В пятницу, 12 мая, вирус-вымогатель WanaCrypt0r 2.0 заразил десятки тысяч компьютеров по всему миру. Сначала он парализовал работу британских больниц и испанских компаний, а затем добрался до России, атаковав региональные управления МВД и Следственного комитета. Пока эксперты пытаются оценить истинный масштаб бедствия и выяснть, кто может стоять за разработкой зловредной программы.

Весь мир у его ног

У отслеживающих новые вирусы и уязвимости специалистов из MalwareHunterTeam наверняка выдалось горяченькое утро. Еще в четыре часа ночи они оставили паническое сообщение о том, что «по сети с дьявольской скоростью распространяется новый вредонос WanaCrypt0r 2.0».

И были правы как никогда — всего за пару часов вымогатель атаковал десятки стран. Начав с Испании и Португалии, где он парализовал работу крупного оператора связи Telefonica и прошелся по газовой компании Gas Natural, оператору электросетей Iberdrola и банку Iberica, малварь переметнулся на внутренние сети британских больниц, потом был зафиксирован в Сингапуре, на Тайване и в Китае, а после распространился по всему миру, добравшись даже до Австралии и Латинской Америки.

Карта распространения WanaCrypt0r 2.0 за последние сутки.

Один из специалистов отметил, что заражению подверглись десятки тысяч компьютеров в 74 странах мира и это число продолжает возрастать. Другой подчеркнул, что мир, возможно, стал свидетелем крупнейшей вирусной атаки в истории.

В России первое сообщение о WanaCrypt0r появилось на портале «Пикабу» — его автор утверждал, что шифровальщик поразил сеть МВД. В министерстве сначала заявили, что у них ведутся некие «технические работы на внутреннем контуре», но потом признали факт атаки, хотя и опровергли заражение серверов вирусом.

Случаи заражения в региональных управлениях МВД и Следственного комитета признал и источник в силовых структурах. Правда, он не уточнил, были ли при этом затронуты внутренние сети ведомств. Он также не смог подтвердить слухи о том, что некие хакеры более часа скачивали информацию из федеральной информационной системы регистрации (ФИСМ), куда вносятся все данные автовладельцев и машин, и связаны ли эти злоумышленники с распространением WanaCrypt0r.

Жертвой вымогателя стал и мобильный оператор «Мегафон». Представитель компании Петр Лидов-Петровский объяснил, что компьютеры в компании подверглись массовому заражению, поскольку связаны между собой внутренней сетью. В результате перестала работать техподдержка, ведь операторы не могли воспользоваться компьютерами и принять звонки, а в салонах «Мегафона» возникли проблемы с обслуживанием клиентов.

Плати, не скупись

Специалисты по кибербезопасности в один голос утверждают, что по своей сути WanaCrypt0r 2.0 — весьма стандартный троян-вымогатель. Попав на компьютер жертвы, он шифрует все данные на жестком диске и требует отправить злоумышленникам 300 долларов в биткоинах. На размышление отводится три дня, после чего сумма выкупа увеличивается вдвое, а через неделю файлы останутся зашифрованными навсегда.

Тем не менее сразу несколько экспертов отмечают отлично проработанный и весьма «дружелюбный» интерфейс вредоноса с поддержкой десятков языков, в том числе английского, русского, испанского, китайского и даже румынского.

Еще одна любопытная особенность заключается в том, что вирус заражает только компьютеры на Windows. Эксперты полагают, что в группе максимального риска находятся пользователи, не установившие последние обновления операционной системы.

Требование выкупа на зараженном WanaCrypt0r 2.0 компьютере.

Многие юзеры отмечали, что за несколько дней до того, как вирус зашифровал все имеющиеся на компьютерах файлы, система либо бесконтрольно перезапускалась, либо требовала перезагрузить компьютер из-за некой критической ошибки, заботливо напоминая юзерам о необходимости сохранить все важные рабочие файлы.

Пострадавшие также сообщили, что антивирусы не способны обнаружить WanaCrypt0r 2.0, на полный цикл зашифровки у него уходит около четырех часов, но в окне процессов сторонних программ не наблюдается. Некоторые попытались отформатировать жесткий диск или переустановить Windows, но через некоторое время на экране вновь появлялось сообщение с требованием заплатить выкуп.

