Acasă Adult66 Tot ce trebuie sa stiti despre ransomware-ul WannaCry / Wcry / WannaCrypt

Adult66

Tot ce trebuie sa stiti despre ransomware-ul WannaCry / Wcry / WannaCrypt

188

M-am trezit la un potop de stiri despre ransomware astazi. Datorita faptului ca sunt aici in Australia, se intampla multe in orele de lucru din intreaga lume in timp ce dormim, dar invers, asta mi-a dat ceva timp sa culeg informatii in timp ce toti ceilalti fac o pauza. Incidentul WannaCry este atat nou, cat si infricosator in unele moduri si mai mult din aceleasi lucruri vechi in altele. Iata ce stiu si ce trebuie sa inteleaga masele de acolo despre asta si, intr-adevar, despre ransomware-ul in general.

Problema ransomware-ului

In primul rand, daca ransomware-ul este un concept suficient de strain si doriti cu adevarat sa intelegeti despre ce este vorba, am facut un curs gratuit pentru Varonis anul trecut, intitulat „Introducere in Ransomware”. Una dintre observatiile pe care le fac in acest curs este ca aceasta clasa de malware a fost de zeci de ani incepand cu troianul SIDA care dateaza din 1999:

Aceasta varianta a incercat sa faca PC-ul inutilizabil, cu exceptia cazului in care a fost platita o rascumparare. Dar, pentru ca era internet pre-modern, a fost distribuit prin discheta catre numarul (relativ) mic de persoane care aveau calculatoare si au solicitat sa trimita (prin posta melc) un cec sau o comanda de bani. Inaintati repede catre epoca moderna si avem miliarde de oameni care folosesc cea mai mare retea de distributie de malware din lume (numim si „internet”) si Bitcoin ca moneda de alegere pentru rascumparare. Asadar, in timp ce ransomware-ul a fost in varsta de aproape varste, tractiunea a capatat seriozitate doar in timpurile mai recente, mai ales de la inceputul anului trecut:

Majoritatea variantelor moderne de ransomware cripteaza fisierele personale pe un aparat infectat. Primii oameni care stiu de obicei despre o infectie este ca fisierele nu pot fi citite sau se confrunta cu o notificare de rascumparare. De exemplu, acesta pe care soacra mea l-a lovit anul trecut (si da, sunt notele ei scrise de mana):

Acelasi sistem de operare, care sta pe desktopul tau acasa, astfel incat sa poti scrie e-mail si sa urmaresti videoclipuri pentru pisici ruleaza spitalele noastre, sistemele noastre feroviare si tot felul de alte infrastructuri critice. Datorita masurii in care aceleasi sisteme de operare si software sunt utilizate in sectoarele personale, private si publice, ransomware-ul este nediscriminat. Scolile sunt lovite. Bisericile sunt lovite. Chiar si politia este lovita. Fiecare dintre cei care au platit rascumpararea (da, chiar si politistii), pentru ca realitatea alarmanta a ransomware-ului este ca de multe ori are un bun sens financiar sa plateasca. Nu, acest lucru nu trimite un mesaj bun si da, face totul mai rau pentru masa, deoarece stimuleaza infractorii. Intr-un caz ca acea biserica in care sunt 570 de dolari si primiti datele inapoi fata de a nu plati si a pierde totul,

Nu este intotdeauna cazul – infractorii nu deblocheaza intotdeauna datele dvs. dupa plata si nu este intotdeauna imposibil sa va recuperati datele fara sa platiti, dar modelul de afaceri al ransomware-ului nu trebuie sa fie perfect pentru a fi inca profitabil. Cu toate acestea, criptarea moderna a zilelor este suficient de eficienta, iar distributia continutului rau intentionat este suficient de usoara incat aceasta ramane o problema foarte mare.

