WannaCry (syn. WannaCrypt, WanaCrypt0r 2.0, Wanna Decryptor) je Ransomware (vyděračský software) napadající počítače se systémem Microsoft Windows. Útok od 12. května 2017 je považován za nejničivější a nejagresivnější útok svého druhu (předbíhá i virus ILoveYou). Po nakažení počítače zašifruje data na pevném disku a žádá platbu ve výši 300 USD (6 348 korun) v Bitcoinech na odblokování souborů (po skončení konečného termínu se cena zvýší až do 2000 USD / 1720 EUR). Virus se šíří od 12. května 2017. Virus dosud nakazil více než 250 000 počítačů ve více než 150 zemích světa. Nejrozšířenější je v Rusku, Ukrajině, Indii a Tchaj-wanu.
náhled|Mapa zobrazující infikované země (červená) a neinfikované země (šedá) virem WannaCry do dne 15. května 2017 Většina ransomwaru se do počítače dostane e-mailem, linky nebo reklamami. Nicméně není známa přesná metoda šíření viru WannaCry. Virus využívá EternalBlue exploit a DoublePulsar backdoor, které vyvinula NSA. 14. května 2017 byla kvůli tomuto viru vydána aktualizace pro systémy Windows, dokonce i na nepodporované systémy jako například Windows XP.
Kyberútok Po nainstalování WannaCry nejprve zkontroluje přítomnost „kill switch“. Pokud není nalezen, ransomware zašifruje data na počítači a pokusí se vyslat instalační soubory po síti. Jako při každém ransomware, zobrazí se zpráva informující uživatele o nakažení a žádá výkupné v hodnotě 300 USD (6 348 korun) nebo 600 USD (12 700 korun) v internetové měně Bitcoin do tří nebo sedmi dní.
Počítače, které si nenainstalovaly bezpečnostní update od Microsoftu jsou napadnutelné. Snáze pak napadnou Windows 7 než například Windows XP.– WannaCry: the rush to blame XP masked bigger problems.
Útočník není zatím znám. Je potvrzeno, že útočník za 5 dní vydělal na malwaru přes 73 000 USD (64 870 EUR).
Zastavení šíření Bezpečnostní pojistka označovaná jako kill switch, kterou WannaCry kontroloval před zahájením šifrování, nakonec posloužila k zastavení jeho šíření. Malware se před spuštěním pokoušel připojit k pevně zakódované, dosud nezaregistrované doméně; pokud doména neodpovídala, pokračoval v šifrování a šíření, pokud odpovídala, ukončil se. Dne 12. května 2017 si britský bezpečnostní analytik Marcus Hutchins, vystupující pod přezdívkou MalwareTech, této domény při analýze vzorku všiml a zaregistroval ji původně pouze za účelem sledování zasažených systémů (tzv. sinkhole). Tím nechtěně aktivoval kill switch: doména začala odpovídat a nově infikované počítače proto přestaly data šifrovat a dále se šířit. Podle dat společnosti Avast počet detekcí krátce po registraci domény výrazně klesl. Registrace domény ovšem neobnovila data na počítačích, které již byly zašifrovány. Krátce po útoku se navíc objevily varianty bez funkčního kill switche, ty se však kvůli chybám v kódu šířily jen omezeně.
EternalBlue & DoublePulsar EternalBlue, hlavní součást WannaCry, byla vydána hackerskou skupinou The Shadow Brokers dne 14. dubna 2017 spolu s dalšími hackerskými nástroji získaných z tzv. 'Equation Group' (sk. Rovnicová skupina), údajně pocházející z americké organizace NSA. EternalBlue využívá zranitelnost v protokolu SMB (Server Message Block), která byla opravená aktualizací MS17–010,. Update byl vydán pro všechny verze Windows 14. března 2017. Údajně, EternalBlue není funkční v systému Windows 10.
Od 21. dubna 2017 se šíří backdoor DoublePulsar, který již 4 dny na to nakazil více než 100 000 počítačů, přičemž počet infikovaných počítačů roste exponenciálně každý den. EternalBlue i DoublePulsar byly použity najednou v útoku WannaCry.
Dopad Malware WannaCry měl i má obrovský dopad na nejen osobní počítače. WannaCry nakazil Národní zdravotnickou službu (NHS) v Spojeném království – musely být zrušeny mnohé naplánované operace. Virus způsobil i několik hodin dlouhou odstávku mobilní sítě O2 Telefónica v Španělsku, taktéž i problémy s dopravou, když byly napadeny železniční počítače Deutsche Bahn a aerolinky LATAM Airlines. Mezi další významné firmy napadeny virem WannaCry jsou Renault, FedEx nebo Sberbank.
Virus byl zaznamenán i na Slovensku, kde zasáhl Fakultní nemocnici v Nitře.
Reference
Externí odkazy
Kategorie:Počítačoví červi Kategorie:Počítačová bezpečnost Kategorie:Události roku 2017 Kategorie:12. květen Kategorie:Historické počítačové útoky a incidenty