Специалисты напоминают, что обычно вирусы-вымогатели прячутся в текстовых файлах или PDF-документах и распространяются по почте. Так же считает глава компании по расследованию киберпреступлений Group IB Илья Сачков. По его словам, такие вредоносы чаще всего распространяются через электронные письма, но многие пострадавшие отмечали, что в последнее время не заходили в почту и не открывали сомнительные вложения.

Сачков также предположил, что хакеры вряд ли заразили компьютеры по политическим мотивам. «Это легкий способ монетизации, и он часто используется злоумышленниками в целях обогащения», — подытожил специалист.

Кто стоит за вымогателем

Пока специалисты не знают, что за хакерская группировка разработала WanaCrypt0r 2.0 и провела столь масштабную атаку. Злоумышленники явно воспользовались тем, что многие пользователи не установили последние обновления Windows. Это хорошо заметно на примере серьезно пострадавшего от вируса Китая — как известно, жители Поднебесной питают особую любовь к не получающим апдейты пиратским операционкам.

Зато кое-что известно о самом вирусе. Первые жалобы на WannaCry появлялись еще в феврале 2017 года, но не имели массового характера. В блоге Kaspersky Lab уточняется, что WanaCrypt0r 2.0 — это новая версия WannaCry, использующая уязвимость под кодовым названием EthernalBlue.

Она подробно описана в документах хакерской группировки Shadowbrokers, которая в середине апреля выложила в открытый доступ инструменты сотрудников американского Агентства национальной безопасности. А это значит, что в руки создателей вируса могло попасть в том числе и подробное описание уязвимостей корпорации Microsoft, которые кропотливо собирали для себя американские спецслужбы.

Ряд специалистов утверждает, что хакеры используют и упомянутый в документах АНБ зловред DoublePulsar. Он использует EthernalBlue для проникновения в систему, до предела нагружая ядро Windows и позволяя загрузить на устройство новые вирусы.

Более того, некоторые эксперты отмечают, что EthernalBlue и DoublePulsar якобы были выявлены и разработаны сотрудниками АНБ, а с помощью последнего неизвестные в конце апреля заразили 36 тысяч компьютеров по всему миру. Однако Microsoft еще в марте утверждала, что устранила все описанные в документах АНБ уязвимости в новой версии Windows.

Роль уязвимостей АНБ в работе WanaCrypt0r 2.0 пока еще не подтверждена окончательно. Тем не менее бывший сотрудник американских спецслужб Эдвард Сноуден в своем Twitter уже упрекнул сотрудников спецслужбы в том, что из-за их маниакального желания следить за всем миром и оплошности с утечкой данных страдают вполне реальные люди. Например, сотни пациентов больниц.

Владимир Тодоров, Анастасия Евтушенко

13.05.2017

Источник: Lеnta.ru

Программа WannaCry взяла в заложники компьютеры по всему миру. Обобщение

Файлы на десятках тысяч компьютеров были заблокированы вирусом-вымогателем WannaCry. Среди пострадавших - как обычные пользователи, так и крупные компании, а также государственные структуры.

Что такое WannaCry

Программа WannaCry — это так называемый Ransomware — софт, предназначенный для вымогания. После установки на компьютер жертвы программа либо зашифровывает часть важных файлов, требуя деньги за инструкцию и пароль для расшифровки, либо блокирует работу системы, выводя на экран окно с угрозами. WannaCry делает и то, и другое: шифрует базы данных, блокирует компьютер и выводит сообщение с требованием внести сумму выкупа на биткоин-кошелек злоумышленника.

В "Лаборатории Касперского" пояснили, что атака происходила через известную сетевую уязвимость Microsoft Security Bulletin MS17-010, после чего на зараженную систему устанавливался набор скриптов, используя который злоумышленники запускали программу-шифровальщик.

Суммы выкупа разнятся: хакеры требуют от $200 до $600. Если в течение двух дней жертва не оплатит выкуп, его сумма будет увеличена. Если пользователь откажется платить в течение недели, зашифрованные файлы удалятся. Судя по тому, что на одном из таких кошельков (сообщается, что их несколько) уже лежит 4 биткоина (более $6700), кто-то испугался угроз: 22 транзакции датируются 13 мая.

