Atak WannaCry ransomware mógł być dużo gorszy

Siedziba NSA, gdzie luki w oprogramowaniu są gromadzone w tajemnicy… a następnie kradzione, wyciekane i udostępniane niczego niepodejrzewającej opinii publicznej.





Być może słyszeliście: w piątek rozpoczął się ogólnoświatowy atak ransomware znany jako WannaCry (oraz WannaCrypt i WannaDecryptor), który ostatecznie objął około 200 000 komputerów w 150 krajach.

Ale mogło być o wiele gorzej — i mamy badaczy cyberbezpieczeństwa, którym możemy podziękować za upewnienie się, że tak nie było.

Nawet gdy w piątek wciąż rozchodziła się wiadomość, że komputery w dziesiątkach szpitali w Wielkiej Brytanii były złośliwie blokowane, a na ich ekranach pojawiało się powiadomienie z żądaniem okupu, anonimowy badacz znany jako MalwareTech był w trakcie zamykania dalszego rozprzestrzeniania się programu .



Jak ona zgłoszone w fascynującym poście na blogu , MalwareTech znalazł niezarejestrowany adres URL w kodzie WannaCry. Podejrzewając, że adres ma coś wspólnego z komunikacją wirusa – co jest powszechną cechą botnetów i innych rodzajów złośliwego oprogramowania – MalwareTech zarejestrował domenę i obserwował, jak ruch z tysięcy zainfekowanych komputerów napływa, niemal przeciążając serwer hostujący domenę. Zwykle ten rodzaj leja jest próbą zakłócenia działania botnetu, na przykład poprzez wydawanie poleceń do zainfekowanych systemów.

W tym przypadku domena okazała się wyłącznikiem awaryjnym — w każdym systemie, który nawiązał kontakt z adresem URL, wirus sam się wyłączył. WannaCry wychodził.

Jak zauważył MalwareTech, złośliwi programiści mogą jednak z łatwością zmienić kod WannaCry, aby zamiast tego pingować nowy adres. I zrobili. W niedzielę nowy wariant infekował tysiące systemów w Rosji. To też zostało ograniczone dzięki szybkiej pracy badacza cyberbezpieczeństwa .



W międzyczasie Microsoft podjął niezwykły krok, rozprowadzając łatę usuwającą lukę w nieobsługiwanej wersji systemu Windows, którą wykorzystywał WannaCry. Amerykańska Agencja Bezpieczeństwa Narodowego była gromadzenie luki , ale wyciekł po kradzieży tajemnic agencji przez grupę hakerską znaną jako Shadow Brokers.

Niestety, jak wspomnieliśmy wcześniej, oprogramowanie ransomware stało się popularną formą cyberprzestępczości z jednego prostego powodu: to się opłaca. Trudno też – choć nie niemożliwe – przestać. Oprócz ataków, które miały miejsce w ten weekend, przestępcy zablokowali część systemu transportu publicznego w San Francisco i szpital w Los Angeles – w tym drugim przypadku, zmuszając szpital do wypłacenia 17 000 dolarów za odzyskanie dostępu do swoich plików.

Architekci WannaCry podobnie szukali szybkiej wypłaty. Ułatwili jednak śledzenie pieniędzy: kod WannaCry zawierał adresy trzech portfeli Bitcoin. Od popołudniowego poniedziałku bot na Twitterze śledzący płatności do portfeli powiedział, że na kontach znajdowało się nieco ponad 55 000 dolarów.



Dzięki takiej analizie niektórzy eksperci spekulowali, że ktokolwiek stoi za WannaCry nie odważy się spróbować wypłaty z portfeli, bojąc się, że wysadzi ich osłonę. Sama suma może również dać im spokój. Jasne, to dużo pieniędzy – ale mogło być o wiele więcej.

(Czytaj więcej: Techniki dotyczące złośliwego oprogramowania , Los Angeles Times , BBC , Kwarc , Przetrzymywanie zakładników danych: idealne przestępstwo internetowe? , dwa sposoby na zatrzymanie ransomware w jego śladach )



ukryć