Ataki WannaCry i NotPetya

Atak WannaCry i NotPetya – seria cyberataków wykonanych za pomocą oprogramowania wymuszającego okup, zwanego ransomware, która dotknęła kilkanaście krajów, przeprowadzona w 2017 roku.

Exploit EternalBlue

Złośliwe oprogramowanie wykorzystujące exploit (program mający na celu wykorzystanie błędów w oprogramowaniu) o nazwie „EternalBlue” zostało opracowane przez amerykańską agencję bezpieczeństwa (NSA). Zostało ono wykorzystane przez grupę hakerów zwaną Shadow Brokers (TB). Udostępniła ona publicznie luki, które były ukierunkowane na zapory korporacyjne, oprogramowanie antywirusowe i produkty Microsoft.

EternalBlue wykorzystał lukę w protokole Microsoft Server Message Block 1.0 (SMBv1), i dzięki niej zyskał dostęp do zdalnego wykonania dostarczonego kodu na komputerze ofiary (użycie Double Pulsar, czyli tak zwanego backdoor). DublePulsar zapewnił cyberprzestępcom wysoką kontrolę nad systemem komputerowym. Backdoor używa trzech poleceń: ping, kill i exec.

Atak WannaCry

Atak miał miejsce w połowie maja 2017 roku. Celem ataku były hosty oparte na MS Windows. Atak żądał okupu w zamian za możliwość odszyfrowania plików. Przy pomocy exploita EternalBlue zostało zainfekowanych około 230 tysięcy hostów w 150 krajach. WannaCry udało się przeprowadzić na dużej ilości komputerów, ponieważ wiele osób nie instalowało poprawek w oprogramowaniach. Dla jednych to czynność uciążliwa, inni nie są wystarczająco świadomi takiej konieczności.

Luka w systemie została usunięta przez łatkę MS17-010.

Przebieg infekcji

Zainfekowane komputery dostawały komunikat z informacją o przeprowadzonym ataku.

Plikom po infekcji zostało nadane rozszerzenie .WNCRY. By przywrócić normalny dostęp do danych, należy wpłacić około 300 dolarów (w bitcoinach) za każdą zainfekowaną stację. Hakerzy zastosowali tutaj socjotechnikę polegającą na zastraszeniu: cena miała dwukrotnie wzrosnąć po trzech dobach, a po upływie tygodnia odzyskanie danych stawało się niemożliwe.

Hakerzy w komunikacie informują swoje ofiary w jaki sposób mają dokonać płatności – za pomocą programu Bitcoin oraz podają adres portfela, na który mają wykonać transfer środków pieniężnych. Sprawcy podali trzy różne adresy dla portfeli.

Ofiary ataku WannaCry

W ataku ucierpiało kilka większych firm oraz instytucje jak brytyjska służba zdrowia, rosyjskie banki i koleje państwowe oraz 1000 komputerów w ministerstwie spraw wewnętrznych, firma EMERCOM oraz MeganFon. indyjskie linie lotnicze oraz włoskie uniwersytety. Infekcja dosięgła także firmy: Nissan, Telefonica, FedEx, Deutsche Bahn.

Do 17 maja hakerzy otrzymali ponad 79 tysięcy USD.

Atak NotPetya

NotPetya pojawił się miesiąc po serii ataków WannaCry i uderzył w sektor związany z infrastrukturą krytyczną. Atak miał miejsce pod koniec czerwca 2017 roku. Krajem najbardziej dotkniętym jego działaniem była Ukraina, gdzie zostały zaatakowane najważniejsze elementy infrastruktury krytycznej (m.in. lotnisko w Boryspolu). Według analizy przeprowadzonej przez firmę Eset 80% wszystkich infekcji było skierowanych na Ukrainę.

NotPetya działał za pomocą oprogramowania stworzonego do celów księgowości na Ukrainie. Incydent wykorzystał M.E.Doc, który podczas startu pobierał automatycznie uaktualnianie serwera upd.me-doc.ua.

Podczas zakończenia szyfrowania Master File Table (MFT – umożliwia dostęp do plików na komputerze) wyświetlane jest żądanie okupu. Jak się później okazało, backdoor był obecny w systemie aktualizacji już od kwietnia. NotPetya została rozpowszechniona poprzez wykradzenie exploitów z NSA takich jak: Eternalblue i Eternalromacne, Doublepulsar (podobnie jak WannaCry).

Przebieg infekcji

Ataki NotPetya od WannaCry różni zmodyfikowana procedura szyfrowania. O ile WannaCry jest typowym ransomware, to NotPetya nie dawała gwarancji odzyskania danych, po opłaceniu żądanego okupu w Bitcoinach. Złośliwe oprogramowanie zostało stworzone tak, by nie mogło przywrócić utraconych zmian.

NotPetya sparaliżowała gospodarkę na Ukrainie. Zaatakowany został nawet komputer wicepremiera Ukrainy, Pawła Rozenko.

Wykradzione informacje były przesyłane w żądaniu jako ciasteczka.

Ofiary ataku NotPetya

W Polsce pierwsze ataki zostały odnotowane około godziny 13. Problem dotknął sektora logistycznego oraz spółki usługowo-handlowe.

Lista zaatakowanych przedsiębiorstw w Polsce: Firma Raben, InterCars, TNT (Katowice), Saint-Gobain (Kronospan), Modelez (Wrocław).

Zaatakowane firmy międzynarodowe:

• Maersk (duńska firma logistyczna)
• TRK „Liuks” (koncern mediowy)
• Kyivenerho (operator sieci energetycznych)
• Ukrenerho (krajowy operator sieci energetycznych)
• Naftohaz (największa spółka paliwowa)
• Ukrposzta (firma pocztowa)
• Ukrtelekom (operator sieci telefonicznych)
• Charnobyl (systemy monitorowania poziomu promieniowania)
• Kyivstar (operator sieci komórkowych)
• Vodafone (operator sieci komórkowych)
• Rosnieft (rosyjska firma naftowa)
• WPP (brytyjska agencja reklamowa)
• Beiersdorf (niemiecka firma higieny osobistej)
• Reckitt Benckiser (brytyjska firma dóbr konsumpcyjnych)
• Heritage Valley Health System (amerykański operator szpitala)

Maersk oszacował straty na około 200–300 mln USD.

Podczas ataku został odłączony system monitorowania promieniowania w ukraińskiej elektrowni w Czarnobylu.

W ocenie Białego Domu wartość szkód, jaką przyniosła infekcja szacowana jest na 10 miliardów dolarów.