__NOTITLECONVERT__

-{WannaCry}- (tkđ. -{WannaCrypt}-, -{WanaCrypt0r 2.0}-, -{Wanna Decryptor}-) ransomver je program odnosno kriptovirus koji napada operativne sisteme Majkrosoft vindous.

Globalni sajber napad je počeo u petak, 12. maja 2017. godine, od kada je zaraženo preko 300.000računara u 150zemalja. Hakeri, nakon što enkriptuju podatke, traže plaćanje dekripcije u kriptovaluti bitkojn na28jezika. Evropol je opisao napad kao bez presedana po obimu, a stručnjaci su rekli su da se dio koda iz prethodnih verzija opasnog softvera -{WannaCry}- takođe nalazio u programima Lazarus grupe (koju suistraživači iz mnogih kompanija identifikovali kao hakersku operaciju Sjeverne Koreje).

U napadu su stradale mnoge organizacije, među njima i Telefonika i još nekoliko velikih kompanija u Španiji, neki dijelovi britanske Nacionalne zdravstvene službe Engleska (-{NHS}-) u UK, -{sr:Fedeks;sr-ec:Федекс;sr-el:Fedeks}- u SAD, -{sr:Dojče ban;sr-ec:Дојче бан;sr-el:Dojče ban}- u Njemačkoj i -{LATAM}- erlajns u Čileu. Druge mete u najmanje 150 zemalja takođe su napadnute otprilike u isto vrijeme. Najteže pogođene zemlje su Rusija, Ukrajina, Indija i Tajvan.

Ransomver obično zarazi računar nakon što korisnik otvori fišovani imejl, a iako se smatralo da su navodno i u ovom slučaju bili korišćeni ovakvi imejlovi za infekciju računara ovaj metod napada zapravo nije potvrđen. Kada se instalira, -{WannaCry}- koristi -{EternalBlue}- eksploit, koji je razvila američka Nacionalna sigurnosna agencija (-{NSA}-), da bi se preko lokalnih mreža i udaljenih hostova izvršio direktan napad na računare koji koriste operativne sisteme Majkrosoft vindous a još uvijek nisu instalirali posljednji sigurnosni apdejt. Majkrosoft je 14. marta 2017. (skoro dva mjeseca prije napada) izdao kritični peč za sprečavanje osnovne ranjivosti za podržane sisteme, ali mnogi korisnici ga još uvijek nisu primijenili. Oni koji još uvijek imaju starije, nepodržane sisteme Vindous (npr. -{XP}-, Server 2003) u početku su bili naročito ugroženi, ali Majkrosoft je poduzeo neobičan korak i izdao apdejte za sve ovakve kupljene operativne sisteme.

Dosta pažnje je privuklo to što je američka služba -{NSA}- već znala za ranjivost, ali umjesto da obavijesti Majkrosoft sama je napravila -{EternalBlue}- eksploit za svoj ofanzivni rad. Majkrosoft je saznao za problem i napravio sigurnosne apdejte tek kada su postojanje ovoga otkrili Šedou brokersi.

Nedugo nakon što je napad otpočeo, istraživač bezbjednosti na vebu koji bloguje na sajtu -{MalwareTech}- izumio je efektivan kil svič registrovanjem internet domena koji je pronašao u kodu ransomvera. Ovime je uvelikousporeno širenje infekcije, ali su kasnije detektovane nove verzije koje nemaju kil svič. Istraživači su takođe pronašli načine kako da se spase podaci sa zaraženih uređaja, ali samo pod određenim okolnostima.

Unutar četiri dana od početka izbijanja, sigurnosni eksperti su rekli da je većina organizacija primijenila apdejte i da je sada širenje infekcije usporeno i veoma teško.

Pozadina Navodnog infekcijskog vektora, -{EternalBlue}-, objavila je 14. aprila 2017. grupa hakera pod nazivom Šedou brokers (). uporedo s drugim alatima koje su navodno dobili curenjem informacija iz Ekvejšon grupa (); za ovu grupu se smatra je dio Nacionalne sigurnosne agencije (-{NSA}-) Sjedinjenih Američkih Država.

-{EternalBlue}- eksploatiše sigurnosni propust -{MS17-010}- Majkrosoftove realizacije protokola -{SMB}-. Majkrosoft je skoro dva mjeseca ranije, 14. marta 2017, objavio savjetodavni izvještaj u kojem je, uporedo sa sigurnosnim pečom kojim je uklonjen propust koji omogućava rad ovog softvera, propust nazvao „kritičnim”.