Атаку 12 мая специалисты уже называют крупнейшим Ransomware-взломом с самой высокой эффективностью в первые 8 часов работы.

Кто пострадал

Первым громким случаем появления WannaCry стала атака на часть компьютерной сети компании Telefonica, парализовавшая ее. Тех ее сотрудников, кто не пострадал от атаки, предупредили о необходимости выключить компьютеры, в том числе компьютеры внешних работников, подключенных через VPN.

Затем WannaCry появился компьютерах Национальной службы здравоохранения Великобритании (NHS). Атака коснулась медицинских учреждений в Лондоне, а также английских городах Блэкберн, Ноттингем и графствах Камбрия и Хартфордшир. Из-за атаки некоторые медучреждения предупредили, что будут принимать только экстренных пациентов.

Позже премьер-министр Великобритании Тереза Мэй отдельно отметила, что никакие данные пациентов больниц не попали в руки злоумышленников.

Всего, по данным российской "Лаборатории Касперского", было совершено около 45 тысяч атак программы-шифровальщика WannaCry в 74 странах по всему миру. Посмотреть, как распространялся вирус, можно на инфографике газеты The New York Times.

WannaCry в России

Одновременно с новостями в Великобритании о WannaCry сообщили в России: в СМИ появилась информация об атаке на сотовых операторов, МВД и СК.

Представитель компании "Мегафон" сообщил, что никакого влияния на качество связи это не оказало. "IT-специалисты "Мегафона" продолжают работу над устранением последствий атаки. К 21:00 была восстановлена работоспособность центров поддержки абонентов, в работе которой в течение нескольких часов были сбои из-за проблем с компьютерами сотрудников. Ситуация под контролем, правоохранительные органы были проинформированы в установленном порядке", - заявили в компании.

Официальный представитель СК Светлана Петренко заявила, что сообщения о хакерской атаке не соответствуют действительности, а все ресурсы ведомства работают в штатном режиме. В МВД факт появления WannaCry признали - заразились около тысячи компьютеров, — но отчитались об успешной локализации вируса. Зараженные машины отключили от сети, на остальных обновили антивирусную защиту. Источник "Интерфакса", а затем и официальный представитель ведомства Ирина Волк отметили, что во время атаки удалось избежать утечки информации.

Российский Минздрав после новостей о британских коллегах оперативно отразил начавшиеся атаки и закрыл уязвимости. Об этом в твиттере сообщил помощник министра здравоохранения Никита Одинцов.

Пресс-служба Сбербанка России привела службы, отвечающие за кибербезопасность в повышенную готовность и также выдержала атаку. "Сеть банка предусматривает защиту от подобных атак. Проникновений вирусов в систему не произошло", - отметил представитель "Сбербанка".

WannaCry и американские спецслужбы

Эдвард Сноуден, бывший сотрудник Агентства национальной безопасности обвинил спецслужбы в том, что они не предотвратили глобальную кибератаку. По его словам, АНБ, чьи разработки были украдены и использованы хакерами, знало об опасности данных программ.

Он также призвал АНБ рассказать о вероятности уязвимости американского ПО, чтобы не повторился британский сценарий.

О связи программы-вымогателя и спецслужб США заявили также в твиттере Wikileaks.

В свою очередь, в министерстве внутренней безопасности США предложили помощь в борьбе с WannaCry как внутри страны, так и за рубежом.

"Мы активно обмениваемся информацией, связанной с этим событием, и готовы оказывать техническую поддержку и помощь, если это необходимо, нашим партнерам, как в Соединенных Штатах, так и на международном уровне. В министерстве работают профессионалы в области кибербезопасности, которые могут предоставить экспертные знания и поддержку критически важным объектам инфраструктуры", — говорится в официальном заявлении ведомства.

Как уберечься от WannaCry

Вирус использует уязвимость в ОС Windows. Однако компания Microsoft закрыла ее еще в марте. Если на вашем компьютере включена автоматическая установка обновлений, "вымогатель" вам не грозит. Если вы обновляете систему вручную, вам нужно выполнить эту инструкцию.

