InfoWatch представил обзор атаки вирусом-вымогателем WannaCry

InfoWatch представил обзор атаки вирусом-вымогателем WannaCry

В мае 2017 года стало известно о распространении вируса-вымогателя WannaCry в 150 странах мира, в том числе в России. Код этого вируса для компьютеров на ОС Windows был выложен в утечке WikiLeaks, среди прочих хакерских инструментов ЦРУ.

Несмотря на то, что код был «стерилизован», создатели вируса его модифицировали. Технология распространения вируса не требует никаких действий от пользователя — ни открытия файлов, ни чтения почты, ни перехода по ссылкам — только включённый компьютер с уязвимым Windows, подключённым к Интернету. Атака происходит через сетевую уязвимость Microsoft Security Bulletin MS17-010».  Вирус шифрует файлы на зараженном компьютере, после чего требует отправить злоумышленникам от $300 до $600 в биткоинах. Заражению подвержены компьютеры, где не установлены обновления Windows и не стоит свежий антивирус, пишет infowatch.ru.

Ущерб

Программа-вымогатель WannaCry заблокировала не менее 200 тыс. компьютеров по данным на 15 мая. Зараженными оказались компьютеры МВД России, РДЖ, телеком-операторов «МегаФон» и «ВымпелКом». Атаки были также осуществлены на Сбербанк, Минздрав РФ и систему выдачи прав ГИБДД. В Германии хакерской атаке подверглись системы крупнейшего железнодорожного оператора Deutsche Bahn. В Великобритании под ударом оказались сервисы больниц.  В Японии среди жертв вируса оказались некоторые подразделения Nissan и Hitachi, в Китае нефтяной гигант PetroChina подтвердил, что пострадали платежные системы на некоторых его заправках. Также пострадали несколько испанских компаний (телекоммуникационный гигант Telefonica, энергетическая фирма Iberdrola, поставщик коммунальных услуг Gas Natural), компания экспресс-доставки FedEx, компания Renault.

Создатели вируса-вымогателя WannaCry уже получили от своих жертв более $55 тыс. Пользователи создали ресурс, где в режиме реального времени можно проследить за перечислениями средств на счета злоумышленников.

Позиция пострадавшей стороны

Президент России Владимир Путин прокомментировал вирусную атаку на компьютерные системы организаций вирусом WannaCry: «Что касается источника этих угроз, то, по-моему, руководство Microsoft об этом прямо заявило. Сказали о том, что первичным источником этого вируса являются спецслужбы Соединенных Штатов, Россия здесь совершенно ни при чем. Мне странно слышать в этих условиях что-то другое».

Первую волну вируса удалось остановить благодаря британскому программисту, который обнаружил, что вирус обращается по адресу iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com и решил зарегистрировать домен, чтобы проследить его активность. Как выяснилось, адрес был зашит в коде вируса на тот случай, если его потребуется остановить. Однако как только хакеры изменят адрес в коде, кибератака продолжится.

Эксперт образовательного проекта «Кибербаталии», руководитель российской практики услуг по информационной безопасности компании PwC Роман Чаплыгин заявил, что зафиксировано более 300 новых штаммов вируса WannaCry.

Пояснение Аналитического центра

Как объясняет генеральный директор компании Attack Killer (входит в ГК InfoWatch) Рустэм Хайретдинов, существует несколько классов вирусов по цели применения: «боевые» — как Stuxnet, атаковавший энергетические объекты в Иране и остановивший на какое-то время развитие ядерной программы в стране, «коммерческие» — которые пишутся с целью шантажа, грабежа, мошенничества, а также «информационные атаки» — которые производятся, чтобы продемонстрировать мощь и силу. Трудно назвать атаки на больницу в Великобритании – позицией демонстрации силы, как и рассматривать WannaCry с точки зрения боевых вирусов — он вымогает деньги, таким образом, является образцом коммерческих вирусов. 

«Атака шла на все уязвимые компьютеры и российские пользователи оказались наименее подготовленными к ней, и почему — предстоит ещё выяснить. Возможно, это сочетание нескольких факторов, например, большого распространения пиратских копий среди персональных пользователей, — комментирует Рустэм Хайретдинов. — Пользователи таких копий намеренно отключают обновления, поэтому с большой вероятностью за два месяца после выхода патча они себе его не установили. Корпоративные пользователи в массе своей имеют легальные копии операционных систем, однако они и обновляются по-другому — через корпоративные центры обновления. Принятие решение об установке обновления и его техническая реализация в каждой компании это отдельный процесс, который вполне мог затянуться на пару месяцев из-за бюрократии или технических проблем».

Microsort выпустил патч для всех поддерживаемых систем и для неподдерживаемых Windows Server 2003, Windows XP SP2 и SP3. Обычная тактика действия злоумышленников – сразу после выпуска патча изучать его с целью понимания принципов работы (реверсить), а поняв, какую уязвимость он закрывает, писать эксплойт (набор команд для эксплуатации этой уязвимости), пытаться атаковать непропатченных пользователей. Это редко занимает больше нескольких суток, поэтому и рекомендации вендора в этом случае – после публикации патча немедленно его установить, поскольку злоумышленники действуют быстро. Скорость выпуска патча конкретно в этом случае никак бы не повлияла – злоумышленники использовали не «0-day» (уязвимость, к которой нет патча), а уже раскрытую уязвимость.

Чтобы защититься от вируса достаточно установки обновления Microsoft или ручного отключения устаревших и практически не использующихся протоколов.

