Šifrirni virus – kaj je, zakaj je nevaren. O posodabljanju sistema Windows z virusom izsiljevalske programske opreme WannaCry Posodabljanje oken z virusom izsiljevalske programske opreme
Napadi šifrirnih virusov, uhajanje hekerskih orodij ameriških obveščevalnih agencij, testiranje moči energetskih objektov, napadi na ICO in prva uspešna kraja denarja iz ruske banke s sistemom SWIFT – leto 2017 je bilo polno neprijetnih presenečenj. Niso bili vsi pripravljeni nanje. Ravno nasprotno. Kibernetski kriminal postaja vse hitrejši in večji. Provladni hekerji niso več le vohuni, temveč kradejo denar in izvajajo kibernetsko sabotažo.
Vsako protiukrepanje kibernetskim grožnjam je vedno tekmovanje med oklepom in projektilom. In dogodki v letošnjem letu so pokazali, da mnoga podjetja in celo države podlegajo kibernetskim kriminalcem. Ker ne vedo, kdo je sovražnik, kako ravna in kje čakati na naslednji udarec. Večino napadov je treba preprečiti že v fazi priprave s tehnologijami zgodnjega opozarjanja Threat Intelligence. Biti nekaj korakov pred kibernetskimi kriminalci pomeni prihraniti svoj denar, informacije in ugled.
Ransomware virusi
Najbolj razširjeni, tako po razširjenosti kot po škodi, so bili v letu 2017 kibernetski napadi z uporabo izsiljevalskih virusov. Za njimi stojijo provladni hekerji. Zapomnimo si jih po imenih.
Posledice napada WonnaCry: supermarket Rost, Harkov, Ukrajina.
Lazarus (znan tudi kot Dark Seoul Gang) je ime severnokorejske skupine hekerjev, za katero se verjame, da stoji za uradom 121, enim od oddelkov obveščevalnega direktorata generalštaba KPA (DPRK), ki je odgovoren za izvajanje kibernetskih operacije. Hekerji iz severnokorejske skupine Lazarus so dolga leta vohunili za ideološkimi sovražniki režima – vladnimi agencijami in zasebnimi korporacijami v ZDA oz. Južna Koreja. Zdaj Lazarus napada banke in finančne institucije po vsem svetu: odgovorni so za poskus kraje skoraj 1 milijarde dolarjev iz centralne banke Bangladeša februarja 2016, napade na banke na Poljskem, pa tudi za zaposlene v centralni banki Ruske federacije. Federacije, Centralne banke Venezuele, Centralne banke Brazilije, Centralne banke Čila in poskusa dviga 60 milijonov dolarjev od Far Eastern International Bank (glejte razdelek »Ciljni napadi na banke«). Konec leta 2017 so bili severnokorejski hekerji opaženi pri napadih na storitve kriptovalut in napadih z uporabo mobilnih trojancev.
Trend leta
24. oktobra se je v Ukrajini in Rusiji zgodil obsežen kibernetski napad z uporabo izsiljevalskega virusa BadRabbit. Virus je napadel računalnike in strežnike kijevskega metroja, ministrstva za infrastrukturo in mednarodnega letališča v Odesi. Več žrtev je končalo tudi v Rusiji - zaradi napada so bila poškodovana uredništva zveznih medijev, zabeleženi pa so bili tudi poskusi okužbe bančne infrastrukture. Kot je ugotovila Group-IB, za napadom stoji skupina Black Energy.
Ciljni napadi na banke
Kriminalne združbe, ki so spomladi in poleti 2017 napadle ruske banke, so svojo pozornost preusmerile na druge države in regije: ZDA, Evropo, Latinsko Ameriko, Azijo in Bližnji vzhod. Konec leta so ponovno začeli delati v Rusiji.
Leta 2017 so provladni hekerji spremenili svoje cilje – začeli so izvajati kibernetsko sabotažo proti finančnemu sektorju. Da bi vohunili ali ukradli denar, hekerji poskušajo pridobiti dostop do SWIFT, obdelave kartic. To pomlad je skupina BlackEnergy vdrla v integratorja v Ukrajini in pridobila dostop do omrežja ukrajinskih bank. Nekaj mesecev kasneje se je začela epidemija WannyCry in NotPetya, za katerima sta stali skupini Lazarus in BlackEnergy.
