5618
4
Кто стоит за заразившим весь мир и проникнувшим в сети МВД вирусом-вымогателем
В пятницу, 12 мая, вирус-вымогатель WanaCrypt0r 2.0 заразил десятки тысяч компьютеров по всему миру. Сначала он парализовал работу британских больниц и испанских компаний, а затем добрался до России, атаковав региональные управления МВД и Следственного комитета. Пока эксперты пытаются оценить истинный масштаб бедствия, посмотрим, кто может стоять за разработкой зловредной программы.
Весь мир у его ног
У отслеживающих новые вирусы и уязвимости специалистов из MalwareHunterTeam наверняка выдалось горяченькое утро. Еще в четыре часа ночи они оставили паническое сообщение о том, что «по сети с дьявольской скоростью распространяется новый вредонос WanaCrypt0r 2.0».
И были правы как никогда — всего за пару часов вымогатель атаковал десятки стран. Начав с Испании и Португалии, где он парализовал работу крупного оператора связи Telefonica и прошелся по газовой компании Gas Natural, оператору электросетей Iberdrola и банку Iberica, малварь переметнулся на внутренние сети британских больниц, потом был зафиксирован в Сингапуре, на Тайване и в Китае, а после распространился по всему миру, добравшись даже до Австралии и Латинской Америки.
Один из специалистов отметил, что заражению подверглись десятки тысяч компьютеров в 74 странах мира и это число продолжает возрастать. Другой подчеркнул, что мир, возможно, стал свидетелем крупнейшей вирусной атаки в истории.
И были правы как никогда — всего за пару часов вымогатель атаковал десятки стран. Начав с Испании и Португалии, где он парализовал работу крупного оператора связи Telefonica и прошелся по газовой компании Gas Natural, оператору электросетей Iberdrola и банку Iberica, малварь переметнулся на внутренние сети британских больниц, потом был зафиксирован в Сингапуре, на Тайване и в Китае, а после распространился по всему миру, добравшись даже до Австралии и Латинской Америки.
Один из специалистов отметил, что заражению подверглись десятки тысяч компьютеров в 74 странах мира и это число продолжает возрастать. Другой подчеркнул, что мир, возможно, стал свидетелем крупнейшей вирусной атаки в истории.
В России первое сообщение о WanaCrypt0r появилось на портале «Пикабу» — его автор утверждал, что шифровальщик поразил сеть МВД. В министерстве сначала заявили, что у них ведутся некие «технические работы на внутреннем контуре», но потом признали факт атаки, хотя и опровергли заражение серверов вирусом.
Случаи заражения в региональных управлениях МВД и Следственного комитета признал и источник в силовых структурах. Правда, он не уточнил, были ли при этом затронуты внутренние сети ведомств. Он также не смог подтвердить слухи о том, что некие хакеры более часа скачивали информацию из федеральной информационной системы регистрации (ФИСМ), куда вносятся все данные автовладельцев и машин, и связаны ли эти злоумышленники с распространением WanaCrypt0r.
Жертвой вымогателя стал и мобильный оператор «Мегафон». Представитель компании Петр Лидов-Петровский объяснил, что компьютеры в компании подверглись массовому заражению, поскольку связаны между собой внутренней сетью. В результате перестала работать техподдержка, ведь операторы не могли воспользоваться компьютерами и принять звонки, а в салонах «Мегафона» возникли проблемы с обслуживанием клиентов.
Случаи заражения в региональных управлениях МВД и Следственного комитета признал и источник в силовых структурах. Правда, он не уточнил, были ли при этом затронуты внутренние сети ведомств. Он также не смог подтвердить слухи о том, что некие хакеры более часа скачивали информацию из федеральной информационной системы регистрации (ФИСМ), куда вносятся все данные автовладельцев и машин, и связаны ли эти злоумышленники с распространением WanaCrypt0r.