«В случае заражения вирусом WannaCry, есть возможность восстановления системы из резервных копий. По счастью, этот шифровальшик шифрует файлы немедленно после попадания на компьютер (обычно такие вирусы шифруют данные несколько дней, чтобы зашифрованные файлы попали и в резервные копии). Поэтому восстановление из резервных копий в случае с WannaCry возможно, — объясняет генеральный директор Attack Killer. — На мой взгляд, платить вымогателям — провоцировать их на новые преступления. К тому же, никто не гарантирует, что после перевода денег вам придет код расшифровки».

«Любые эпидемии, в том числе киберэпидемии, и появляются из-за несоблюдения гигиены. Люди перестают заниматься гигиеной, расслабляются и начинают тяжело болеть там, где всё могло обойтись мытьём рук перед едой», — считает Рустэм Хайретдинов.

Yandex Zen AMПодписывайтесь на канал "Anti-Malware" в Yandex Zen, чтобы узнавать о новостях и эксклюзивных материалах по информационной безопасности в своей персональной ленте.

Лаборатории Касперского открыла первый Центр прозрачности в Цюрихе

Сегодня, 13 ноября, «Лаборатория Касперского» начала обработку вредоносных и подозрительных файлов, поступающих от европейских пользователей продуктов компании, в Цюрихе, где также открыла свой первый Центр прозрачности. Это важные шаги в реализации глобальной инициативы по информационной открытости – масштабного проекта «Лаборатории Касперского», анонсированного в октябре 2017 года. Он нацелен на то, чтобы повысить устойчивость IT-инфраструктуры компании даже к гипотетическим рискам и сделать все её процессы ещё более прозрачными для текущих и будущих клиентов и широкой общественности.

Пользователи «Лаборатории Касперского» могут добровольно согласиться делиться данными с облачной инфраструктурой Kaspersky Security Network (KSN). С 13 ноября 2018 года часть этих данных, а именно подозрительные или ранее неизвестные вредоносные файлы, а также соответствующие метаданные для автоматического анализа, получаемые компанией от европейских пользователей, начнут обрабатываться в двух ЦОДах в Швейцарии. Процесс создания дополнительной инфраструктуры по обработке данных, как ожидается, полностью завершится к концу 2019 года. Другие сведения, включая обезличенную статистику угроз, начнут обрабатываться в Цюрихе на следующих этапах реализации глобальной инициативы по информационной открытости.

Кроме того, 13 ноября «Лаборатории Касперского» открыла свой первый Центр прозрачности в Цюрихе. В рамках этой структуры доверенным партнёрам и правительственным организациям предлагается возможность проверить исходный код продуктов компании. Кроме этого, они смогут получить доступ к базам данным вирусных сигнатур, обновлениям ПО, документации по безопасной разработке ПО и другим важным материалам. Центр прозрачности позволит проводить внешний аудит и оценку исходного кода компании, а также изучать техническую документацию в безопасной и удобной среде, специально созданной для этого.

Вслед за запуском Центра прозрачности и центра обработки данных для европейских пользователей «Лаборатория Касперского» планирует создание дополнительных ЦОДов для пользователей из других регионов, а также запуск в Цюрихе инфраструктуры, позволяющей проводить компиляцию ПО (создание «конвейера для сборки ПО») для пользователей из Европы, США и других стран. 

Согласно независимым рейтингам, Швейцария входит в число мировых лидеров по количеству доступных защищённых интернет-серверов. IT-инфраструктура этой страны, её ЦОДы имеют самую высокую репутацию на глобальном уровне. Находясь в сердце Европы и при этом не являясь членом Европейского союза, Швейцария сформировала собственную политику регулирования конфиденциальных данных, которая гарантируется Конституцией государства и федеральными законами. Кроме того, в стране действуют строгие правила, регулирующие процедуры обработки запросов на получение электронных данных, поступающих от органов власти.

«Стремление к транспарентности становится новой нормой в IT-индустрии и в частности в индустрии кибербезопасности. Мы гордимся тем, что находимся на передовой линии этого процесса, и серьёзно относимся к защите данных наших пользователей и надёжности наших продуктов. Создание в Швейцарии дополнительной инфраструктуры по разработке ПО и обработке пользовательских данных – яркое тому подтверждение. Обещания, данные нами в рамках глобальной инициативы по информационной открытости, уже успешно реализуются. Мы приглашаем экспертное сообщество и правительственные организации ознакомиться с нашими продуктами (исходным кодом, программными обновлениями и прочей технической документацией) в нашем новом Центре прозрачности в Цюрихе. Считаем, что подобные шаги – это только начало как для компании, так и для индустрии в целом. Необходимость подтверждать надёжность продуктов скоро станет отраслевым стандартом», – подчеркнул Евгений Касперский, генеральный директор «Лаборатории Касперского».

«Создание Центра прозрачности «Лаборатории Касперского» в Швейцарии подтверждает, что наша страна стала глобальным центром инноваций и технологий с сильным кластером кибербезопасности. Она предоставляет передовую и безопасную цифровую инфраструктуру, которая привлекает всё больше технологических лидеров», – отметил Лив Миндер (Liv Minder), директор по привлечению инвестиций Switzerland Global Enterprise.

Yandex Zen AMПодписывайтесь на канал "Anti-Malware" в Yandex Zen, чтобы узнавать о новостях и эксклюзивных материалах по информационной безопасности в своей персональной ленте.

RSS: Новости на портале Anti-Malware.ru