Napad thumb|300px|Mapa prvobitno pogođenih zemalja

-{WannaCry}- je 12. maja 2017. počeo zaražavati računare širom svijeta. Nakon što dobije pristup računarima, softver šifrira hard disk računara i potom pokušava eksploatisati propust -{SMB}- da bi zarazio druge računare na internetu ili na lokalnoj mreži.

Sigurnosni previd u Vindousu nije propust nultog dana, već je u pitanju Majkrosoftov apdejt još od 14. marta 2017. Pečovan je protokol -{Server Message Block}- (-{SMB}-) koji koristi Vindous. Majkrosoft je takođe apelirao da se prestane koristiti stari protokol -{SMB}-1 i da se umjesto njega koristi novi, sigurniji protokol -{SMB}-3. Pogođene su organizacije koje nisu instalirale ovaj sigurnosni peč i zasad nema dokaza koji bi upućivali na to da su programeri ovog štetnog softvera namjerno ciljali ijednu od pogođenih organizacija. Bilo koja organizacija koja i dalje koristi zastarjeli sistem Vindous -{XP}- bila je naročito u opasnosti od infekcije budući da Majkrosoft nije bio objavio nijedan sigurnosni peč za ovu verziju sistema od aprila 2014, ali je ipak napravio čudan izuzetak i objavio apdejte za sve starije nepodržane operativne sisteme (od Vindousa -{XP}- pa nadalje).

Varijante Dvije dodatne varijante ransomvera su detektovane 14. maja, dva dana poslije napada. Jedna je imala novi kil svič i brzo je registrovana, a druga nije imala kil svič ali je bila oštećena tako da enkripcija datoteka nije bila moguća.

Uticaj Napad je uticao na mnoge bolnice Nacionalne zdravstvene službe (-{NHS}-) u Ujedinjenom Kraljevstvu. Neke bolnice -{NHS}- morale su odbiti nekritične hitne slučajeve 12. maja, dok je vozačima pojedinih ambulantnih kola naređeno da izbjegavaju određene bolnice. Još 2016. prijavljeno je da nekoliko hiljada računara u 42 zasebne ustanove -{NHS}- koristi Vindous -{XP}-. Zaraženo je preko 1000 računara Ministarstva unutrašnjih poslova, Ministarstva za vanredne situacije te telekomunikacijske kompanije Megafon u Rusiji.

Odgovor U zlonamjerni softver ugrađena je funkcija za prisilno zaustavljanje rada (kil svič), što je omogućilo zaustavljanje prvobitne zaraze, ali su u međuvremenu kreirane i varijante bez kil sviča. Dana 13. maja 2017, objavljeno je da je Majkrosoft poduzeo poprilično neobičan korak obezbjeđivanjem sigurnosnog peča za Vindous -{XP}-, Vindous 8 i Vindous server 2003, budući da je kompanija odavno prestala podržavati ove verzije.

Reakcije Britanska premijerka Tereza Mej izjavila je da se ovaj sajber napad, za koji se smatralo da je za cilj imao samo bolnice u Ujedinjenom Kraljevstvu, uveliko proširio i da sada obuhvata desetke zemalja.

Pogođene organizacije

Tehnička analiza Iako su kod crva analizirale dvije velike kompanije za sajber sigurnost, Simantek i Kasperski lab, i pronašle sličnosti sa kodom koji je prethodno koristila Lazarus grupa — organizacija koja se bavi sajber kriminalom i povezuje sa vladom Sjeverne Koreje [prethodno je pljačkala južnokorejske banke i TV stanice (2013), izvela napad na Soni pikčers (2014) te ukrala 81milion dolara iz bangladeške centralne banke (2016)], moguće je da je u pitanju jednostavna reupotreba koda od strane druge hakerske grupe ili namjeran pokušaj prebacivanja krivice — kao u operacijama pod lažnom zastavom.

Vidi još

Napomene

Reference

Spoljašnje veze

-{Ransom:Win32/WannaCrypt}- na sajtu @actual_ransom, tviterbot koji prati uplate otkupnine

Категорија:Злонамерни програми Категорија:Компјутерски криминал Категорија:Интернет Категорија:Софтвер 2017.