Način širjenja WanaCrypt0r ransomware


GUTE-URLS

Wordpress is loading infos from malwarebytes

Please wait for API server guteurls.de to collect data from
blog.malwarebytes.com/threat-analysi...

Če koga zanima način širjenja izsiljevalskega virusa WannaCry, si lahko več prebere na temle blogu:

 

Kaj je treba vedeti o Wannacry – ransomware (izsiljevalski virus)

V petek, 12. maja 2017, je bilo veliko podjetij in ustanov napadeno s crypto- ransomware, izsiljevalskim virusom, imenovanim Wannacry. Uporabniki, ki so okuženi z izsiljevalskim virusom Wannacry, ne morejo uporabljati svojih računalnikov, dokler ne plačajo najmanj 300$ v Bitcoinih. Po treh dneh se ta znesek podvoji, po sedmih dneh pa bodo datoteke izbrisane, če odkupnina ne bo plačana. V obvestilu izsiljevalskega virusa tudi piše, da če tega denarja nimate, vam sicer odklenejo zakodirane datoteke brezplačno, toda šele po 6 mesecih 🙂 Wannacry zakriptira datoteke s končnico .WCRY

Kdo je bil napaden z Wannacry?

Veliko podjetij in javnih ustanov je bilo napadenih z Wannacry. Med drugimi v Sloveniji tudi Revoz. Gre za izbruh virusa, ki je napadel več kot 99 držav po svetu. Izsiljevalski virus Wannacry je napadel telekomunikacijska podjetja, podjetja, ki se ukvarjajo z distribucijo plina, javne bolnice, podjetja, ki se ukvarjajo s prodajo električne energije idr.

Trenutno najbolj odmeva napad na zdravstveni sistem National Health Service (NHS) v Angliji, ki je zdravstvo zelo ohromil, tako da so morali celo prestavljati operacije in druge posege.

V Rusiji so bile tarča izsiljevalskega virusa med drugim tudi ruska centralna banka, vlada in železniški sistem. V petek pozno zvečer naj bi napade zabeležilo več ruskih ministrstev in vladnih agencij. Notranje ministrstvo je sporočilo, da je bilo okuženih njihovih tisoč računalnikov. Poizkus okužbe z Wannacry so potrdili tudi v Sberbanki, a so bili ustrezno zaščiteni.

Napadene so bile tudi nemške železnice Deutsche Bahn. Izsiljevalski virus Wannacry je napadel njihove informacijske zaslone in avtomate za vozovnice. Potniki so tvitali fotografije zaslonov, na katerih so bile namesto podatkov o odhodih vlakov zahteve po plačilu odkupnine.

Iz španske Telefonice so sporočili, da je prizadeta oprema pod nadzorom in da jo znova nameščajo.

 

Zakaj je napad Wannacry tako velik?

WannaCry izkorišča napako v Server Message Block (SMB) v operacijskem sistemu Microsoft Windows, ki lahko omogoči oddaljeno izvajanje kode. Microsoft je izdal popravek že marca (MS17-010), vendar pa veliko podjetij še vedno ne posodablja svojih računalnikov dovolj hitro in redno. Drugi problem pa je ta, da veliko podjetij še vedno uporablja Windows XP in Windows server 2003, za katerega pa na voljo ni več uradnih popravkov. Obstaja tudi večje število računalnikov, ki ima nameščene piratske kopije Windows (predvsem na Kitajskem in v Rusiji), na katere se ne da nameščati uradnih popravkov in tako ostaja tak računalnik trajno ogrožen.

Zaradi velikosti izbruha je Microsoft včeraj izdal popravek tudi za Windows XP in Server 2003.

Zakaj se Wannacry širi tako hitro?

Razlog, zakaj se izsiljevalski virus WannaCry širi tako hitro, je v ranljivosti MS17-010, ki omogoča, da se širi kot računalniški črv (worm). Računalniški črvi pa se znajo zelo hitro širiti. WannaCry ima zmožnost, da skenira omrežje in najde druge gostitelje preko EternalBlue ranljivosti, tako da se lahko širi sam, ne da bi uporabnik rabil karkoli narediti na računalniku. 14. aprila so hekerji, znani kot The Shadow Brokers, trdili, da so ukradli programsko opremo WannaCry, ki ga je razvila ameriška obveščevalna agencij NSA.

 

Router Checker

Router Checker je brezplačno spletno orodje, ki preveri nastavitve povezave do interneta vašega usmerjevalnika. Če je vaš usmerjevalnik ni nastavljen pravilno in uporablja nepravilne DNS strežnike, bi to lahko pomenilo, da vam je nekdo spremenil nastavitve usmerjevalnika.

Kot vsaka naprava na vašem domu ali v pisarni, je tudi usmerjevalnik ranljiv za napade.

Test lahko izvedete na naslednji povezavi: Router Cheker

CDN Security danes ni več dovolj

Mnoga podjetja danes uporabljajo varnost CDN, ko poskušajo zagotoviti zaščito svojih spletnih strani in aplikacij. Odvisno od CDN, ki ga uporabljajo, se lahko dejansko tudi zmanjša uporabniška izkušnja. Pri testiranju top 100 spletnih strani je podjetje Radware ugotovilo, da se povprečna uporabniška izkušnja pri uporabi varnosti CDN skrajša povprečno za eno sekundo.