Situatia cu WannaCry / Wcry / WannaCrypt

Haideti sa acoperim elementele fundamentale aici, incepand cu cererea de rascumparare afisata pe masinile infectate (credit de imagine pentru Talos, care a scris o piesa timpurie foarte buna despre asta):

Rascumpararea este de 300 USD si trebuie sa platiti 3 zile inainte de a se dubla pana la 600 $. Daca nu platiti intr-o saptamana, ransomware-ul ameninta sa stearga fisierele cu totul. Retineti si aspectul ingineriei sociale aici: se creeaza un sentiment de urgenta pentru a-i determina pe oameni sa actioneze. Un sentiment de speranta este acordat in virtutea capacitatii de a decripta o selectie de mostre de fisiere. (Nota titlul „Wana Decrypt0r” din fereastra de mai sus: cei trei termeni WannaCry, Wcry si WannaCrypt se refera la aceeasi bucata de malware, sunt doar diverse reprezentari cu acelasi nume.)

Programul malware raspandit prin SMB, adica protocolul Block Message Server utilizat de obicei de catre utilajele Windows pentru a comunica cu sistemele de fisiere dintr-o retea. Un aparat infectat ar propaga apoi infectia in alte cutii cu risc:

Da, puteti folosi in continuare masina dvs. doar ca totul este criptat si pivotarea acesteia pentru a ataca mai multe masini. https://t.co/h9sJTMl2rW

– Hacker Fantastic (@hackerfantastic) 12 mai 2017

Este capabil sa faca acest lucru in cazul in care aparatul de sprijin protocolul nu a primit critice MS-17-010 patch – uri de securitate de la Microsoft , care a fost emis pe 14 martie si adrese de vulnerabilitati in SMBv1 (Microsoft nu mentioneaza SMBv2 , dar Kaspersky a declarat ca WannaCry vizeaza v2 la fel ca Symantec). Cu alte cuvinte, trebuia sa fii cu aproape 2 luni in urma in ciclul de plasture pentru a te lovi de asta. Masinile Windows 10 nu au fost supuse vulnerabilitatii adresate acestei corectii si, prin urmare, nu prezinta riscul propagarii malware prin intermediul acestui vector. De asemenea, nu am vazut niciun comentariu care sa sugereze alte implementari ale IMM-urilor, precum Samba.

Potrivit Talos, ransomware-ul cripteaza practic tot ceea ce poate pune mana pe el in ceea ce priveste dispozitivele conectate sau in retea:

Fisier taskche.exe verifica unitatile de disc, inclusiv partajarea de retea si dispozitivele de stocare amovibile mapate pe o litera, cum ar fi „C: / ‘,’ D: / ‘etc. Malware-ul verifica apoi fisierele cu extensie de fisier, asa cum sunt listate in apendicele si cripteaza acestea folosind criptarea RSA 2048 biti.

Din tot ce am citit, raspandirea WannaCry a fost prin SMB, deci cand vorbim despre masinile din spatele firewall-urilor afectate, implica faptul ca porturile 139 si 445 sunt deschise si gazdele cu risc ascultand conexiunile de intrare. Ar fi luat doar o masina in spatele firewall-ului pentru a se infecta pentru a pune pe altii in pericol, din cauza faptului ca se auto-propaga. Datorita naturii web si a gamei largi de masini neatacate, ratele de infectie se raspandesc rapid la zeci de mii de aparate din intreaga lume:

Vedeti aceasta postare din NYT, au realizat o harta bazata pe timp, cu datele mele https://t.co/K7lVjagq29

– MalwareTech (@MalwareTechBlog) 13 mai 2017

Talos a detectat pentru prima data aceasta varianta de malware cu putin timp inainte de ora 9:00 UTC pe 12 mai. Ei au remarcat, de asemenea, ca au fost solicitari catre iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com incepand cu ora 07:24, care este primul indicator extern al compromisului (voi reveni la aceasta adresa cand vorbesc despre killswitch). Povestile principale la care m-am trezit in Australia s-au concentrat foarte mult pe NHS-ul Regatului Unit (serviciul lor national de sanatate) si erau intr-o forma destul de proasta:

Iata ce vede un GP de la Londra cand incearca sa se conecteze la reteaua NHS pic.twitter.com/lV8zXarAXS

