Антон Бочкарев , консультант по информационной безопасности «Инфосистемы Джет».
Если кратко, то WannaCry - классический шифровальщик совмещенный с червем. То есть основной функционал вируса - шифрование файлов на зараженных машинах, а основной метод распространения - использование уязвимости MS 17-010.
Каждый экземпляр вируса сканирует доступные ему сети на предмет хостов с открытым 445 портом и проверяет уязвимы ли они к MS 17-010. Если да, то происходит заражение шифровальщиком и распространение по этому же принципу дальше. Параллельно со сканированием вирус пытается применить эксплойт к случайным IP-адресам.
Модуль шифрования ищет преимущественно следующие типы файлов:
- Файлы электронной почты
- Файлы баз данных
- Ключи шифрования
- Сертификаты
- Архивы
- Документы MS Office
- Виртуальные машины
- Исходные коды ПО
Для сокрытия своей деятельности и командных серверов вирус использует Tor.
Что за уязвимость MS 17-010
Уязвимость существует в реализации протокола SMBv1 для MS Windows и позволяет удаленно выполнить произвольный код на уязвимой машине. Уязвимость была устранена Microsoft в марте и был выпущен патч. Когда эпидемия набрала обороты, Microsoft был выпущен патч на более неподдерживаемые версии ОС Windows(XP, 2003).
Что за эксплойт:
Эксплойт был разработан предположительно для АНБ США и был выложен в открытый доступ в результате утечки информации 14 апреля, получив название EternalBlue.
Масштабы эпидемии и ее причины:
Вирус уже поразил сотни тысяч компьютеров по всему миру во время первой волны заражения, включая корпоративные сети МВД, РЖД и «Мегафона», международного аэропорта во Франкфурте. Также об атаках на свои системы сообщили Сбербанк и Минздрав, были зашифрованы данные, хранящиеся в больницах в Великобритании, однако многими организациями факт заражения скрывается, поэтому истинный масштаб сложно оценить.
Основная причина столь массовой эпидемии - несвоевременная установка обновлений безопасности и использование устаревших версий ОС.
Основные способы защиты:
1. Для гарантированного предотвращения заражения рекомендуется обновить операционную систему. Для всех версий ОС Windows, включая устаревшие версии были выпущены специальные патчи, доступные по ссылке (http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012598)
2. Также для гарантированного предотвращения заражения на системах, на которых невозможна установка обновлений, возможно отключить поддержку протокола SMBv1, для этого необходимо выполнить следующую команду:
dism /online /norestart /disable-feature /featurename:SMB1Protocol
Однако это может помешать работе службе Active Directory.
3. Для уменьшения риска заражения вирусом, рекомендуется установить Антивирусное ПО, или сконфигурировать межсетевой экран для блокировки 445 порта в сеть Интернет.
4. Для защиты от подобных атак в будущем настоятельно рекомендуется регулярное обновление ПО, а также регулярное резервное копирование на защищенные носители или сервера.
Мы будем следить, за развитием ситуации.
Данная статья подготовлена в связи в хакерской атакой массового характера в мировом масштабе, которая может коснуться и вас. Последствия становятся действительно серьезными. Ниже вы найдете краткое описание проблемы и описание основных мер, которые необходимо предпринять для защиты от вируса-шифровальщика семейства WannaCry.
Вирус-шифровальщик WannaCry использует уязвимость Microsoft Windows MS17-010
, чтобы выполнить вредоносный код и запустить программу-шифровальщик на уязвимых ПК, затем вирус предлагает заплатить злоумышленникам порядка 300$, чтобы осуществить расшифровку данных. Вирус широко распространился в мировых масштабах, получив активное освещение в СМИ – Фонтанка.ру , Газета.ру , РБК .
Данной уязвимости подвержены ПК с установленными ОС Windows начиная с XP и до Windows 10 и Server 2016, официальную информацию об уязвимости от Microsoft вы можете прочитать и .