Virus StoneDrill vam lahko izbriše podatke

Virus StoneDrill, ki ga kategoriziramo kot napredno zlonamerno opremo za brisanje podatkov (angl. wiper malware), vam na vašem računalniku izbriše vse podatke. Sama zlonamrena koda StoneDrill vsebuje napredna vohunska orodja, prav tako pa sisteme za preprečevanja zaznavanja njegove prisotnosti na sistemu računalnika. V letu 2012 je podoben virus Shamoon oziroma Disttrack napadel več kot 35.000 računalnikov. Od takrat se je virus izpopolnil in sedaj uporablja vse napredne tehnike in zato predstavlja veliko večjo grožnjo za uporabnike.

Kako se StoneDrill širi, še ni povsem znano. StoneDrill se samodejno usidra v proces shranjevanja podatkov v uporabnikovem brskalniku. Zlonamerna programska oprema nato začne brisati datoteke, ki so shranjene na računalniku. Sam StoneDrill stranska vrata, ki naj bi jih napadalci uporabili za vohunjenje.

Število izsiljevalskih napadov hitro narašča

Odstotek izsiljevalskih napadov se je od julija do decembra 2016 zvišal s 5,5 % na 10,5 % vseh poznanih napadov.

 

Najpogostejši malware v drugi polovici leta 2016

  1. Conficker (14,5 %) črv, ki računalniku omogoča oddaljen pristop in prenos malware. Okužena naprava je kontrolirana s pomočjo botneta, ki se povezuje do “Command & Control” strežnika, od kode sprejema navodila.
  2. Sality (6,1 %) virus, ki omogoča oddaljeno upravljanje in prenos dodatnih malware datotek. Glavna naloga je obstoj na okuženem računalniku in s tem omogočiti oddaljen dostop in nadaljnjo širitev malware.
  3. Cutwail (4,6 %) botnet, ki je pogosto vključen v pošiljanje nezaželene pošte in nekatere DDoS napade. Ko je nameščen na okužen računalnik, se botnet poveže direktno do “Command & Control” strežnika in sprejme navodila glede elektronskega sporočila, ki ga mora razposlati. Ko konča z opravilom, pošlje poročilo s statistiko o pošiljanju.
  4. JBossjmx (4,5 %) črv, ki cilja sisteme z ranljivostjo na serverju JBoss Application Server. Malware kreira okuženo JSP spletno stran na ranljivem sistemu. Poleg tega pa odpre stranska vrata, da omogoča komunikacijo preko IRC srežnika.
  5. Locky (4,3 %) ransomware, ki je začel z distribucijo februarja 2106 in se širi predvsem preko nezaželjene elektronske pošte, sn  priponko v Word ali Zip formatu, ki ob odprtju te datoteke namesti malware in zaklene uporabniške datoteke.

Najpogostejši ransomware v drugi polovici leta 2016

  1. Locky (41 % vseh napadov  ransomware)
  2. Cryptowall (27n%) ransomware, ki je začel kot dvojnik Cryptolocker, a je presenetil. Ko se je nekako uspešno umaknil Cryptolocker, ga je nadomestil njegov dvojnik. Za Cryptowall je značilno, da uporablja AES enkripcijo in za komunikacijo uporablja TOR omrežje. Najpogosteje se distribuira preko varnostnih lukenj, malvertising in phishing kampanij.
  3. Cerber (23n%) nabolj raširjena ransomware-as-a-service shema. Dobesedno deluje kot franšiza, tako da razvijalec rekrutira ostale, ki nato širijo malware, s tem da jim odstopi delež pri dobičku.

Najpogostejši malware za mobilne naprave v drugi polovici leta 2016

  1. Hummingbad (60 % vseh mobilnih napadov) Malware za Android naprave, ki omogoča namestitev key-loger, krajo dovoljenj, zaobide zakodirane maile.
  2. Triada (9 %) modularni malware za Android naprave, ki omogoča, da se pridobi superuser dostop do mobilne naprave. Triada tudi prevara URL naslove v brskalniku.
  3. Ztorg (7 %) trojanc, ki uporabi root dostop, ki omogoča prenos in inštalacijo aplikacij na mobilne naprave, ne da bi uporabnik za to sploh vedel.

Prihajajo napadi nove vrste

Če vam je bilo do sedaj vseeno za računalniško varnost in ste si dejali, da se s tem ne ukvarjate in da je največ, kar lahko doživite, da dobite virus na svoj računalnik, nato pa še protivirusni program teži z nadležnimi opozorilnimi okni, se motite. Kaj pa, če bi:
– vam nekdo napadel monitor srca in vam izključil delovanje naprave,
– nekdo napadel vaš avto in začel upravljati z njim sredi vožnje in na primer izključil zavore,
– nekdo vdrl v vašo hišo s preprostim računalniškim vdorom in prevzel nadzor nad vašimi nadzornimi kamerami,
– vas nekdo ukanil in vam prodal lažne počitnice,
– nekdo vdrl v vaš televizor in poslušal, kaj se dogaja v vaši sobi;
– nekdo vdrl v vaš mobilni telefon in pridobil vse podatke na telefonu,
– nekdo vse vaše naprave povezal v internet tako, da bi sodelovale v internetnem napadu na druge?
Vaša biometrična identiteta bo naprodaj.

Vredno branja!