WannaCry

WannaCry (znany również jako WannaCrypt lub WanaCrypt0r 2.0^[1]) – rodzaj oprogramowania wymuszającego okup (ang. ransomware). Duża fala cyberataków z użyciem tego oprogramowania miała miejsce w maju 2017 roku, kiedy zainfekowanych zostało kilkaset tysięcy komputerów w około 100 krajach^[2][3][4]. Przestępcy żądali zapłaty w 28 językach (w tym w języku polskim). Według danych Europolu był to największy atak tego rodzaju w tamtym czasie^[5].

Jak raportowali badacze cyberbezpieczeństwa, komputery miały być atakowane z wykorzystaniem błędu w protokole SMBv1 (Microsoft Server Message Block 1.0)^[3][6]. Program sprawdzał, czy w sieci danego komputera widoczny jest adres dezaktywujący atak, a następnie rozpoczynał działanie^[7][2]. Dzięki uzyskaniu dostępu do plików program wyszukiwał najważniejsze z nich, w tym dokumenty biurowe, grafiki i inne pliki multimedialne. Wyszukane pliki były szyfrowane przez atakujący program, a następnie nadawał im rozszerzenie .WNCRY lub .WNRY^[3][7][6].

Program próbował również zaatakować inne stacje robocze i serwerowe w danej sieci i wykonywał na nich analogiczne operacje^[3][7].

Na zaatakowanym komputerze program ustawiał tapetę oraz wyświetlał okno, oba informujące o ataku i żądaniu okupu. Okup wynosił wówczas około 300 dolarów w bitcoinach za każdą zainfekowaną stację. Hakerzy stosowali przy tym socjotechnikę polegającą na zastraszeniu – cena miała dwukrotnie wzrosnąć po trzech dobach, a po upływie tygodnia odzyskanie danych miało stać się niemożliwe^[3].

Sprawcy podawali trzy różne adresy tzw. portfeli kryptowalut^[3][6]:

• https://blockchain.info/address/115p7UMMngoj1pMvkpHijcRdfJNXj6LrLn
• https://blockchain.info/address/12t9YDPgwueZ9NyMgw519p7AA8isjr6SMw
• https://blockchain.info/address/13AM4VW2dhxYgXeQepoHkHSQuy6NgaEb94

Ze względu na zastosowane techniki problem ograniczał się do sieci, w których znajdowały się komputery z systemem Microsoft Windows^[3].

Media donosiły, że w maju 2017 roku zainfekowane zostały komputery w co najmniej 99 krajach^[8][9]. Firmy produkujące oprogramowanie antywirusowe raportowały dokładniejsze dane: Kaspersky raportował 45 tysięcy infekcji w 74 krajach, a Avast odnalazł 57 tysięcy infekcji w 28 językach, z pierwszą infekcją odnotowaną ok. 8 rano 12 maja 2017 roku^[3].

W ataku ucierpiała Telefónica i kilka innych dużych przedsiębiorstw w Hiszpanii, a także części brytyjskiej narodowej służby zdrowia^[10], FedEx oraz Deutsche Bahn^[11][12][13]. W Rosji program zaatakował kilka banków ze względu na nieaktualne oprogramowanie systemowe^[14], ale zainfekowanych zostało również ponad 1000 komputerów w ministerstwie spraw wewnętrznych, a także systemy rosyjskiej poczty i kolei państwowych^[15].

Według Theresy May cyberatak na brytyjską służbę zdrowia był częścią szerszego, międzynarodowego ataku. W przeciągu tygodnia około 1% opieki zostało zakłócone. Włamanie spowodowało między 12 a 19 maja odwołanie 19 000 spotkań, co kosztowało 20 milionów funtów. Późniejsze koszty wyniosły dodatkowe 72 miliony funtów^[16].

Według stanu na 3 sierpnia 2017 łączny okup, jaki odebrali sprawcy ataku, wynosił ponad 52,2 BitCoiny, co przeliczało się wówczas na 143 tysiące dolarów, czyli równowartość 4 nowych samochodów średniej klasy^[17][18].

