Кто стоит за заразившим весь мир и проникнувшим в сети МВД вирусом-вымогателем
| Фото: Евгений Биятов / РИА Новости |
В пятницу, 12 мая, вирус-вымогатель WanaCrypt0r 2.0 заразил десятки тысяч компьютеров по всему миру. Сначала он парализовал работу британских больниц и испанских компаний, а затем добрался до России, атаковав региональные управления МВД и Следственного комитета. Пока эксперты пытаются оценить истинный масштаб бедствия, «Лента.ру» выясняла, кто может стоять за разработкой зловредной программы.
Весь мир у его ног
У отслеживающих новые вирусы и уязвимости специалистов из MalwareHunterTeam наверняка выдалось горяченькое утро. Еще в четыре часа ночи они оставили паническое сообщение[1] о том, что «по сети с дьявольской скоростью распространяется новый вредонос WanaCrypt0r 2.0».
И были правы как никогда — всего за пару часов вымогатель атаковал десятки стран. Начав с Испании и Португалии, где он парализовал[2] работу крупного оператора связи Telefonica и прошелся по газовой компании Gas Natural, оператору электросетей Iberdrola и банку Iberica, малварь переметнулся[3] на внутренние сети британских больниц, потом был зафиксирован в Сингапуре, на Тайване и в Китае, а после распространился по всему миру, добравшись даже до Австралии и Латинской Америки.
Один из специалистов отметил[4], что заражению подверглись десятки тысяч компьютеров в 74 странах мира и это число продолжает возрастать. Другой подчеркнул[5], что мир, возможно, стал свидетелем крупнейшей вирусной атаки в истории.
В России первое сообщение о WanaCrypt0r появилось на портале «Пикабу»[6] — его автор утверждал, что шифровальщик поразил сеть МВД. В министерстве сначала заявили, что у них ведутся некие «технические работы на внутреннем контуре», но потом признали факт атаки, хотя и опровергли[7] заражение серверов вирусом.
Случаи заражения в региональных управлениях МВД и Следственного комитета признал и источник «Ленты.ру» в силовых структурах. Правда, он не уточнил, были ли при этом затронуты внутренние сети ведомств. Он также не смог подтвердить слухи[8] о том, что некие хакеры более часа скачивали информацию из федеральной информационной системы регистрации (ФИСМ), куда вносятся все данные автовладельцев и машин, и связаны ли эти злоумышленники с распространением WanaCrypt0r.
Жертвой вымогателя стал[9] и мобильный оператор «Мегафон». Представитель компании Петр Лидов-Петровский в разговоре с «Лентой.ру» объяснил, что компьютеры в компании подверглись массовому заражению, поскольку связаны между собой внутренней сетью. В результате перестала работать техподдержка, ведь операторы не могли воспользоваться компьютерами и принять звонки, а в салонах «Мегафона» возникли проблемы с обслуживанием клиентов.
Плати, не скупись
Специалисты по кибербезопасности в один голос утверждают[10], что по своей сути WanaCrypt0r 2.0 — весьма стандартный троян-вымогатель. Попав на компьютер жертвы, он шифрует все данные на жестком диске и требует отправить злоумышленникам 300 долларов в биткоинах. На размышление отводится три дня, после чего сумма выкупа увеличивается вдвое, а через неделю файлы останутся зашифрованными навсегда.
Тем не менее сразу несколько экспертов отмечают[11] отлично проработанный и весьма «дружелюбный» интерфейс вредоноса с поддержкой десятков языков, в том числе английского, русского, испанского, китайского и даже румынского.
Еще одна любопытная особенность заключается в том, что вирус заражает только компьютеры на Windows. Эксперты полагают, что в группе максимального риска находятся пользователи, не установившие последние обновления операционной системы.
Многие юзеры отмечали[12], что за несколько дней до того, как вирус зашифровал все имеющиеся на компьютерах файлы, система либо бесконтрольно перезапускалась, либо требовала перезагрузить компьютер из-за некой критической ошибки, заботливо напоминая юзерам о необходимости сохранить все важные рабочие файлы.
