Komentar podjetja Kaspersky Lab na napad, poimenovan »WannaCry«

13.05.2017
Objavil: Thomas Bergant

V petek, 12. maja 2017, je napad z izsiljevalskim virusom ogrozil organizacije po vsem svetu. Raziskovalci Kaspersky Laba so analizirali podatke in lahko potrdijo, da so varnostni podsistemi v podjetju zaznali najmanj 45.000 poskusov okužbe v 74 državah, večinoma pa v Rusiji.

Izsiljevalski virus izkorišča ranljivosti operacijskega sistema Microsoft Windows (Microsoft Security Bulletin MS17-010). Ranljivost »Eternal Blue« je bil razkrita že 14. aprila (t.i. the Shadowbrokers dump).

Kako poteka napad?
Po tem, ko napadalci prodrejo v sistem, namestijo korenski komplet, ki jim omogoči prenos programske opreme za šifriranje podatkov. Zlonamerna programska oprema nato zašifrira datoteke, na zaslonu pa se žrtvam prikaže zahteva za plačilo odkupnine v znesku 600 ameriških dolarjev v bitnih kovancih – višina odkupnine se skozi čas povečuje.
Trenutno strokovnjaki Kasperky Laba poskušajo ugotoviti, ali je možno dešifrirati podatke. Cilj je: čim prejšnji razvoj orodja za dešifriranje.

Varnostne rešitve Kaspersky Laba so zlonamerno programsko opremo v napadih prepoznale pod naslednjimi imeni:
• Trojan-Ransom.Win32.Scatter.uf
• Trojan-Ransom.Win32.Scatter.tr
• Trojan-Ransom.Win32.Fury.fr
• Trojan-Ransom.Win32.Gen.djd
• Trojan-Ransom.Win32.Wanna.b
• Trojan-Ransom.Win32.Wanna.c
• Trojan-Ransom.Win32.Wanna.d
• Trojan-Ransom.Win32.Wanna.f
• Trojan-Ransom.Win32.Zapchast.i
• Trojan.Win64.EquationDrug.gen
• Trojan.Win32.Generic (ob omogočeni opciji “the System Watcher”)

Za zmanjšanje tveganja za okužbo podjetje Kaspersky Lab svetuje:
• Namestite uradno Microsoftovo posodobitev, ki zakrpa ranljivost preko katere so izvedeni napadi.
• Poskrbite, da so varnostne rešitve nameščene in omogočena na vseh vozlih v omrežju.
• Če uporabljate varnostno rešitev podjetja Kaspersky Lab, poskrbite, da vsebuje in da je omogočeno delovanje tehnologije za proaktivno zaznavo vedenja (the System Watcher). Tehnologija na vseh varnostnih rešitvah Kaspersky Laba blokira napad »WannaCry«. Dodatno izvedite še pregled sistema (t.i. the Critical Area Scan task).
• Ponovno zaženite sistem, če zaznate MEM: Trojan.Win64.EquationDrug.gen.
• Povežite se s ponudnikom, ki omogoča storitve obveščanja o grožnjah (angl. Threat Intelligence). Ta bo v pomoč pri napovedovanju prihodnjih napadov.

Podroben opis napada »WannaCry« in več o pokazateljih ogroženosti (angl. Indicators of Compromise) najdete na spletnem mestu Securelist.com: https://securelist.com/blog/incidents/78351/wannacry-ransomware-used-in-widespread-attacks-all-over-the-world/

Zadnji izsiljevalski napadi »WannyCry« kažejo na dejstvo, da kibernetski napadalci pri svojem delu postajajo vse bolj ustvarjalni in strokovni. Napadi prav tako potrjujejo predvidevanja podjetja Kaspersky Lab, da kibernetski kriminalci preusmerjajo svojo pozornost iz napadov na zasebne uporabnike na usmerjene napade z izsiljevalskimi virusi na podjetja. Za kibernetske napade obstajajo številni motivi, vse od zasledovanja finančnih koristi, izražanja družbenih ali političnih nazorov, kibernetskega vohunjenja, in vse do kibernetskega terorizma.

Pomembno se je zavedati, da je zagotavljanje informacijske varnosti nenehen proces. Da bi se organizacije zaščitile pred tovrstnimi napadi, varnostni strokovnjaki podjetja Kaspersky Lab svetujejo naslednje: 
• Ustvarite pravilno in pravočasno varnostno kopijo vaših podatkov. To lahko uporabite v primeru, če izgubite podatke.
• Uporabljajte varnostne rešitve, ki temeljijo na tehnologijah za zaznavo vedenja (angl. behavior based detection technologies). Tovrstne tehnologije lahko zaznajo zlonamerne programe, vključno z izsiljevalskimi virusi, in sicer na način, da spremljajo delovanje zlonamernih programov in njihov vpliv na napaden sistem. Tako je mogoče odkriti nove in še neznane vzorce izsiljevalskih virusov.
• Obiščite spletno mesto »No More Ransom«. Ta skupna pobuda organov pregona in podjetij iz zasebnega sektorja žrtvam izsiljevalskih napadov pomaga pri obnovi kodiranih podatkov brez plačila odkupnine kibernetskim kriminalcem.
• Pregledujte nameščeno programsko opremo, ne le na končnih točkah, ampak tudi na vseh vozlih in strežnikih, ki so v omrežju. Redno jih posodabljajte.
• Poskrbite za redno varnostno ocenjevanje nadzornega omrežja (npr. varnostni pregled, penetracijsko testiranje, analiza vrzeli) ter tako opredelite in odstranite morebitne varnostne pomanjkljivosti. Preverite tudi zunanjega ponudnike storitev in varnostne politike tretjih oseb, če imajo neposreden dostop do nadzorne mreže.
• Ne pozabite na zaposlene; poskrbite za program krepitve zavedanja o informacijski varnosti..
• Poskrbite za zaščito znotraj in zunaj. Pravilna varnostna strategija mora omogočati sredstva za hitro odkrivanje in odzivanje na napade, še preden ti dosežejo kritično pomembne dele infrastrukture podjetja..