– Rory Cellan-Jones (@ ruskin147) 12 mai 2017

Banuiesc ca NHS a obtinut ponderea leului din presa precoce datorita unei combinatii a timpului zilei (primul lucru dimineata pentru Marea Britanie) si, inevitabil, avand un numar mare de masini neatacate si un punct de intrare deschis pentru WannaCry sa ia stapanire . Dar ulterior am vazut ca au fost afectate rapoarte despre toate celelalte tipuri de organizatii din intreaga lume, ceea ce nu este deloc surprinzator; ransomware-ul nu tinde sa discrimineze:

Virusul ransomware s-a raspandit pe computerele Deutsche Bahn, apare pe ecranele garii pic.twitter.com/uUF97Huqrd (prin @Nick_Lange_)

– Gregor Peter (@ L0gg0l) 12 mai 2017

Acest domeniu pe care tocmai l-am mentionat – iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com – este o adresa „aleatorie” de tip uman care, dupa cum a observat Talos, consta in principal din tastele din randul superior al tastaturii. Cu alte cuvinte, cineva a mascat tastatura pentru a o genera. Aceasta a fost gasita in codul WannaCry:

@ malwareunicorn Acesta este motivul pentru care infectiile se elimina – contine un comutator de ucidere, care a fost activat inainte de SUA sa se trezeasca. Propagare NOU = mort. pic.twitter.com/l4VKZ45kq7

– Kevin Beaumont (@GossiTheDog) 12 mai 2017

Daca malware-ul ar putea comunica cu numele gazdei, acesta ar iesi, dar din cauza ca acest nume nu a fost inregistrat, a continuat sa se execute. Ei bine, asta pana cand un cercetator a lucrat ce se intampla si a inregistrat pur si simplu numele de domeniu!

Infectiile pentru WannaCry / WanaDecrpt0r s-au datorat faptului ca @MalwareTechBlog inregistreaza un domeniu C2 initial care duce la uciderea comutatorului #AccidentalHero

– Warren Mercer (@SecurityBeard) 12 mai 2017

Inca vad o analiza buna despre motivul pentru care a existat in primul rand comutatorul de ucidere si de ce descoperirea si eludarea au fost atat de simple. Pare complet contra-intuitiv obiectivul de a infecta cat mai multe aparate cat mai repede posibil si sper sa vedem in curand cateva analize bune. Lucrul important aici este insa ca, pe baza analizei pe care o vedem, aceasta varianta nu ar trebui sa se raspandeasca mai departe … Cu toate acestea, aproape sigur vor fi copii de copiere. De fapt, acest lucru este extrem de important si vorbeste si despre inutilitatea semnaturilor de definire a virusului; urmariti acest lucru reveni cu o razbunare dupa cateva modificari. Daca as fi fost eu, as lua orice masina cu risc, pana cand va fi plasata.

platile

Exista referinte la 3 adrese Bitcoin diferite pentru care putem observa tranzactiile. In momentul scrierii, acestea sunt:

13AM4VW2dhxYgXeQepoHkHSQuy6NgaEb94 – 23 tranzactii in valoare totala de 7188 USD

12t9YDPgwueZ9NyMgw519p7AA8isjr6SMw – 17 tranzactii in valoare totala de 7 767 USD
115p7UMMngoj1pMvkpHijcRdfJNXj6LrLn – 12 tranzactii in valoare totala de 2.905 USD

Acum, pe de o parte, aproape 18k de dolari este un castig frumos inca, pe de alta parte, pentru zeci de mii de infectii care au totalizat doar 52 de plati pare foarte mic. Totusi, ar putea merge bine; indiferent de comutatorul de ucidere, multe masini raman infectate si daca exista o fereastra de plata de 3 zile inainte ca costul sa creasca, va asteptati ca o multime de oameni se vor opri pentru un pic. Va fi interesant sa priviti acele adrese Bitcoin in alte 48 de ore.