Vendar pa smo bili do začetka oktobra, ko je skupina Group-IB predložila svoje letno poročilo, polni previdnega optimizma: ciljani napadi na banke v Rusiji so se zmanjšali za 33 %. Vse kriminalne združbe, ki so napadle ruske banke, so svojo pozornost postopoma preusmerile na druge države in regije: ZDA, Evropo, Latinsko Ameriko, Azijo in Bližnji vzhod. Konec leta je pokvaril statistiko - v decembru smo zabeležili številne kibernetske napade na banke, zgodil se je prvi uspešen napad na rusko banko s SWIFT, ki ga je izvedla skupina Cobalt.
Napadi na SWIFT
Oktobra so oropali Far Eastern International Bank v Tajvanu. Ko so hekerji dosegli sistem mednarodnih medbančnih nakazil (SWIFT), na katerega je bila banka povezana, so lahko dvignili skoraj 60 milijonov dolarjev na račune v Šrilanki, Kambodži in ZDA. Za napadom naj bi stala skupina Lazarus. Novembra je bila največja nepalska nedržavna banka NIC Asia Bank tarča kibernetskih kriminalcev, ki so pridobili dostop do sistema SWIFT in dvignili 4,4 milijona dolarjev na račune v ZDA, Veliki Britaniji, na Japonskem in v Singapurju.
Sredi decembra je postalo znano o uspešnem napadu na rusko banko s pomočjo SWIFT (mednarodni sistem za prenos finančnih informacij). Spomnimo se, da so pred tem v Rusiji ciljni napadi potekali z uporabo sistemov za obdelavo kartic, bankomatov in avtomatiziranih delovnih mest KBR (avtomatizirana delovna postaja stranke ruske banke).
Skupina Cobalt je verjetno vpletena v napad. Prodor v banko se je zgodil prek zlonamerne programske opreme, ki jo je skupina pred nekaj tedni razdelila bankam – tovrstni napad je značilen za Cobalt. Mediji so poročali, da so kriminalci poskušali ukrasti približno milijon dolarjev, vendar jim je uspelo dvigniti približno 10%. FinCERT, strukturni oddelek centralne banke za informacijsko varnost, je v svojem poročilu skupino Cobalt označil za glavno grožnjo kreditnim institucijam.
Po podatkih Group-IB je skupina izvedla vsaj 50 uspešnih napadov na banke po vsem svetu: v Rusiji, Veliki Britaniji, na Nizozemskem, v Španiji, Romuniji, Belorusiji, na Poljskem, v Estoniji, Bolgariji, Gruziji, Moldaviji, Kirgizistanu, Armeniji. , Tajvan in Malezija . Vse poletje in jesen so napadali banke po vsem svetu, preizkušali nova orodja in sheme, ob koncu leta pa se niso upočasnili - skoraj vsak teden beležimo njihovo pošiljanje z zlonamernimi programi v notranjosti.
Netelesnost in zlonamerni skripti so nov (in zdaj osnovni) princip napadov. Hekerji skušajo ostati neodkriti in za to uporabljajo "raztelešene" programe, ki delujejo samo v RAM-u in se po ponovnem zagonu uničijo. Poleg tega jim skripte v lupini PowerShell, VBS, PHP pomagajo zagotoviti obstojnost (sidranje) v sistemu, pa tudi avtomatizirati nekatere faze napada. Opažamo tudi, da hekerji bank ne napadajo neposredno, temveč preko zaupanja vrednih partnerjev – integratorjev, izvajalcev. Zaposlene napadajo, ko so doma, pregledujejo osebno elektronsko pošto, družbena omrežja
Trend leta
Odkritje leta: MoneyTaker
10 zanimiva dejstva o MoneyTakerju
- Njihove žrtve so bile majhne banke - regionalne v Rusiji in lokalne banke z nizko stopnjo zaščite v ZDA. Hekerji so prodrli v eno od ruskih bank skozi domači računalnik sistemski administrator.
