В мае 2017 года мир столкнулся с одной из самых масштабных киберугроз в истории - атакой программы-вымогателя WannaCry. Этот инцидент затронул более 200 тысяч компьютеров в 150 странах, парализовав работу больниц, транспортных узлов, промышленных предприятий и государственных учреждений. Совокупный ущерб от атаки, по различным оценкам, превысил несколько миллиардов долларов. Для бизнеса, госсектора и обычных пользователей WannaCry стала наглядной демонстрацией того, к чему приводит систематическое пренебрежение управлением исправлениями уязвимостей.
Описание
Сам по себе WannaCry (также известный как WannaCrypt) является классическим представителем класса программ-вымогателей. Его механизм работы типичен: после проникновения в систему вредоносное ПО шифрует файлы пользователя и требует выкуп в криптовалюте (биткоинах) за ключ дешифрования. Однако ключевой особенностью, которая превратила локальную угрозу в пандемию, стал способ распространения. В отличие от большинства аналогов, которые доставляются через фишинговые письма или загрузчики, WannaCry обладал функциональностью сетевого червя.
Такая способность к самостоятельному распространению была обеспечена использованием эксплойта EternalBlue. Эта уязвимость нулевого дня затрагивала протокол SMB (Server Message Block) в операционных системах Microsoft Windows. SMB используется для организации общего доступа к файлам и принтерам в локальной сети. Эксплойт EternalBlue позволял удалённо выполнять произвольный код на целевой машине без какого-либо взаимодействия с пользователем. Как показал [анализ вредоносного кода, заражённый компьютер начинал сканировать другие устройства в сети и интернете, после чего атаковал их тем же способом, многократно усиливая скорость распространения.
Особый трагизм ситуации заключается в том, что уязвимость EternalBlue изначально была разработана Агентством национальной безопасности США (NSA) для собственных нужд. В 2017 году группа хакеров Shadow Brokers опубликовала набор инструментов NSA, включая данный эксплойт. Microsoft выпустила исправление для этой проблемы в марте 2017 года - за два месяца до вспышки WannaCry. Тем не менее, огромное количество организаций по всему миру, особенно в здравоохранении и промышленности, использовали устаревшее программное обеспечение. Многие работали на неподдерживаемых версиях Windows, для которых патчи не выходили. Другие просто не успели или не захотели установить обновление в установленный срок. Именно эта задержка с установкой патча стала причиной катастрофы.
Последствия атаки были ощутимы мгновенно. Наиболее громкие инциденты произошли в Великобритании, где Национальная служба здравоохранения (NHS) потеряла доступ к критически важным данным и системам. Это привело к отмене тысяч плановых операций и приёмов, а некоторые отделения неотложной помощи были вынуждены отказывать пациентам. Финансовые потери для NHS, по разным данным, составили десятки миллионов фунтов стерлингов только из-за простоев и восстановления инфраструктуры. Аналогичные проблемы возникли у компании Renault, которая была вынуждена остановить производство на нескольких заводах, и у Deutsche Bahn, где вышли из строя терминалы продажи билетов. В общей сложности атака затронула системы в 150 странах.
Столь масштабная и скоординированная атака привлекла внимание международных правоохранительных органов. Было начато расследование для установления личностей злоумышленников. В ходе анализа образцов WannaCry эксперты обратили внимание на тексты записок с требованием выкупа. Лингвистическая экспертиза показала, что они, вероятнее всего, были написаны вручную, а не сгенерированы автоматически. Анализ грамматических конструкций указал на высокий уровень владения автора как китайским, так и английским языками. При этом наличие двух версий записки на китайском (упрощённой и традиционной) и определённые типографские ошибки позволили исследователям сделать вывод, что родным языком писавшего был китайский. Эти ошибки, по их мнению, были характерны для ввода текста с использованием китайских систем ввода, что делало маловероятным их появление при альтернативных методах набора.
Распространение WannaCry удалось остановить благодаря случайному обнаружению "аварийного выключателя". Один из исследователей заметил, что вредоносное ПО перед запуском пыталось обратиться к определённому незарегистрированному домену. Аналитик зарегистрировал этот домен, и это привело к немедленной остановке работы червя на всех заражённых машинах, подключённых к интернету. Тем не менее, внутри изолированных сетей вредоносная активность могла продолжаться и после этого.
Глобальный кризис WannaCry стал поворотным моментом в восприятии кибербезопасности на высшем уровне. Он наглядно продемонстрировал, что атаки, использующие известные и уже исправленные уязвимости, остаются самой эффективной угрозой из-за медленного внедрения патчей в корпоративной среде. Для организаций этот случай стал жёстким напоминанием о необходимости строгой политики управления исправлениями, сегментирования сетей и регулярного аудита устаревшего оборудования. Пренебрежение этими базовыми принципами делает любую компанию потенциальной жертвой повторения сценария 2017 года.
