Три години след появата си, Wannacry е все така жизнена заплаха

Точно преди три години и три дни, на 12.05.2017, една глобална кибератака накара множество специалисти по компютърна сигурност и обикновени потребители да преосмислят вижданията си за днешната мрежа.

Една-единствена уязвимост – в стара имплементация на SMB (version 1.0) протокола – позволи инфектирането на десетки хиляди системи и мрежи по света с рансъмуер с името WannaCry. Въпросната уязвимост, която беше експлоатирана от криптовируса се оказа една от множеството слабости, които американските шпиони от Агенцията за национална сигурност на САЩ (АНС) са експлоатирали към вражески системи. Няколко месеца преди инцидента, хакерска групировка с името ShadowBrokers се сдобива с арсенала от кибероръжия на АНС, сред които и два експлойта, които по-късно ще подпомогнат разпространението в глобален мащаб на WannaCry – ETERNALBLUE и ETERNALROMANCE.

Обратно към наши дни.

Компанията за антивирусна и интернет защита ESET споделя, че три години след появата си, WannaCry не само не е изчезнал, а се разпространява и успява да заразява системи почти толкова успешно, колкото, когато излезе. Компанията публикува наскоро редовния си доклад, разглеждащ състоянието на сцената на зловредния код за първото тримесечие на годината, от който става ясно, че WannaCry или както бива обозначен от антивирусните дефиниции на ESET – WannaCryptor – съставлява 40.5% от всички засичания на програмите на компанията. Както посочват от ESET, голяма вина за това имат остарели и необновени операционни системи и райони, в които те присъстват масово, като Турция, Тайланд и Индонезия.

ETERNALBLUE си остава доста успешна заплаха, като проверка в Интернет на ESET с помощта на Shodan показа, че към времето на публикуването на доклада съществуват близо милион машини, използващи SMBv1, открити за атака. Първите три държави с най-много подобни системи се намират в САЩ, Русия и Япония, а в топ 10 на своеобразната класация присъстват държави, в които се предполага киберсигурността да е на едно прилично ниво – Германия, Холандия и Великобритания.

От ESET припомнят също така, че WannaCry не е единствената заплаха, подпомогната от ETERNALBLUE. Значими престъпни кампании бяха осъществени чрез NotPetya, рансъмуерът BadRabbit и др.

Амер Овайда от ESET напомня, че Microsoft издадоха обновление за SMBv1 59 дни преди атаките да стартират. Уязвимостта беше надлежно популяризирана от медиите по света, а в най-новите версии на Windows тя отсъства. Независимо от това обаче, атаките към нея не само не спират, но и са успешни.

„Макар и да може да си помислите, че възможната, благодарение на EternalBlue криза с WannaCryptor даде ценен урок на жителите на Мрежата, за нещастие, нищо такова не се случи“, пише Овейда. „И да цитирам испанския философ Хорхе Сантаяна: „Тези, които не помнят миналото са осъдени да го повторят“. Тези думи намират потвърждение, особено от началото на годината, когато експертите по киберсигурност започнаха да алармират за BlueKeep, уязвимост, позволяваща изпълнението на код дистанционно към RDP, която всеки един администратор трябваше да е запушил възможно по-бързи. И все пак, първите атаки бяха регистрирани още няколко месеца по-късно“.

Повече за откритията в доклада на ESET може да откриете тук (pdf).