Kaj je treba vedeti o Wannacry – ransomware (izsiljevalski virus)

V petek, 12. maja 2017, je bilo veliko podjetij in ustanov napadeno s crypto-ransomware, izsiljevalskim virusom, imenovanim Wannacry. Uporabniki, ki so okuženi z izsiljevalskim virusom Wannacry, ne morejo uporabljati svojih računalnikov, dokler ne plačajo najmanj 300$ v Bitcoinih. Po treh dneh se ta znesek podvoji, po sedmih dneh pa bodo datoteke izbrisane, če odkupnina ne bo plačana. V obvestilu izsiljevalskega virusa tudi piše, da če tega denarja nimate, vam sicer odklenejo zakodirane datoteke brezplačno, toda šele po 6 mesecih 🙂 Wannacry zakriptira datoteke s končnico .WCRY

Kdo je bil napaden z Wannacry?

Veliko podjetij in javnih ustanov je bilo napadenih z Wannacry. Med drugimi v Sloveniji tudi Revoz. Gre za izbruh virusa, ki je napadel več kot 99 držav po svetu. Izsiljevalski virus Wannacry je napadel telekomunikacijska podjetja, podjetja, ki se ukvarjajo z distribucijo plina, javne bolnice, podjetja, ki se ukvarjajo s prodajo električne energije idr.

Trenutno najbolj odmeva napad na zdravstveni sistem National Health Service (NHS) v Angliji, ki je zdravstvo zelo ohromil, tako da so morali celo prestavljati operacije in druge posege.

V Rusiji so bile tarča izsiljevalskega virusa med drugim tudi ruska centralna banka, vlada in železniški sistem. V petek pozno zvečer naj bi napade zabeležilo več ruskih ministrstev in vladnih agencij. Notranje ministrstvo je sporočilo, da je bilo okuženih njihovih tisoč računalnikov. Poizkus okužbe z Wannacry so potrdili tudi v Sberbanki, a so bili ustrezno zaščiteni.

Napadene so bile tudi nemške železnice Deutsche Bahn. Izsiljevalski virus Wannacry je napadel njihove informacijske zaslone in avtomate za vozovnice. Potniki so tvitali fotografije zaslonov, na katerih so bile namesto podatkov o odhodih vlakov zahteve po plačilu odkupnine.

Iz španske Telefonice so sporočili, da je prizadeta oprema pod nadzorom in da jo znova nameščajo.

 

Zakaj je napad Wannacry tako velik?

WannaCry izkorišča napako v Server Message Block (SMB) v operacijskem sistemu Microsoft Windows, ki lahko omogoči oddaljeno izvajanje kode. Microsoft je izdal popravek že marca (MS17-010), vendar pa veliko podjetij še vedno ne posodablja svojih računalnikov dovolj hitro in redno. Drugi problem pa je ta, da veliko podjetij še vedno uporablja Windows XP in Windows server 2003, za katerega pa na voljo ni več uradnih popravkov. Obstaja tudi večje število računalnikov, ki ima nameščene piratske kopije Windows (predvsem na Kitajskem in v Rusiji), na katere se ne da nameščati uradnih popravkov in tako ostaja tak računalnik trajno ogrožen.

Zaradi velikosti izbruha je Microsoft včeraj izdal popravek tudi za Windows XP in Server 2003.

Zakaj se Wannacry širi tako hitro?

Razlog, zakaj se izsiljevalski virus WannaCry širi tako hitro, je v ranljivosti MS17-010, ki omogoča, da se širi kot računalniški črv (worm). Računalniški črvi pa se znajo zelo hitro širiti. WannaCry ima zmožnost, da skenira omrežje in najde druge gostitelje preko EternalBlue ranljivosti, tako da se lahko širi sam, ne da bi uporabnik rabil karkoli narediti na računalniku. 14. aprila so hekerji, znani kot The Shadow Brokers, trdili, da so ukradli programsko opremo WannaCry, ki ga je razvila ameriška obveščevalna agencij NSA.