WannaCry – globalny paraliż spowodowany przez ransomware

Atak jest szeroko komentowany, ponieważ ucierpiały liczne elementy infrastruktury publicznej – przykładem są szpitale w Wielkiej Brytanii, które musiały zostać zamknięte, a operacje pacjentów przełożone na inne terminy. Według najnowszych danych Europolu liczba zaatakowanych komputerów w ponad 150 krajach świata przekroczyła liczbę 200 000.

– To największy atak ransomware w historii – mówi Mikko Hypponen, główny dyrektor ds. badań w firmie F-Secure.

Zaatakowani zostali również niemiecki przewoźnik Deutsche Bahn i hiszpański dostawca usług telekomunikacyjnych Telefónica. Zatrzymanie linii produkcyjnej z uwagi na blokadę ogłosiła firma Renault. Według danych z F-Secure Labs najbardziej dotknięte atakiem kraje to Rosja, Chiny, Francja, Tajwan, Stany Zjednoczone, Ukraina oraz Korea Południowa.

– Atak ransomware WannaCry to powtórka z przeszłości. Niestety, organizacje przez długi czas ignorowały podstawowe zasady bezpieczeństwa, takie jak konieczność użycia firewalla i dlatego WannaCry szybko wymknął się spod kontroli – mówi Sean Sullivan, doradca ds. cyberbezpieczeństwa w firmie F-Secure.

WannaCry wykorzystuje lukę usługi Server Message Block (SMB) w Microsoft Windows. W dodatku atak odbywa się za pomocą exploita (program wykorzystujący błędy w konkretnym oprogramowaniu), który został wykradziony amerykańskiej Agencji Bezpieczeństwa Narodowego (NSA) w kwietniu.

Firma Microsoft wypuściła już stosowne łatki (MS17-010) w marcu, ale wiele środowisk IT nie przeprowadza regularnych aktualizacji, a niektóre z nich korzystają jeszcze z systemu Windows XP, który już od dłuższego czasu nie jest wspierany przez producenta. Zdarza się, że użytkownicy korzystają z pirackiego oprogramowania (szczególnie w Rosji i w Chinach), a w tym przypadku urządzenie nie jest w stanie przeprowadzić aktualizacji. W związku z zaistniałym atakiem firma Microsoft wypuściła aktualizację dla systemów Windows XP oraz Server 2003.

Organizacje powinny niezwłocznie sprawdzić, czy firewall, z którego korzystają, jest odpowiednio skonfigurowany i czy Windows został zaktualizowany do najnowszej wersji (w szczególności chodzi o aktualizację MS17-010). Na tę chwilę nie jest możliwe odszyfrowanie komputerów, które już zostały zablokowane – na odzyskanie danych bez konieczności uiszczenia okupu mogą liczyć organizacje, które przeprowadzały backup swoich plików.

Jednemu z badaczy, który zauważył, że złośliwe oprogramowanie nawiązuje połączenie z niezarejestrowaną domeną, udało się spowolnić rozprzestrzenianie infekcji. Po rejestracji domeny za niewiele ponad 10 dolarów ataki ustały. Nie ma niestety pewności, że odmiana ransomware WannaCry nie zostanie wykorzystana ponownie, łącząc się z inną domeną.

Rozwiązania F-Secure chroniące punkty końcowe blokują ataki ransomware, takie jak WannaCry – poniżej znajduje się mapa wskazująca miejsca, w których udało się zapobiec atakom:

Aby chronić się przed atakami ransomware, należy wdrożyć podstawowe środki bezpieczeństwa:

1. Oprogramowanie ochronne
Pierwszym krokiem jest zainstalowanie oprogramowania ochronnego – dotyczy to nie tylko komputerów, ale także smartfonów i tabletów.

2. Regularny backup danych
Należy często przeprowadzać backup danych i przechowywać je offline, aby w razie ataku nie zostały zainfekowane. Warto co jakiś czas sprawdzać, czy faktycznie ich przywracanie działa bez zarzutów. W razie ataku ransomware będzie można błyskawicznie odzyskać swoje pliki bez konieczności uiszczania opłaty cyberprzestępcom.

3. Aktualizacja oprogramowania
Należy regularnie przeprowadzać aktualizacje. Znaczna część ataków wykorzystuje luki w przestarzałym oprogramowaniu. Dostępne są również narzędzia, które same sugerują lub przeprowadzają regularne aktualizacje bez ingerencji użytkownika.

4. Podejrzane załączniki w mailach
Wskazana jest wzmożona czujność w odniesieniu do załączników przesyłanych drogą mailową – w szczególności plików ZIP, EXE oraz dokumentów pakietu Office (Word, Excel czy PowerPoint). Jeżeli nie znamy  nadawcy wiadomości, lepiej nie otwierać ich w ogóle. Należy również pamiętać, aby nie zezwalać na włączanie makr w dokumentach Office.

5. Mniej wtyczek w przeglądarce
Warto ograniczyć liczbę wtyczek w przeglądarce, które mogą być źródłem infekcji. Można to w łatwy sposób skonfigurować w ustawieniach dotyczących pluginów.

– Masowy paraliż spowodowany przez WannaCry nie jest jeszcze najgorszym scenariuszem – szczęście w nieszczęściu, że atak nie był aktem terrorystycznym czy działaniem na zlecenie rządu. Cyberprzestępcy w tym przypadku kierują się chęcią zarobienia pieniędzy, a skutki ataku są odwracalne. Skala przedsięwzięcia to jednak niebezpieczny dowód na to, że potencjalnie możliwy byłby atak o nieodwracalnych skutkach, przeprowadzony przez hakerów na rzecz któregoś z państw – podsumowuje Sullivan.

F-Secure