Editare, 17 mai: Exista un bot pe Twitter, prin care s-au trimis sume de plata. Ultima suma totala din ceea ce a colectat WannaCry este de peste 76 mil. USD:

Cele trei portofele bitcoin legate de ransomware-ul #WannaCry au primit 265 de plati in valoare totala de 42.9251299 BTC (76.233,26 USD USD).

– rascumparare efectiva (@actual_ransom) 17 mai 2017

Se datoreaza faptului ca nu v-ati actualizat sau nu ati plasat lucrurile

Stiti cum spun oamenii ca ar trebui sa va tineti software-ul la zi, nu? Buna? Problema eterna este ca pentru indivizi exista adesea atitudinea de „bine functioneaza bine, de ce sa o schimb?” iar acest lucru este enorm de periculos. Versiuni mai noi de sisteme de operare, de exemplu, obtin de obicei o serie de aparari suplimentare. Windows 10 (stii, versiunea care nu este vulnerabila la WannaCry …) a primit functii precum ELAM pentru a proteja impotriva programelor malware in timpul ciclului de pornire. Cand analizam problema de astazi care loveste masini la fel de vechi ca Windows XP, vorbim despre un sistem de operare vechi de 16 ani, care a fost inlocuit in urma cu un deceniu si a renuntat la suport acum 3 ani. (Desi retineti ca Microsoft a lansat un patch in afara bandei pentru a proteja utilizatorii XP impotriva WannaCrypt.) Si pentru cei mai putin inteligenti, atunci cand spunem „corecti lucrurile”

Si apoi exista „Intreprinderea”. Organizatiile sunt in mod notoriu in ceea ce priveste mentinerea software-ului modern, in special cele din sectorul public. Acum, in apararea lor, este un exercitiu non-banal atunci cand vorbesti despre un numar mare de masini. Cand lucram la Pfizer, am trecut prin mai multe upgrade-uri de sistem de operare si browser, iar una dintre cele mai dureroase parti ale exercitiului a fost compatibilitatea cu software-ul existent. Ultima pe care mi-o amintesc a fost pur si simplu o actualizare a Internet Explorer, iar costul pentru rectificarea aplicatiilor web nefunctionale din cadrul organizatiei a fost de 7 cifre. (Sincer, am crezut ca au demonstrat probleme mai fundamentale cu procesul de dezvoltare a software-ului, dar ma descurc.) Organizatiile trebuie sa fie proactive in monitorizarea, testarea si rularea acestor patch-uri. Nu e amuzant, costa bani si poate totusi rupe alte dependente, dar alternativa este posibil sa ajunga ca NHS sau chiar mai rau. Concluzia este ca este o parte esentiala a rularii unui mediu desktop intr-o afacere moderna.

Dar toate acestea sunt cunoscute de la bun inceput: consumatorii si intreprinderile stiu deopotriva ca software-ul va evolua si ca poate exista un cost. Retineti ca Windows 10 era disponibil gratuit (cred ca exista o multime de oameni infectati care si-ar dori sa ia acea oferta in urma cu cativa ani), dar chiar si odata ce luati in considerare costurile pentru actualizare (testare si compatibilitate) remediere, instruire etc), aceasta nu a fost niciodata o surpriza.

Organizatiile adesea pur si simplu nu fac buget pentru aceste lucruri si atunci cand CIO in cele din urma vine la dispozitie pentru a cere bani, banii nu sunt acolo – „dar totul functioneaza ok in acest moment, nu?”

Ca un pas intermediar pentru organele care se lupta pentru a remedia, exista intotdeauna doar dezactivarea SMB cu totul:

#WannaCry #ransomware Daca nu puteti corela, dezactivati SMBv1 – https://t.co/E6ksrWDNTw pic.twitter.com/7f68ynPLiz

– GEEK (@bitgeek) 12 mai 2017

In special pentru organizatiile cu medii desktop gestionate profesional, nu exista „oh, nu ne-am dat seama” sau alte scuze de politist aici, cineva a dat drumul mare.