- Ena izmed ameriških bank je bila dvakrat vdrta.
- Po uspešnem napadu so še naprej vohunili za bančnimi uslužbenci s posredovanjem dohodnih pisem na naslove Yandex in Mail.ru.
- Ta skupina je vedno uničila sledi po napadu.
- Iz ene ruske banke so poskušali dvigniti denar prek bankomatov, vendar ti niso delovali, tik pred tem je centralna banka njihovemu lastniku odvzela licenco. Dvigoval denar prek avtomatiziranega delovnega mesta CBD.
- Ukraden pa ni bil samo denar, temveč tudi interni dokumenti, navodila, predpisi in dnevniki transakcij. Sodeč po ukradenih dokumentih, povezanih z delom SWIFT, hekerji pripravljajo napade na cilje v Latinski Ameriki.
- V nekaterih primerih so hekerji spreminjali programsko kodo sproti – kar med napadom.
- Hekerji so uporabili datoteko SLRSideChannelAttack.exe., ki so jo javno objavili raziskovalci.
- MoneyTaker je uporabil javno dostopna orodja in namenoma skril vse elemente pripisa ter raje ostal v senci. Programi imajo samo enega avtorja - to je razvidno iz tipičnih napak, ki se selijo iz enega samonapisanega programa v drugega.
Puščanje orodij za vdiranje obveščevalnih podatkov
Izkoriščanja informacij iz NSA in Cie so se začela aktivno uporabljati za izvajanje ciljno usmerjenih napadov. So že vključeni v glavna orodja za izvajanje penetracijskih testov proti finančno motiviranim in nekaterim provladnim hekerjem.
WikiLeaks in Vault7
WikiLeaks je vse leto metodično razkrival skrivnosti Cie in objavljal podatke o hekerskih orodjih obveščevalnih služb v okviru projekta Vault 7. Eden od njih - CherryBlossom (»Cherry Blossom«) omogoča sledenje lokaciji in internetni dejavnosti uporabnikov, povezanih z brezžično Wi-Fi usmerjevalnik. Takšne naprave se pogosto uporabljajo v domovih, pisarnah, restavracijah, barih, hotelih, na letališčih in v vladnih agencijah. WikiLeaks je celo razkril tehnologijo Cie za vohunjenje za kolegi iz FBI, DHS in NSA. Nadzor tehnične storitve(OTS) pri Cii je razvil vohunsko programsko opremo ExpressLane za skrivaj pridobivanje podatkov iz biometričnega obveščevalnega sistema, ki ga Cia distribuira svojim kolegom v ameriški obveščevalni skupnosti. Malo prej je WikiLeaks razkril informacije o zlonamerni programski opremi Pandemic, namenjeni vdoru v računalnike s skupnimi mapami, in o programu ELSA, ki prav tako spremlja geolokacijo naprav, ki podpirajo Wi-Fi, in omogoča sledenje navadam uporabnikov. Wikileaks je februarja 2017 začel s serijo publikacij Vault-7. Uhajanje je vsebovalo informacije, ki opisujejo ranljivosti v programsko opremo, vzorci zlonamerna programska oprema in tehnike računalniških napadov.
Hekerska orodja iz še enega, enako priljubljenega vira – uhajanja informacij NSA, ki jih je objavila skupina Shadow Brokers, niso bila le zelo povpraševana, ampak so se tudi izboljševala in izpopolnjevala. Na podzemnih forumih se je pojavil skript za avtomatizacijo iskanja strojev z ranljivostmi protokola SMB, ki temelji na pripomočkih ameriških obveščevalnih agencij, ki jih je aprila letos objavila skupina Shadow Brokers. Zaradi uhajanja sta pripomoček fuzzbunch in ETERNALBLUE exploit končala v odprt dostop, a po spremembi popolnoma dokončan izdelek napadalcem olajša napad.