Эта уязвимость относится к классу Remote code execution , что означает, что заражение может быть произведено с уже зараженного ПК через сеть с низким уровнем безопасности без сегментирования МЭ - локальные сети, публичные сети, гостевые сети, а также путем запуска вредоноса полученного по почте или в виде ссылки.
Меры безопасности
Какие меры необходимо выделить как эффективные, для борьбы с данным вирусом:
- Убедитесь, что у вас установлены актуальные обновления Microsoft Windows, которые убирают уязвимость MS17-010. Найти ссылки на обновления вы можете , а также обратите внимание, что в связи с беспрецедентной серьезностью данной уязвимости - 13-го мая были выпущены обновления для неподдерживаемых ОС (windowsXP, 2003 server, 2008 server) их вы можете скачать .
- Используя решения по обеспечению сетевой безопасности класса IPS, убедитесь, что у вас установлены обновления, включающие выявление и компенсацию сетевой уязвимости. В базе знаний Check Point данная уязвимость описана , она входит в обновление IPS от 14 марта 2017 года Microsoft Windows SMB Remote Code Execution (MS17-010: CVE-2017-0143). Также рекомендуем настроить проверку внутреннего трафика ключевых сетевых сегментов с помощью IPS, хотя бы на короткое время, пока вероятность заражения не снизится.
- В связи с вероятностью изменения кода вируса, рекомендуем активировать системы AntiBot&Antivirus и эмуляции запуска файлов, приходящих из внешних источников по почте или сети интернет. Если вы являетесь пользователями шлюзов безопасности Check Point, то данной системой является Threat Emulation. Специально для компаний, не имеющих данной подписки, мы предлагаем быстро оформить её в триальный период 30 дней. Для того чтобы запросить ключ активирующий полнофункциональную подписку для вашего шлюза Check Point - напишите на почту [email protected] Подробнее про системы эмуляции файлов вы можете прочитать , и .
Еще больше рекомендаций и пример отчета о блокировке работы шифровальщика wannacry .
Уважаемые коллеги, основываясь на опыте работы с предыдущими массированными атаками, такими как Heart Bleed, уязвимость Microsoft Windows MS17-010 будет активно эксплуатировать на протяжении ближайших 30-40 дней, не откладывайте меры противодействия! На всякий случай, проверьте работу вашей BackUp системы.
Риск действительно большой!
UPD. В четверг, 18 мая, в 10.00 по Московскому времени, мы приглашаем вас на вебинар о вымогательском программном обеспечении и способах защиты.
Вебинар проводит компания TS Solution и Сергей Невструев, Check Point Threat Prevention Sales Manager Eastern Europe.
Мы затронем следующие вопросы:
- Атака #WannaCry
- Масштаб и текущее состояние
- Особенности
- Факторы массовости
Как быть на шаг впереди и спать спокойно
- IPS + AM
- SandBlast: Threat Emulation и Threat Extraction
- SandBlast Agent: Anti-Ransomware
- SandBlast Agent: Forensics
- SandBlast Agent: Anti-Bot
Компьютерный вирус под оригинальным названием Wanna Crypt (хочу зашифровать) и подходящим сокращенным именем WannaCry (хочу плакать) заблокировал десятки тысяч компьютеров по всему миру 12 мая 2017 года. Уже на следующий день эпидемия была остановлена. Однако разработчики вируса внесли изменения в код, и миллионы компьютеров с операционной системой Windows снова оказались под ударом.
Вирус шифрует файлы и требует выкуп в размере $300. Жертвы уже перечислили десятки тысяч долларов, но сведений о расшифровке пока нет. В любом случае, лучше предотвратить заражение и возможные последствия, чем пытаться спасти информацию после атаки.
1. Установите обновления Windows
Скачайте по адресу https://technet.microsoft.com/library/security/MS17-010 и установите «заплатку» для защиты от WannaCry. В компании Microsoft считают это настолько важным, что выпустили версию даже для Windows XP (поддержка которой была прекращена в 2014 году).