Жертвой вымогателя стал и мобильный оператор «Мегафон». Представитель компании Петр Лидов-Петровский объяснил, что компьютеры в компании подверглись массовому заражению, поскольку связаны между собой внутренней сетью. В результате перестала работать техподдержка, ведь операторы не могли воспользоваться компьютерами и принять звонки, а в салонах «Мегафона» возникли проблемы с обслуживанием клиентов.
Плати, не скупись
Специалисты по кибербезопасности в один голос утверждают, что по своей сути WanaCrypt0r 2.0 — весьма стандартный троян-вымогатель. Попав на компьютер жертвы, он шифрует все данные на жестком диске и требует отправить злоумышленникам 300 долларов в биткоинах. На размышление отводится три дня, после чего сумма выкупа увеличивается вдвое, а через неделю файлы останутся зашифрованными навсегда.
Тем не менее сразу несколько экспертов отмечают отлично проработанный и весьма «дружелюбный» интерфейс вредоноса с поддержкой десятков языков, в том числе английского, русского, испанского, китайского и даже румынского.
Еще одна любопытная особенность заключается в том, что вирус заражает только компьютеры на Windows. Эксперты полагают, что в группе максимального риска находятся пользователи, не установившие последние обновления операционной системы.
Многие юзеры отмечали, что за несколько дней до того, как вирус зашифровал все имеющиеся на компьютерах файлы, система либо бесконтрольно перезапускалась, либо требовала перезагрузить компьютер из-за некой критической ошибки, заботливо напоминая юзерам о необходимости сохранить все важные рабочие файлы.
Тем не менее сразу несколько экспертов отмечают отлично проработанный и весьма «дружелюбный» интерфейс вредоноса с поддержкой десятков языков, в том числе английского, русского, испанского, китайского и даже румынского.
Еще одна любопытная особенность заключается в том, что вирус заражает только компьютеры на Windows. Эксперты полагают, что в группе максимального риска находятся пользователи, не установившие последние обновления операционной системы.
Многие юзеры отмечали, что за несколько дней до того, как вирус зашифровал все имеющиеся на компьютерах файлы, система либо бесконтрольно перезапускалась, либо требовала перезагрузить компьютер из-за некой критической ошибки, заботливо напоминая юзерам о необходимости сохранить все важные рабочие файлы.
Кто стоит за вымогателем
Пока специалисты не знают, что за хакерская группировка разработала WanaCrypt0r 2.0 и провела столь масштабную атаку. Злоумышленники явно воспользовались тем, что многие пользователи не установили последние обновления Windows. Это хорошо заметно на примере серьезно пострадавшего от вируса Китая — как известно, жители Поднебесной питают особую любовь к не получающим апдейты пиратским операционкам.
Зато кое-что известно о самом вирусе. Первые жалобы на WannaCry появлялись еще в феврале 2017 года, но не имели массового характера. В блоге Kaspersky Lab уточняется, что WanaCrypt0r 2.0 — это новая версия WannaCry, использующая уязвимость под кодовым названием EthernalBlue.
Она подробно описана в документах хакерской группировки Shadowbrokers, которая в середине апреля выложила в открытый доступ инструменты сотрудников американского Агентства национальной безопасности. А это значит, что в руки создателей вируса могло попасть в том числе и подробное описание уязвимостей корпорации Microsoft, которые кропотливо собирали для себя американские спецслужбы.
Ряд специалистов утверждает, что хакеры используют и упомянутый в документах АНБ зловред DoublePulsar. Он использует EthernalBlue для проникновения в систему, до предела нагружая ядро Windows и позволяя загрузить на устройство новые вирусы.
Зато кое-что известно о самом вирусе. Первые жалобы на WannaCry появлялись еще в феврале 2017 года, но не имели массового характера. В блоге Kaspersky Lab уточняется, что WanaCrypt0r 2.0 — это новая версия WannaCry, использующая уязвимость под кодовым названием EthernalBlue.
Она подробно описана в документах хакерской группировки Shadowbrokers, которая в середине апреля выложила в открытый доступ инструменты сотрудников американского Агентства национальной безопасности. А это значит, что в руки создателей вируса могло попасть в том числе и подробное описание уязвимостей корпорации Microsoft, которые кропотливо собирали для себя американские спецслужбы.
