Στις 12 Μαΐου, έλαβε χώρα μια μαζική επίθεση με πρόγραμμα ransomware, η οποία έπληξε οργανισμούς σε όλον τον κόσμο. Οι ερευνητές της Kaspersky Lab έχουν αναλύσει τα δεδομένα και μπορούν να επιβεβαιώσουν ότι τα υποσυστήματα προστασίας της εταιρείας ανίχνευσαν τουλάχιστον 45.000 προσπάθειες «μόλυνσης» σε 74 χώρες, οι περισσότερες από τις οποίες πραγματοποιήθηκαν στη Ρωσία.
Το πρόγραμμα ransomware «μολύνει» τα θύματα εκμεταλλευόμενο μια ευπάθεια των Microsoft Windows, που περιγράφεται και έχει επιδιορθωθεί στο Microsoft Security Bulletin MS17-010. Το exploit που χρησιμοποιήθηκε, με την ονομασία «Eternal Blue», έγινε διαθέσιμο online από την ομάδα χάκερ «Shadowbrokers» στις 14 Απριλίου.
Μόλις εισέλθουν στο σύστημα, οι εισβολείς εγκαθιστούν ένα rootkit, το οποίο τους επιτρέπει να κατεβάσουν το λογισμικό για να κρυπτογραφήσουν τα δεδομένα. Το κακόβουλο πρόγραμμα κρυπτογραφεί τα αρχεία. Ένα αίτημα για $600 σε Bitcoin εμφανίζεται μαζί με το «πορτοφόλι» - και τα απαιτούμενα λύτρα αυξάνονται με την πάροδο του χρόνου.
Οι ειδικοί της Kaspersky Lab προσπαθούν επί του παρόντος να προσδιορίσουν αν είναι δυνατή η αποκρυπτογράφηση των δεδομένων που κλειδώθηκαν κατά τη διάρκεια της επίθεσης, με στόχο την ανάπτυξη ενός εργαλείου αποκρυπτογράφησης το συντομότερο δυνατό.
Οι λύσεις ασφαλείας της Kaspersky Lab ανιχνεύουν το κακόβουλο λογισμικό που χρησιμοποιήθηκε στην επίθεση αυτή με τις ακόλουθες ονομασίες ανίχνευσης:
- Trojan-Ransom.Win32.Scatter.uf
- Trojan-Ransom.Win32.Scatter.tr
- Trojan-Ransom.Win32.Fury.fr
- Trojan-Ransom.Win32.Gen.djd
- Trojan-Ransom.Win32.Wanna.b
- Trojan-Ransom.Win32.Wanna.c
- Trojan-Ransom.Win32.Wanna.d
- Trojan-Ransom.Win32.Wanna.f
- Trojan-Ransom.Win32.Zapchast.i
- Trojan.Win64.EquationDrug.gen
- Trojan.Win32.Generic (πρέπει να είναι ενεργοποιημένη η λειτουργία System Watcher)
Η Kaspersky Lab συνιστά στους χρήστες να λάβουν τα ακόλουθα μέτρα για να μειώσουν τον κίνδυνο «μόλυνσης»:
Εγκαταστήστε το επίσημο patch της Microsoft που κλείνει την ευπάθεια που χρησιμοποιήθηκε για την επίθεση
Βεβαιωθείτε ότι οι λύσεις ασφαλείας είναι ενεργοποιημένες σε όλους τους κόμβους του δικτύου
Αν χρησιμοποιείτε λύση ασφάλειας της Kaspersky Lab, βεβαιωθείτε ότι συμπεριλαμβάνει το System Watcher, μια λειτουργία συμπεριφορικής προληπτικής ανίχνευσης, και ότι είναι ενεργοποιημένη
Εκτελέστε την εργασία «Σάρωση Κρίσιμης Περιοχής» στη λύση της Kaspersky Lab για να ανιχνεύσετε πιθανή «μόλυνση» το συντομότερο δυνατό (διαφορετικά θα ανιχνευθεί αυτόματα, αν δεν απενεργοποιηθεί, εντός 24 ωρών)
Επανεκκινήστε το σύστημα μετά την ανίχνευση του MEM: Trojan.Win64.EquationDrug.gen
Χρησιμοποιείστε Υπηρεσίες Πληροφόρησης για Απειλές, προσαρμοσμένες στις ανάγκες του κάθε πελάτη.
Λεπτομερής περιγραφή της μεθόδου επίθεσης του WannaCry και δείκτες συμβιβασμού μπορείτε να βρείτε σε blogpost στον ειδικό ιστότοπο Securelist. Περισσότερες πληροφορίες βρίσκονται επίσης διαθέσιμες εδώ.