Naj spomnimo, da je bil protokol SMB tisti, s katerim je izsiljevalska programska oprema WannaCry okužila na stotisoče računalnikov v 150 državah. Ustvarjalec iskalnika Shodan John Matherly je pred mesecem dni povedal, da je 2.306.820 naprav z odprta vrata za dostop preko SMB protokola. 42% (približno 970 tisoč) jih omogoča gostujoči dostop, to pomeni, da lahko vsi, ki uporabljajo protokol SMB, nepooblaščeno dostopajo do podatkov.
Poleti je skupina Shadow Brokers obljubila, da bo vsak mesec objavila nove podvige za svoje naročnike, vključno z usmerjevalniki, brskalniki, mobilnimi napravami, ogroženimi podatki iz bančnih omrežij in SWIFT, informacijami o jedrskih in raketnih programih. Navdihnjen s pozornostjo je Shadow Brokers zvišal začetno ceno naročnine s 100 kovancev Zcash (približno 30.000 USD) na 200 kovancev Zcash (približno 60.000 USD). Status VIP naročnika stane 400 kovancev Zcash in vam omogoča, da prejmete izkoriščanja po meri.
Napadi na kritično infrastrukturo
Energetski sektor je postal poligon za raziskave novega kibernetskega orožja. Kriminalna združba BlackEnergy nadaljuje z napadi na finančna in energetska podjetja. Orodja, ki jih imajo na razpolago, jim omogočajo daljinsko upravljanje daljinske terminalske enote (RTU), ki je odgovorna za fizično odpiranje/zapiranje električnega omrežja.
Prvi virus, ki je dejansko lahko onesposobil opremo, je bil Stuxnet, ki ga je uporabljala skupina Equation Group (Five Eyes/Tilded Team). Leta 2010 je virus prodrl v sistem iranske tovarne za bogatenje urana v Nathanu in okužil krmilnike Siemens SIMATIC S7, ki so vrteli centrifuge z uranom s frekvenco 1000 obratov na sekundo. Stuxnet je rotorje centrifuge pospešil na 1400 vrt/min, tako da so začeli vibrirati in se sesedati. Od 5000 centrifug, nameščenih v hali, jih je bilo okoli 1000 onesposobljenih. Iranski jedrski program se je zavrnil za nekaj let.
Po tem napadu je nekaj let vladal mir. Izkazalo se je, da so hekerji ves ta čas iskali priložnost, da bi vplivali na ICS in jih po potrebi onemogočili. Skupina, ki je napredovala v tej smeri, je Black Energy, znana tudi kot Sandworm.
Njihov poskusni napad na ukrajinsko postajo konec lanskega leta je pokazal, kaj zmore nov nabor orodij, imenovan Industroyer ali CRASHOVERRIDE. Na konferenci Black Hat so programsko opremo Industroyer označili za "največjo grožnjo". industrijski sistemi nadzor od Stuxneta." Orodja BlackEnergy vam na primer omogočajo daljinsko upravljanje oddaljenih terminalskih enot (RTU), ki so odgovorne za fizično odpiranje/zapiranje električnega omrežja. Oboroženi s takšnimi orodji jih lahko hekerji spremenijo v mogočno kibernetsko orožje, ki jim bo omogočilo, da bodo cela mesta pustila brez svetlobe in vode.
Težave se lahko pojavijo ne samo v Ukrajini: nove napade na energetske sisteme so julija zabeležili v Veliki Britaniji in na Irskem. Motenj v električnem omrežju ni bilo, vendar strokovnjaki menijo, da bi lahko hekerji ukradli gesla za varnostne sisteme. V ZDA je FBI po pošiljanju zlonamernih e-poštnih sporočil zaposlenim v energetskih podjetjih podjetja opozoril na možne kibernetske napade.
Napadi na ICO
Banke in njihove stranke so bile dolgo časa glavna tarča kibernetskih kriminalcev. Zdaj pa imajo močne tekmece v obliki ICO-jev in blockchain startupov – vse, kar je povezano s kriptovalutami, pritegne pozornost hekerjev.