Индикаторы компрометации
SHA256
- 0647ab787a42dc90f6d3ed133e2fe365ad1e165763df5221d78805c5edfa5f8f
- 10f32a79c8be820391aace2af836bef45d64041c2d98bd6f4726ec19276a98a8
- 136d5841031570ed0192d6569f61d1b5d6828b871e56e02f466112457aecbee2
- 144cc3e02b7ef259abcb2d6eaf5f4f770630ad2c75dcfa48437df3b17f5094bf
- 14706a68a3642c892ef6def953a7f407d6f7ca63258ac46a8ac4eef63635bb51
- 1574e58fb3f049dd10d6923ca6b36bc440160cfdf57407328191ada99d3e1a89
- 1ab810f65b846b0d1aef311bda3d0e96dcc806dd7bdfc7eb414a68d53786a6ad
- 1b9d1966ec3bfc3d78ee8bd6715f11a2a3a7d22f1b5d3eb19ae3ebd8879bdc35
- 2c2883d25e71c2859b16ac28757e3754f33767931aa98d5a9e705c374818e8f5
- 368f45e2a86c0e2f36da68db00e55a1ccd1c4277fa41829500f27bee13a10be8
- 37c68330c2de182719a5bed679eacbd4305ce6613b2eb161fd50e362eaf6e4c1
- 3846e513d6a32765431ef270ccf8ad44f7627d278a2dd1e70855b21aaa6b632a
- 3b6603d9bd648152700076a8e00a0e23218fd642ce63b5b47891f9db9ec0172b
- 3bd4b18e87e5707986da3059f204bb4e6f9c917e4c576cab484dda391c3e3673
- 41a35436cb79c95001b2fdb7076e26c996bc9a913d64c7f54db9507882773120
- 4209e30194b98b71170a6220dedf8928d52581895aa638ac47ef94664a06e5cb
- 431e527d800caf5391917f79b07bb0650501ded29678edca8627007f629c1bad
- 44843140f8287b29e8dff038249ded0aa74d6e64b26f764a9780be5fad2488d2
- 48ed2a2fc7652fc12c6edfc2efbef6d65a9f85bf5874dbaf275301775265e136
- 48fca9f4433f79d8595fb75fe0940af8177b91b51068c132655472551b91af5a
- 4caa645feeb04cad5af75a3c5024076e99560678584c84ae07950c9c106d2af0
- 55c28ae706e71466105213f097ade42c5022792c67dcfc29e354a1ade36fd4fe
- 5692850ff8e528dbbee878372e79906868593f4d67f7cb854f64401b9e140134
- 64448ea4838e0ab0dcd9de260b0d09c7f9c4f6d6068e051c3f580cf4465fafed
- 6c4ff1e13fd9657078d5b55dbc5ed341ad1a0e674dfaf39d850b4823ca09b814
- 7c4d1e3bff4c3d62adb8352b78e586b01eeba9e6d4b96715df89da84bae79c92
- 7face3ccbf29cfc4294e3058cfb88713afd36d49cd12ad28e5b637e212d6b4a7
- 825aa515a905b7294efc080850e77d8962a1411c6f47468a2ce67a19770bc830
- 85df30c96a7e810c3711456eb2979e12fcd0a8bef49d9a5a01d1aadfb903b663
- 94faff7500a2f959889a3fff9bed01cb30fdb6ab5dbcbe984f592a3891333f36
- 9b90e3a119436b64ead0edfde7a8be2221fce6073f369c4065803320f9bfd655
- 9ee6705e84b232fa40fa8911064b68755615c4c8e26a1b9bb15b7e3fc91b646b
- 9ef1cd4cb8ea11e2353228c324a79d074ef1326815abbe2916ea32bdc69960ac
- 9fdfcf7a50597fe85398f2a3520919f8c309f087c433a509ac0f730d363cf5ee
- a34a0ab1fefe807b508c1eefbc6c092fbdb00ee47b2e9473b8d30c7b7333d5b6
- abf48b77091e81dfe1c0528bbfbf48cf3f551ac269b32e8e667449657cbe4697
- b15fabb4f73fff2dd8dbb1a58e46423e9d33d985af34880d17e410b9ecd6bc47
- b3cbe2897f850313c9051016f1ef6bcc37a61c9cf86ef9a3f1ba61581ad38014
- b9783c0434065058751b59f89948498ed8d08f93f6c5780cc0ce3a6d02bdf77e
- bcb9b1d06d7e39ea21a7cdcae0f96c5ae4191565f2b1f6f72959e078cf3d2373
- becb96feeca38c60ffe947656e5a7eaadca38be472531ef69efb1e5fe3c02205
- d284841b717f1ced21ea84cd6a6b6b620daaf7c6f12f8b1f16525ada570f7d82
- d435698c0c6075d687fff90803c54b24fb36c95be86ffedb9befc62f0277439f
- de36a4d181787f9245e14a0329dba12253600650d33a5e96c96e01784f94c399
- e4846ec6171f65e96c2909ad93359451551e3ac95aa89ab349d5ab773cbaa0d6
- f2cd38b6c081535971bc76d9aa3560ce3bf33e02986a430464a75e3261c4a8f1
- f34dc503d0bd569065b8ad2460bf2ccc8d56a901840cf98a93e3215abfeb3e49
- f5b43a3803a8149dda677d208ba7ef5e0aa33640bcd3dd58924355f4fc54be99
- fc7a60c88a82b47f9590bb64fb48ed57cf8f52908f5b55a8af83def45647856d
- ffb966fce55f67726e7f8084a1dc21b80650e5c05373529b35d93eafcfcc7e26