Пострадавшие также сообщили, что антивирусы не способны обнаружить WanaCrypt0r 2.0, на полный цикл зашифровки у него уходит около четырех часов, но в окне процессов сторонних программ не наблюдается. Некоторые попытались отформатировать жесткий диск или переустановить Windows, но через некоторое время на экране вновь появлялось сообщение с требованием заплатить выкуп.
Специалисты напоминают, что обычно вирусы-вымогатели прячутся в текстовых файлах или PDF-документах и распространяются по почте. Так же считает глава компании по расследованию киберпреступлений Group IB Илья Сачков. По его словам[13], такие вредоносы чаще всего распространяются через электронные письма, но многие пострадавшие отмечали, что в последнее время не заходили в почту и не открывали сомнительные вложения.
Сачков также предположил, что хакеры вряд ли заразили компьютеры по политическим мотивам. «Это легкий способ монетизации, и он часто используется злоумышленниками в целях обогащения», — подытожил специалист.
Кто стоит за вымогателем
Пока специалисты не знают, что за хакерская группировка разработала WanaCrypt0r 2.0 и провела столь масштабную атаку. Злоумышленники явно воспользовались тем, что многие пользователи не установили последние обновления Windows. Это хорошо заметно на примере серьезно пострадавшего от вируса Китая — как известно, жители Поднебесной питают особую любовь к не получающим апдейты пиратским операционкам.
Зато кое-что известно о самом вирусе. Первые жалобы на WannaCry появлялись еще в феврале 2017 года, но не имели массового характера. В блоге Kaspersky Lab уточняется, что WanaCrypt0r 2.0 — это новая версия WannaCry, использующая уязвимость под кодовым названием EthernalBlue.
Она подробно описана в документах хакерской группировки Shadowbrokers, которая в середине апреля выложила[14] в открытый доступ инструменты сотрудников американского Агентства национальной безопасности. А это значит, что в руки создателей вируса могло попасть в том числе и подробное описание уязвимостей корпорации Microsoft, которые кропотливо собирали для себя американские спецслужбы.
Ряд специалистов утверждает[15], что хакеры используют и упомянутый в документах АНБ зловред DoublePulsar. Он использует EthernalBlue для проникновения в систему, до предела нагружая ядро Windows и позволяя загрузить на устройство новые вирусы.
Более того, некоторые эксперты отмечают, что EthernalBlue и DoublePulsar якобы были выявлены и разработаны сотрудниками АНБ, а с помощью последнего неизвестные в конце апреля заразили[16] 36 тысяч компьютеров по всему миру. Однако Microsoft еще в марте утверждала, что устранила все описанные в документах АНБ уязвимости в новой версии Windows.
Роль уязвимостей АНБ в работе WanaCrypt0r 2.0 пока еще не подтверждена окончательно. Тем не менее бывший сотрудник американских спецслужб Эдвард Сноуден в своем Twitter[17] уже упрекнул сотрудников спецслужбы в том, что из-за их маниакального желания следить за всем миром и оплошности с утечкой данных страдают вполне реальные люди. Например, сотни пациентов больниц.
Владимир ТодоровАнастасия Евтушенко
lenta.ru/articles/2017/05/12/encryptalltheworld/ 12.05.2017, 23:23
Ссылки
[4] – | Costin Raiu в Твиттере: «So far, we have recorded more than 45,000 attacks of the #WannaCry ransomware in 74 countries around the world. Number still growing fast.»
12 мая 2017 г., 10:01
twitter.com/craiu/status/863076786887852032
|
[8] – | Хакеры атакуют систему МРЭО по всей России - Происшествия - Новости Санкт-Петербурга - Фонтанка.Ру
12.05.2017, 17:02
fontanka.ru/2017/05/12/107/
|
[11] – | Costin Raiu в Твиттере: «The #Wannacry / #Wcry Romanian ransom message is pretty good, but not written by a native speaker. Same for Spanish. https://t.co/7JhHknrA8r»
9:12 12 мая 2017 г.
twitter.com/craiu/status/863064448067612673
|
|