ICO (Initial Coin Offering – postopek za prvo postavitev žetonov) so sanje vsakega hekerja. Bliskovito hiter, pogosto povsem preprost napad na storitve kriptovalut in startupe blockchain prinese milijone dolarjev dobička z minimalnim tveganjem za kriminalce. Po podatkih Chainalysis je hekerjem uspelo ukrasti 10 % vseh sredstev, vloženih v ICO projekte v letu 2017 na Ethereumu. Skupna škoda je znašala skoraj 225 milijonov dolarjev, pri čemer je 30.000 vlagateljev v povprečju izgubilo 7500 dolarjev.
Analizirali smo približno sto napadov na blockchain projekte (borze, menjalnice, denarnice, sklade) in prišli do zaključka, da je glavnina težav v ranljivosti samih kriptostoritev, ki uporabljajo blockchain tehnologijo. V primeru Ethereuma niso opazili težav s samo platformo, ampak s kripto-storitvami: naleteli so na ranljivosti v lastnih pametnih pogodbah, deface, ogrožanje skrbniških računov (Slack, Telegram), lažna spletna mesta, ki kopirajo vsebino spletnih mest. podjetij, ki vstopajo v ICO.
Obstaja več ranljivosti:
- Spletna mesta za lažno predstavljanje - kloni uradnega vira
- Ranljivosti mesta/spletne aplikacije
- Napadi preko zaposlenih v podjetju
- Napadi na IT infrastrukturo
Ukradite denar s trojanci Android
Trg bančnih trojancev Android se je izkazal za najbolj dinamičnega in hitro rastočega. Škoda zaradi bančnih trojancev za Android v Rusiji se je povečala za 136 % - znašala je 13,7 milijona dolarjev - in je pokrila škodo zaradi trojancev za osebni računalniki za 30 %.
Lani smo napovedali to rast, saj postajajo okužbe z zlonamerno programsko opremo vse bolj nezaznavne, kraje pa avtomatizirane z uporabo metode samodejnega izpolnjevanja. Po naših ocenah je škoda zaradi tovrstnega napada v Rusiji v zadnjem letu znašala 13,7 milijona dolarjev.
Pridržanje članov hudodelske združbe Cron
Po prvih poročanjih je bil šifrirni virus, ki so ga napadalci aktivirali v torek, uvrščen med že znane družine izsiljevalskih programov Petya, kasneje pa se je izkazalo, da govorimo o o novi družini zlonamerne programske opreme z bistveno drugačno funkcionalnostjo. Kaspersky Lab je novi virus poimenoval ExPetr.
»Analiza, ki so jo izvedli naši strokovnjaki, je pokazala, da žrtve sprva niso imele možnosti, da bi dobile svoje datoteke nazaj. "Raziskovalci Kaspersky Laba so analizirali del kode zlonamerne programske opreme, ki je povezan s šifriranjem datotek, in ugotovili, da ko je disk šifriran, ga ustvarjalci virusa nimajo več možnosti dešifrirati nazaj," poroča laboratorij.
Kot ugotavlja podjetje, dešifriranje zahteva edinstven identifikator za določeno namestitev trojanca. V prej znanih različicah podobnih šifrirnikov Petya/Mischa/GoldenEye je identifikator namestitve vseboval podatke, potrebne za dešifriranje. V primeru ExPetr ta identifikator ne obstaja. To pomeni, da ustvarjalci zlonamerne programske opreme ne morejo pridobiti informacij, ki jih potrebujejo za dešifriranje datotek. Z drugimi besedami, žrtve izsiljevalske programske opreme ne morejo pridobiti svojih podatkov nazaj, pojasnjuje Kaspersky Lab.
Virus blokira računalnike in zahteva 300 dolarjev v bitcoinih, so za RIA Novosti povedali v Group-IB. Napad se je začel v torek okoli 11. ure. Po poročanju medijev je od srede do 18. ure Bitcoin denarnica, ki je bila določena za nakazilo sredstev izsiljevalcem, prejela devet nakazil. Z upoštevanjem provizije za nakazila so oškodovanci hekerjem nakazali približno 2,7 tisoč dolarjev.
V primerjavi z WannaCry velja ta virus za bolj uničujočega, saj se širi na več načinov – od z uporabo sistema Windows Izkoriščanje instrumentov upravljanja, PsExec in EternalBlue. Poleg tega izsiljevalska programska oprema vključuje brezplačen pripomoček Mimikatz.