Oh – si este mai rau pentru ca nu ai copii de rezerva (corespunzatori)

Una dintre cele mai fundamentale aparari impotriva ransomware-ului este capacitatea de a restabili in mod fiabil din backup. Daca toate lucrurile tale devin criptate si poti spune doar „oh bine, nu este distractiv si trebuie sa-mi refac masina, dar cel putin am pierdut timpul ”, atunci esti intr-o pozitie fundamental mai buna decat sa-ti fi pierdut fisiere (scurt de plata rascumpararii, adica).

Multe (probabil cele mai multe) persoane si organizatii nu au o strategie de rezerva satisfacatoare. De obicei, problemele includ:

Nu iau deloc backup-uri

Sunt copii de siguranta peste backup existente si scrierea de fisiere corupte peste cele bune
Nu fac o copie de rezerva suficient de frecventa (trebuie sa fie complet automatizate)
Acestea fac backup la dispozitivele conectate accesibile prin software-ul rau intentionat

In mod ideal, doriti o strategie de rezerva 3-2-1, care inseamna cel putin 3 copii totale ale datelor dvs., 2 dintre care sunt locale, dar pe suporturi diferite (cum ar fi dispozitive de stocare externe) si 1 care este in afara locului. Exista servicii profesionale de backup cloud disponibile, care vor pastra copii versate ale tuturor lucrurilor dvs. si va vor permite sa redirectionati in orice moment (nu, Dropbox singur nu va face asta). Exista dispozitive externe ieftine, cu capacitati mari, pe care le puteti roti si depozita fizic cu o ruda de incredere. Este un alt subiect cu totul, dar ia in considerare doar capacitatea de a te recupera din aceste scenarii:

Toate fisierele dvs. sunt corupte (sau criptate) si replicate pe dispozitivele dvs. de rezerva

Tot ceea ce poate comunica cu aparatul dvs. este hosed
Un hot iti fura toate dispozitivele sau casa ta arde

Rezilienta impotriva tuturor acestora nu este grea, dar este nevoie de planificare. De asemenea, „backup” este important, dar ceea ce este cu adevarat important este „restaurarea”, asa ca testeaza si asta. Oh – si nici nu poti face asta dupa ce lucrurile nu merg bine, este unul dintre aceste tipuri „in avans”.

Este vina ANS?

Aici devine un aspect politic: vulnerabilitatea SMB pe care Microsoft a aplicat-o a fost cunoscuta de NSA. Stim acest lucru, deoarece scurgerea Shadow Brokers luna trecuta s-a referit in mod special la „ETERNALBLUE”, un exploat SMBv2. Cu o luna in urma, stiam ca aceasta poate fi o veste proasta:

Nu sunt oamenii care inteleg sfera exploatatiilor SMB. Fiecare versiune de Windows are SMB activat implicit. Executarea la distanta a codului neautorizat = rau

– Kevin Beaumont (@GossiTheDog) 14 aprilie 2017

Si destul de sigur, vulnerabilitatea a fost exploatata rapid, ceea ce nu este deloc surprinzator, avand in vedere modul in care a fost acum dezvaluita public. Dar amintiti-va, asta este la o luna dupa ce vulnerabilitatea a fost deja plasata, deci care este ingrijorarea?

Pentru oamenii de acasa, nu este mare lucru. Instalati Windows Updates cand Windows Update spune „instaleaza-ma!”. Dar ar trebui sa faci asta oricum.

– Pwn All The Things (@pwnallthethings) 14 aprilie 2017

Ei bine, evident, si dupa cum stiti bine daca ati citit pana acum, oamenii (si companiile) nu intotdeauna isi petrec lucruri. Dar partea politica facea deja titluri in aprilie si a redus in mod eficient argumentarea faptului ca ANS ar trebui sa fie in legatura cu companii precum Microsoft, de indata ce vor descoperi aceste riscuri, astfel incat sa poata fi aplicate. Pe de alta parte, argumentul supravegherii este ca aceste vulnerabilitati sunt foarte utile pentru agentiile de informatii sa faca exact ceea ce vrem sa facem, care este sa adune informatii pe tinte (sa presupunem doar pentru o clipa ca fac acest lucru in mod responsabil …) Cu toate acestea, nu puteti ignora ironia modului in care nu doar vulnerabilitatea de baza, ci si codul de exploatare NSA a afectat lumea, inclusiv guvernele in sine:

Guvernul cand isi da seama ca sistemele lor sunt in prezent preluate de exploatari, au ajutat la scrierea pic.twitter.com/qLzqKLDyl1

– MalwareTech (@MalwareTechBlog) 12 mai 2017

Cu toate acestea, este o problema, chiar si cu o perioada de 2 luni intregi, avem inca aceasta problema de compromis la scara larga, asa ca afirmand pur si simplu ca divulgarea si plasarea anterioara ar rezolva problema nu este tocmai exacta. Este o dezbatere incarcata din punct de vedere politic si sincer, singurul lucru asupra caruia putem fi de acord uniform, este ca trebuie sa ne imbunatatim.

Incotro acum?

Ei bine, suntem destul de mult in modul de curatare. Vanzatorii AV lanseaza semnaturi pentru a identifica programele malware si cu totii evaluam care va fi prejudiciul total, asteptand noi variante. Dar lectiile mai mari din toate acestea sunt cele care consolideaza ceea ce comunitatea de securitate le-a spus oamenilor de atat timp, si anume urmatoarele:

Mentineti-va sistemele de operare la zi

Luati patch-uri mai devreme
Aveti o strategie robusta de backup
Inchideti masinile
Nu deschideti e-mailuri sau atasamente suspecte
Restrictioneaza accesul la resursele de retea (ransomware-ul poate cripta doar ce poate accesa sau ce masini pe care le poate propaga pentru a avea acces)
Blocati porturile inutile (Talos sugereaza ca organizatiile ar fi putut avea SMB accesibile extern)
Antivirusul traditional este rau in identificarea acestor lucruri

Toate acestea sunt cu atat mai importante decat WannaCry / Wcry / WannaCrypt si pana cand obtinem acest lucru , alte variante ulterioare vor lovi pe cei care nu sunt pregatiti. Din pura coincidenta, in urma cu doar cateva zile am scris despre cum mi-am vazut dentistul care se ocupa de ransomware si este un pariu destul de sigur pe care l-au inselat aproape fiecare punct de glont pe care l-am mentionat. Sunt adevaratele lectii aici – nu doar instalarea MS-17-010 si terminarea cu aceasta – asa ca pana cand vom primi aceste lucruri, acesta este doar unul dintre mult mai multe incidente care urmeaza.

Editeaza: In legatura cu aceasta, tocmai am facut blog despre Nu le spune oamenilor sa opreasca Windows Update, doar ca nu, pentru ca, acest titlu iti ofera o idee destul de buna si asta dupa ce ai aflat ca este vorba doar de masini neatacate care a fost lovit de WannaCry!

Securitate

Tot ce trebuie sa stiti despre ransomware-ul WannaCry / Wcry / WannaCrypt

Problema ransomware-ului

Situatia cu WannaCry / Wcry / WannaCrypt

platile

Se datoreaza faptului ca nu v-ati actualizat sau nu ati plasat lucrurile

Oh – si este mai rau pentru ca nu ai copii de rezerva (corespunzatori)

Este vina ANS?

Incotro acum?

Populare

Afla cum iti poti lansa o mica afacere folosind un spatiu...

Top 10 cele mai supraevaluate filme din toate timpurile

10 regizori care au facut un film de groaza si au...

10 documentare care au schimbat perceptia publicului

Top 10 interviuri controversate cu celebritati din toate timpurile

Top 10 cele mai memorabile momente ale premiilor Oscar

Cum se schimba viata atunci cand intri in cercurile sociale ale...

10 povesti ciudate din lumea rap pe care sa le cunosti

10 secrete intunecate din lumea surprinzator de rasucita a K-Pop

10 melodii rock inspirate de evenimente groaznice