13.05.2017

Источник: INTERFAX.RU

Сноуден допустил использование вируса АНБ в глобальной хакерской атаке

Компьютерный вирус, разработанный Агентством национальной безопасности (АНБ) США, действительно мог быть использован хакерами при атаке на систему здравоохранения Великобритании, испанскую компанию Telefonica и различные организации в других странах мира. Об этом в Twitter написал бывший сотрудник АНБ Эдвард Сноуден.

По его словам, решение АНБ создать инструменты атаки против американского программного обеспечения сейчас «угрожает жизням пациентов больниц». Он также отметил, что считает новые инструменты Агентства опасными.

При этом он призвал конгресс США запросить информацию о том, знали ли в АНБ о возможных уязвимостях операционных систем, используемых в американских больницах.

Ранее источники Financial Times сообщили, что серверы Национальной службы здравоохранения Великобритании (NHS) были атакованы с помощью модифицированной программы АНБ. В частности, использовался электронный инструментарий Eternal Blue.

12 мая хакеры провели масштабную атаку на серверы в различных организациях в десятках странах мира. В России они затронули компьютеры некоторых министерств и компаний.

13.05.2017

Источник: eadaily.com

The Telegraph увидела российский след во всемирной атаке вируса-вымогателя

Британская газета The Telegraph предполагает, что за хакерской атакой, которая 12 мая поразила десятки тысяч компьютеров во всем мире, стоит группировка Shadow Brokers. При этом издание пишет, что действия злоумышленников якобы указывают на то, что она может иметь связь с Россией и мстить за удары США по Сирии.

Так, по данным газеты, 8 апреля хакеры на одном из малоизвестных сайтов опубликовали послание президенту США Дональду Трампу, в котором критиковали его за ракетный удар по Сирии. «Shadow Brokers голосовали за вас. Shadow Brokers поддерживали вас. Shadow Brokers теряют веру в вас», — приводит газета выдержку из сообщения.

Спустя шесть дней киберпреступники рассказали, что похитили у американского правительственного агентства «кибероружие», благодаря которому получили беспрецедентный доступ к компьютерам, работающим на Microsoft Windows, отмечает The Telegraph.

13.05.2017

Источник: Lеnta.ru

В Европоле заявили о "беспрецедентном уровне" кибератак с вирусом WannaCry

Эксперты полицейской службы ЕС (Европола) полагают, что серия кибератак при помощи компьютерного вируса WannaCry по всему миру была проведена на "беспрецедентном уровне", сообщают в субботу, 13 мая, западные СМИ со ссылкой на заявление организации.

В Европоле, который работает с руководством пострадавших от кибератак стран и компаний, также считают необходимым провести "комплексное международное расследование, чтобы установить виновников".

Как сообщалось, российская "Лаборатория Касперского" зафиксировала около 45 тыс. атак программой-шифровальщиком WannaCry в 74 странах по всему миру. В наибольшей степени заражению подверглась Россия.

Также хакерской атаке подверглись сеть испанской телекоммуникационной компания Telefonica, испанский поставщик электроэнергии и природного газа Iberdrola, американская компания по предоставлению почтовых и курьерских услуг FedEx, крупнейший провайдер телекоммуникационных услуг Португалии Portugal Telecom.

13.05.2017

Источник: INTERFAX.RU

Британский программист остановил атаку вируса Wanna Cry

Внимательность британского программиста помогла ему остановить атаку вредоносного вымогателя Wanna Cry, который уже заразил многие тысячи компьютеров на всей планете. Об этом в субботу 13 мая сообщает ФАН.

Киберугроза была ликвидирована после регистрации домена iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com. Этот адрес был зашит в коде самого вируса. Выяснилось это совершенно случайно.

Специалист вместе со своим коллегой, анализируя поведение агрессора, установили, что он обращается по такому адресу, и решили проследить за ним. Теперь, пишет программист, он смело может дополнить свое резюме пунктом про случайную победу над хакерами.

Однако о полной и безоговорочной победой над киберугрозой говорить слишком рано. Как только киберпреступники поменяют адрес, компьютеры вновь будут атакованы.

13.05.2017

Источник: eadaily.com