Кроме того, уязвимость, на которой основаны атаки WannaCry, была закрыта в регулярном обновлении Windows еще в марте. Обновите Windows.
2. Сделайте резервные копии важных файлов
Сохраните свои рабочие и личные файлы. Можно скопировать их на внешний жесткий диск или флешку, закачать в «облако», выложить на FTP-сервер, отправить почтой самому себе, коллеге или другу. Только не запишите поверх недавно сохраненных «чистых» файлов их зашифрованные версии. Используйте другие носители. Пусть лучше будет две копии, чем ни одной.
3. Закройте порты 139 и 445
Звучит как фраза из фильма про хакеров, но это не так сложно. И очень полезно, потому что обезопасит ваш компьютер от WannaCry. Нужно сделать следующее:
- Открыть Брандмауэр Windows (Firewall) – например, через «Сетевые подключения»;
- Выбрать пункт «Дополнительные параметры» (Advanced Settings);
- Найти «Правила для входящих подключений» (Inbound rules) – посередине экрана, чуть пролистав вниз;
- Дальше, начиная с главного меню: «Действие / Создать правило... / Для порта / Определенные локальные порты – 139 / Блокировать подключение» (Action / New rule... / Port / Specified local ports – 139 / Block the connection);
- аналогично для порта 445.
4. Найдите сетевого администратора или «погуглите» сами
Главное уже сделано, вы в относительной безопасности. Нужно еще заблокировать SMB v1, инспектировать настройки VPN, проверить систему на вирусы. В принципе все это реально сделать самостоятельно. Но будет проще и надежнее найти специалистов.
5. Если не можете выполнить хотя бы пп.1-2 – выключите компьютер
Если по каким-то причинам вы не смогли установить «заплатку» от Microsoft, обновить Windows и сохранить важные файлы на внешних носителях – лучше выключить компьютер. Просто обесточить, чтобы у вируса не было шансов разрушить ваши цифровые активы. В крайнем случае, хотя бы отключите доступ к Интернету.
Дождитесь прихода специалистов, выпуска дешифратора, специальных версий антивирусов «в один клик». Это не займет много времени, а сэкономит годы труда, затраченные на создание всех тех файлов, которые сейчас под угрозой.
Да, этот вирус прокричал на весь мир 12 мая очень громко. Wanna Cry оказался не тем вирусом, который тихо и спокойно распространяется себе по миру от компьютера к компьютеру, с которым постепенно обучаются работать антивирусы и который со временем становится одним из фигурантов таблицы распознаваемых вирусов.
Нет, здесь всё гораздо сложнее. Вирус буквально в несколько часов распространился по всему миру. Особенно пострадали Россия и Китай, какое-то время держалась Австралия, но и она угодила в эту «яму».
Зашифрованные компьютеры отображают выписки за сотню долларов биткойны, без гарантии разблокировки файлов. Эта скорость и масштаб во многом обусловлены рядом факторов. Теперь, когда джинн выходит из бутылки, мы можем ожидать увидеть новые варианты этого выкупа.
Наиболее пострадавшими странами, по нашим данным, являются: Россия, Украина, Тайвань, Индия, Бразилия, Таиланд, Румыния, Филиппины, Армения и Пакистан. Более половины попыток нападений, которые мы записали, были в России. Большие учреждения также сильно пострадали, особенно больницы и другие общественные службы. Многие из них полагаются на устаревшие системы для работы и просто не могут обновлять свои системы.
Дело дошло до выступлений ведущих политиков мира. Громогласное заявление сделал и один из руководителей Microsoft, прямо обвинивший спецслужбы США в безответственном поведении. Дело в том, что, оказывается, американское ФБР в течение последних нескольких лет вело исследования системы Windows на наличие всевозможных недоработок и лазеек. Для своих целей, конечно. И лазейки были найдены – в Microsoft тоже работают не боги, им тоже свойственно ошибаться.