12 maja 2017 r. Marcus Hutchins z Kryptos Logic znalazł próbkę kodu wirusa i ustalił, że oprogramowanie łączyło się z niezarejestrowaną domeną. Hutchins postanowił zarejestrować domenę na siebie, co zatrzymało infekowanie kolejnych komputerów^[2][19]. Dokładny cel łączenia się WannaCry z tą domeną nie jest znany, ale badacze spekulują, że mogła ona mieć za zadanie wyłączyć WannaCry w środowiskach diagnostycznych. Takie środowiska są typowo izolowane i odcięte od Internetu, ale jednocześnie przechwytują ruch i symulują odpowiedź na każdą domenę (również taką niezarejestrowaną). WannaCry miał się zatem nie uruchomić w takim symulowanym środowisku, co faktycznie utrudniłoby pracę badaczy, ale jednocześnie przyczyniło się do rozbrojenia zagrożenia^[2].

Poprawka eliminująca tę lukę bezpieczeństwa została wydana przez Microsoft 14 marca 2017 roku, czyli dwa miesiące przed atakami WannaCry. Jednak wiele komputerów pozostało narażonych ze względu na opóźnienia w instalacji aktualizacji zabezpieczeń^[20]. Dodatkowo użytkownicy systemu Windows XP, który nie był już wtedy wspierany przez Microsoft od kilku lat, siłą rzeczy nie otrzymali marcowej aktualizacji, ale system ten był nadal używany w 2017 roku^[21]. Microsoft postanowił zrobić wyjątek po serii ataków WannaCry i 12 maja 2017 roku zdecydował się opublikować poprawkę również dla Windows XP^[21].

WannaCry wykorzystuje exploit o nazwie EternalBlue. Jest to złośliwe oprogramowanie mające na celu wykorzystanie błędów w oprogramowaniu, które zostało opracowane przez amerykańską agencję bezpieczeństwa (NSA)^[4][22]. Grupa hakerów Shadow Brokers (TB) twierdziła, że to oni udostępnili informacje o EternalBlue i groziła później, że udostępni więcej narzędzi używanych przez NSA^[23][24]. Z kolei struktura kodu samego programu WannaCry przypomina te z wcześniejszych ataków północnokoreańskiej grupy Lazarus^[2].

USA oskarżyły o atak Koreę Północną. Podejrzenie zostało wymierzone w ich kierunku, ponieważ wcześniej miał miejsce atak na firmę Sony Pictures, która wyprodukowała komedię „Wywiad ze Słońcem Narodu”, gdzie zostały przedstawione fikcyjne plany zamachu na Kim Dzong Una. Firma Sony po tym fakcie została zaatakowana. Wyciekły prywatne dane pracowników takie jak numery ubezpieczeń, wyciągi finansowe oraz informacje o zarobkach. Ministerstwo spraw zagranicznych Korei Północnej zaprzeczało obu tym oskarżeniom^[25].

Prokuratura USA oskarżyła Park Dzin Kioka, który według amerykańskich prokuratorów federalnych miał powiązania z północnokoreańskim rządem i to w porozumieniu z nim przeprowadził ataki. Ponadto zarzucono mu atak na centralny Bank w Bangladeszu w 2016 roku oraz na brytyjską służbę zdrowia w 2017. Dodatkowo zarzuca się Parkowi udział w zespole programistów zatrudnionych w firmie Chosun Expo, działającej z miasta Dalian w Chinach. Amerykański resort finansów umieścił Parka i Chosun Expo na liście podmiotów objętych sankcjami bankowymi. Oficjele północnokoreańscy ponownie zaprzeczyli oskarżeniom i stwierdzili, że osoba podana w oskarżeniu nie istnieje^[25].

• Masowa, niezwykle skuteczna kampania ransomware wyłącza całe firmy – artykuł o WannaCry na portalu Zaufana Trzecia Strona.
• Aktualizacja naprawiająca lukę dla Windows XP i nowszych (KB4012598).