Ряд специалистов утверждает, что хакеры используют и упомянутый в документах АНБ зловред DoublePulsar. Он использует EthernalBlue для проникновения в систему, до предела нагружая ядро Windows и позволяя загрузить на устройство новые вирусы.
Более того, некоторые эксперты отмечают, что EthernalBlue и DoublePulsar якобы были выявлены и разработаны сотрудниками АНБ, а с помощью последнего неизвестные в конце апреля заразили 36 тысяч компьютеров по всему миру. Однако Microsoft еще в марте утверждала, что устранила все описанные в документах АНБ уязвимости в новой версии Windows.
Роль уязвимостей АНБ в работе WanaCrypt0r 2.0 пока еще не подтверждена окончательно. Тем не менее бывший сотрудник американских спецслужб Эдвард Сноуден в своем Twitter уже упрекнул сотрудников спецслужбы в том, что из-за их маниакального желания следить за всем миром и оплошности с утечкой данных страдают вполне реальные люди. Например, сотни пациентов больниц.
Владимир Тодоров
Анастасия Евтушенко
Роль уязвимостей АНБ в работе WanaCrypt0r 2.0 пока еще не подтверждена окончательно. Тем не менее бывший сотрудник американских спецслужб Эдвард Сноуден в своем Twitter уже упрекнул сотрудников спецслужбы в том, что из-за их маниакального желания следить за всем миром и оплошности с утечкой данных страдают вполне реальные люди. Например, сотни пациентов больниц.
Владимир Тодоров
Анастасия Евтушенко
Источник:
Ссылки по теме:
- 9 проектов добровольных вычислений, поучаствовав в которых вы можете помочь миру
- 20 фильмов, которые нужно посмотреть всем, кто любит компьютеры и технологии
- HP собираются произвести новую компьютерную революцию
- 20 вдохновляющих рабочих мест, за которыми действительно приятно работать
- Исторические компьютеры в цветном изображении
ИМХО тем пид..сам, которые это придумали, руки надо поотрубать.
Да и если поймаю, сильно не расстроюсь, всю информацию держу на съемных носителях. Так, что абсолютно п.о.х.!!!
Да и устройства, хранения информации, подключаю только при необходимости.
максимум, что я потеряю, это, система и последний не сохраненный документ. т.к. большая вероятность что во время работы пойму, что, что то пошло не так ;)
Да и по большому счету я за все годы еще ни разу не ловил вирусы, по этому и не парюсь.
Вот только не пойму, что помешает вирусу попасть, вместе с зараженным файлом, в резервную копию?
В случае с конкретно этим вирусом - что помешает вирусу зашифровать данные на внешнем носителе в процессе резервного копирования?
Зы: с вирусами шифровальщиками были инциденты.
А этот тупо недовирус с 140к машинами, разрекламировали во всех СМИ.
Винду свою убогую обновите заплаткой от марта месяца и не будет проблем (Vista/ХР конечно не в счет, это труп).
Этот вирус позволил нам увидеть, сколько машин с пиратской виндой стоят в важных учреждениях. И тем более сервера на видне ...
Кончилось ничем.
Может быть выделена средствами BIOS некоторых материнских плат или специального программного обеспечения.
В этой области может храниться информация о параметрах работы ПК, которая записывается туда при проверке системы средствами производителя ПК. Например так поступает фирма DELL на некоторых ноутбуках. Также в скрытой области может содержаться информация для восстановления программного обеспечения ПК к первоначальному состоянию. В некоторых случаях область используется для сокрытия информации с целью сделать её максимально недоступной.
Форматирование никак не затрагивает данные, находящиеся в HPA, до них вообще непросто добраться. К счастью, вирусописатели таким редко заморачивается.
Как тогда вирус оказался на серверах?!
На местах работают по клиент-серверной технологии через ВЭБ-интерфейс и буть хоть тысячи вирусов на компьюте у участкового - они никак не попадут на сервер!