Если вы еще этого не сделали, установите обновленный антивирус
Вот некоторые из шагов, которые вы должны предпринять, чтобы оставаться в безопасности. Однако миллионы пользователей проигнорировали эти обновления.
Оставайтесь в поиске фишинговых писем и ссылок
Даже выходит за рамки обнаружения обычных кодовых подписей и просматривает фактическое поведение установленных приложений . Таким образом, даже если он не знает, как будет выглядеть следующий вариант, он будет знать, чтобы поймать его, когда он видит его в действии.То же самое, что делает шифрование таким мощным инструментом, когда оно используется для защиты информации, также делает его такой проблемой, когда оно используется для лечения. Если вы инфицированы, вот несколько рекомендаций. Мы знаем, что это не очень чувствительно, когда на карту поставлены ваши личные фотографии или важные рабочие файлы. Но нет гарантии, что ваши файлы будут расшифрованы или что преступники не просто убегут с деньгами. Уплата только делает эти схемы более привлекательными. И любой контакт с атакующими дает им больше шансов заразить вас большим количеством вредоносных программ. Изолируйте его из Интернета как можно скорее. Остановите распространение вредоносного ПО на других или получите больше инструкций от тех, кто его создал. Восстановление из резервной копии Если вы используете следуя рекомендациям и сохраняя резервную копию на внешнем жестком диске, вы можете использовать его для восстановления данных. Вы должны иметь доступ к истории версий своих файлы и восстановить их до более ранних, незашифрованных состояний. Мы работаем над инструментом дешифрования, который может восстановить ваши файлы.
- Не платите выкуп.
- Что бы ни случилось, мы не рекомендуем вам платить выкуп.
- Никогда не платите выкуп: нет гарантии, что вы вернете свои файлы.
Проблема только в том, что каким-то образом изыскания сыщиков США вдруг стали известны всему компьютерному миру, вернее тому, кто нашёл возможность на них поживиться.
Собственно говоря, способ распространения вируса Wanna Cry традиционен:
Может запускаться wannacry и через незнакомые exe- или js-файлы, заражение, возможно, происходит и через графический файл (а что может быть заманчивее, чем sexy-картинка).
Защита от вирусов и корпоративных угроз. Защита конечных точек с адаптивной защитой от угроз - реальная защита и динамическое сжатие приложений. Назначение правила = безопасность. Динамическое сдерживание приложений - правила ограничения. Имя правила: выполнение любого дочернего процесса.
Название правила: изменение папок данных пользователей. Название правила: изменение мест регистрации при запуске. Имя правила: чтение или изменение файлов в любом месте сети. Название правила: создание файлов в любом сетевом расположении. Название правила: изменение бит скрытого атрибута.
Известны случаи, когда инфицирование произошло просто потому, что компьютер был в сети. Не обходит он своим внимание и облачные технологии – полностью оказались посрамлены её проповедники, они не так уж и защищены, как об этом нам постоянно говорится. В общем, при первом взгляде на складывающуюся ситуацию – край, из которого нет выхода, спереди стена, а назад некуда.
Эти обновления контента доступны в текущих сборках. Почему вы называете правила защиты доступа в целом? Имена правил не влияют на само правило и могут быть названы как угодно. Начальник Европола предупредил, что угроза кибератаки, которая заняла международные службы, «будет продолжать расти», когда люди вернутся на работу в понедельник.
Роб Уэйнрайт, директор Европола, сказал, что нападение ударит как в частном, так и в государственном секторах. 
Меня беспокоит то, как цифры будут продолжать расти, когда люди пойдут на работу и вернут свои машины в понедельник утром. Он сказал: В настоящий момент мы сталкиваемся с нарастающей угрозой, цифры растут, меня беспокоит то, как цифры будут продолжать расти, когда люди приступают к работе и превращают свои машины в понедельник утром.
