversitesi (Çin)
Instituto Nacional de Salud (Kolombiya)
Renault (Fransa)
Deutsche Bahn (Almanya)
Telenor Hungary (Macaristan)
Andhra Pradesh Police (Hindistan)
Dharmais Hastanesi (Endonezya)
Harapan Kita Hastanesi (Endonezya)
Milano-Bicocca Üniversitesi (İtalya)
Portugal Telecom (Portekiz)
Automobile Dacia (Romanya)
Dışişleri Bakanlığı (Romanya)
MegaFon (Rusya)
İçişleri Bakanlığı (Rusya)
Rusya Demiryolları (Rusya)
Banco Bilbao Vizcaya Argentaria (İspanya)
Telefónica (İspanya)
Sandvik (İsveç)
Ulusal Sağlık Servisi (Birleşik Krallık)
Nissan BK (Birleşik Krallık)
Q-Park (Hollanda)
FedEx (ABD)
Garena Blade and Soul (Tayland)
Yapılanlar
Kötü amaçlı yazılım içine sabitlenmiş bir "öldürme anahtarı", ilk bulaşmanın durdurulmasını sağladı, ancak öldürme anahtarı olmayan varyantların oluşturulması bekleniyor.
13 Mayıs 2017'de, Microsoft'un güncelleme desteği vermeyi çoktandır bıraktığı Windows XP, Windows 7, Windows 8 ve Windows Server 2003 için bir güvenlik güncelleştirmesi oluşturmak için olağan dışı bir adım attığı bildirildi.
Tepkiler
İngiltere Başbakanı Theresa May konuyla ilgili yaptığı açıklamada Ulusal Siber Güvenlik Merkezi'nin (NCSC) NHS ile "yakın çalışma" içinde olduğunu söyledi. May, ayrıca şu ana kadar kişilerin sağlık bilgilerinin ele geçirilmiş olabileceğine dair herhangi bir bulguya rastlanmadığını da ifade etti.