Group-IB: WannaCry - демо-версия кибервойны

Вероятно, что вирус WannaCry запущен не с целью получения заработка. Это демо-версия последствий будущей масштабной кибервойны, пишет генеральный директор Group-IB Илья Сачков в блоге на сайте компании. Кибератака показала, насколько уязвим современный мир перед цифровым оружием из арсенала спецслужб и киберармий. Тем более, если оно оказалось не в тех руках.

Программы-вымогатели известны давно: еще в конце 80-х вирус AIDS ("PC Cyborg"), написанный Джозефом Поппом, скрывал каталоги и шифровал файлы, требуя выплатить около $200 за "продление лицензии". Сначала программы-вымогатели были нацелены только на обычных людей, использующих компьютеры под управлением Windows, но сеи∎час сама угроза стала серьезной проблемой для бизнеса: программ появляется все больше, они становятся дешевле и доступнее. Вымогательство с использованием вредоносных программ — основная киберугроза в 23 странах Евросоюза. Один из самых распространенных вирусов-вымогателей программа CryptoLocker — начиная с сентября 2013 года заразил более четверти миллиона компьютеров в странах ЕС.

В 2016 году количество атак шифровальщиков резко увеличилось – по оценкам аналитиков, более, чем в сто раз по сравнению с предыдущим годом. Это – нарастающий тренд, причем под ударом, как мы увидели, оказались совершенно различные компании и организации, пишет Илья Сачков. Угроза актуальна и для некоммерческих организаций. Так как для каждой крупной атаки вредоносные программы модернизируются и тестируются злоумышленниками на "прохождение" через антивирусную защиту, антивирусы, как правило, против них бессильны.

С чисто техническои∎ точки зрения, Wanna Cryptor – достаточно примитивная вредоносная программа. Заражение, как установили криминалисты Group-IB, происходит не через почтовую рассылку, а весьма необычным образом: WannaCry сам сканирует сеть на предмет уязвимых хостов со скоростью 50 000 000 IP в минуту и, используя сетевую уязвимость ОС Windows, устанавливается на компьютеры. Этим объясняет скорость распространения: вирус работает не по конкретным целям, а "прочесывает" сеть и ищет незащищенные устройства.

WannaCry шифрует файлы, но не все, а наиболее ценные — базы данных, почту, архивы, потом блокирует компьютеры и требует выкуп за восстановление доступа к данным — $300-600 в биткоинах. К тому же, если зараженный компьютер попал в какую-то другую сеть, вредоносная программа распространится и в ней тоже – отсюда и лавинообразный характер заражений.

Инцидент с Wanna Cryptor — это не первый случай, когда утечкой эксплойтов и утилит из арсенала спецслужб активно пользуются киберпреступники. С помощью еще одного из засвеченных Shadow Brokers инструментов АНБ — бэкдора DoublePulsar, предназначенного для внедрения и запуска вредоносных программ, злоумышленникам удалось заразить более 47 000 компьютеров OC Windows в США, Великобритании, на Тайване. Эти взломанные компьютеры могут использоваться для распространения вредоносных программ, рассылки спама, проведения кибератак и шпионажа т.д.

Киберпреступникам потребуется совсем немного времени, чтобы модифицировать Wanna Cryptor и снова запустить атаку. Таким образом, сеи∎час - лишь временная передышка. Кто-то (предположительно не разработчик оригинальнои∎ Wanna Cryptor) уже загрузил в VirusTotal новую версию вируса без функции kill-switch. Единственныи∎ надежныи∎ способ защититься – установить обновления безопасности и не запускать вредоносного ПО вручную.