Сначала создавалось впечатление, что объектом внимания вируса становится только системный диск “C:” . Но по мере развития ситуации оказалось, что вирус распространился и на съёмные диски, что неожиданно – на Windows 10. Про флешки и говорить не приходится, они просто «горят, как свечки».
Вины Microsoft нет
Многие из них будут предприятиями, включая крупные корпорации. Национальный центр кибербезопасности опубликовал свой последний совет по вирусу. Как узнать, заражен ли компьютер? На экране появится сообщение с требованием выкупа, таймер обратного отсчета и биткойн-кошелек для внесения средств.
Крупнейшие кибератаки, хаки и нарушения данных
От вирусов к нарушениям данных киберпреступность далека от современного изобретения - вот список сайтов из самых больших атак в истории. Каков наилучший способ защитить вашу систему? Для особо уязвимых систем они должны быть закрыты в качестве окончательного отказоустойчивого способа остановить выкуп.
Как проявляется
WannaCry представляет собой программу под названием WanaCrypt0r 2.0, которая атакует исключительно ПК на OC Windows. Программа использует "дыру" в системе - Microsoft Security Bulletin MS17-010, существование которой было ранее неизвестно.
Вирус WannaCry распространяется через электронную почту. После открытия вложения в письме со спамом запускается шифратор и зашифрованные файлы после этого восстановить практически невозможно.
3 На что нужно обращать внимание, чтобы не заразить компьютер вирусом WannaCry?
Внимательно смотрите, что вам присылают по электронной почте. Не раскрывайте файлы с такими расширениями: .exe , .vbs и .scr . Мошенники могут использовать несколько расширений, чтобы замаскировать вредоносный файл как видео, фото или документ (например, avi.exe или doc.scr ), пишет ru24.top.
Гендиректор компании по предотвращению и расследованию киберпреступлений Group-IB Илья Сачков советует: "В случае с WannaCry решением проблемы может стать блокировка 445 порта на Firewall (межсетевой экран), через которое идет заражение". Для обнаружения потенциально вредоносных файлов нужно включить опцию "Показывать расширения файлов" в настройках Windows.
4 Что предприняла компания Microsoft, чтобы защитить OC Windows от вируса WannaCry?
Microsoft уже выпустила "заплатку" - достаточно запустить обновление Windows Update до последней версии . Стоит отметить, что защитить свой компьютер и данные смогут только пользователи, купившие лицензионную версию Windows - при попытке обновить "пиратку" система просто не пройдет проверку. Также необходимо помнить, что Windows XP уже не обновляется, как, разумеется, и более ранние версии , сообщает Rorki.ru.
5 Простейшие способы защиты от вируса WannaCry
Чтобы не "поймать" на свой компьютер вирус WannaCry, нужно следовать нескольким простым правилам безопасности:
- вовремя осуществлять обновление системы - все зараженные ПК не были обновлены,
- пользоваться лицензионной ОС,
- не открывать сомнительные электронные письма,
- не переходить по сомнительным ссылкам, оставленных пользователями, не вызывающими доверия.
6 Что нужно делать, если вы "поймали" вирус WannaCry на свой компьютер?
Если вы подозреваете, что ваш компьютер заражен вирусом WannaCry, нужно в обязательном порядке отключить устройство от интернета или Wi-Fi - это позволит предотвратить распространение вируса, советуют в Group-IB. Рекомендации специалистов: никогда не платить выкуп мошенникам, так как нет никакой гарантии, что злоумышленники отправят ключ дешифрования, советует alldaynews24.ru.
6 Как минимизировать ущерб от возможного заражения вирусом WannaCry?
"Лаборатория Касперского" предлагает регулярно делать резервные копии файлов: "Храните копии на носителях, которые не постоянно подключены к компьютеру. Если есть свежая резервная копия , то заражение шифровальщиком - не трагедия, а всего лишь потеря нескольких часов на переустановку или чистку системы".