Število uporabnikov, napadenih z novim izsiljevalskim virusom " nova Petya"je dosegel 2 tisoč, je v sredo poročal Kaspersky Lab, ki preiskuje val računalniških okužb.
Po navedbah protivirusnega podjetja ESET se je napad začel v Ukrajini, ki je trpela več kot druge države. Po oceni podjetja držav, ki jih je virus prizadel, je Italija na drugem mestu za Ukrajino, Izrael pa na tretjem mestu. Med prvo deseterico so bile še Srbija, Madžarska, Romunija, Poljska, Argentina, Češka in Nemčija. Rusija v ta seznam zasedel 14. mesto.
Poleg tega je Avast povedal, katere operacijske sisteme je virus najbolj prizadel.
Na prvem mestu je bil Windows 7 - 78 % vseh okuženih računalnikov. Sledijo Windows XP (18 %), Windows 10 (6 %) in Windows 8.1 (2 %).
Tako WannaCry ni naučil svetovne skupnosti tako rekoč ničesar – računalniki so ostali nezaščiteni, sistemi niso bili posodobljeni, Microsoftova prizadevanja, da bi izdal popravke tudi za zastarele sisteme, pa so šla v nič.
Svet je zajel val novega šifrirnega virusa WannaCry (druga imena Wana Decrypt0r, Wana Decryptor, WanaCrypt0r), ki šifrira dokumente v računalniku in za dekodiranje izsiljuje 300-600 USD. Kako veste, ali je vaš računalnik okužen? Kaj morate storiti, da ne boste postali žrtev? In kaj storiti za okrevanje?
Po namestitvi posodobitev boste morali znova zagnati računalnik.
Kako obnoviti virus izsiljevalske programske opreme Wana Decrypt0r?
Ko protivirusni pripomoček zazna virus, ga takoj odstrani ali pa vas vpraša, ali naj ga zdravi ali ne? Odgovor je zdravljenje.
Kako obnoviti datoteke, šifrirane z Wana Decryptor?
Nič tolažilnega ta trenutek Ne moremo povedati. Ustvarjeno še ni bilo nobeno orodje za dešifriranje datotek. Za zdaj je vse, kar ostane, počakati, da bo dešifrator razvit.
Po mnenju Briana Krebsa, strokovnjaka za računalniška varnost, trenutno so kriminalci prejeli le 26.000 USD, kar pomeni, da je le približno 58 ljudi pristalo plačati odkupnino izsiljevalcem. Nihče ne ve, ali so jim obnovili dokumente.
Kako ustaviti širjenje virusa na spletu?
V primeru WannaCry je rešitev težave morda blokiranje vrat 445 na požarnem zidu, prek katerih pride do okužbe.
12. aprila 2017 so se pojavile informacije o hitrem širjenju šifrirnega virusa WannaCry po vsem svetu, kar lahko prevedemo kot "Želim jokati." Uporabniki imajo vprašanja o posodobitvi sistema Windows proti virusu WannaCry.
Virus na računalniškem zaslonu izgleda takole:
Slab virus WannaCry, ki šifrira vse
Virus šifrira vse datoteke v računalniku in zahteva odkupnino za Bitcoin denarnico v višini 300 ali 600 dolarjev za domnevno dešifriranje računalnika. Okuženi so bili računalniki v 150 državah sveta, najbolj prizadeta je bila Rusija.
Megafon, Ruske železnice, ministrstvo za notranje zadeve, ministrstvo za zdravje in druga podjetja se tesno soočajo s tem virusom. Med žrtvami so navadni uporabniki interneta.
Pred virusom so skoraj vsi enaki. Razlika je morda v tem, da se v podjetjih virus širi povsod lokalno omrežje znotraj organizacije in takoj okuži čim več računalnikov.
Virus WannaCry šifrira datoteke v računalnikih z operacijskim sistemom Windows. Microsoft je izdal posodobitve MS17-010 za različne Windows različice XP, Vista, 7, 8, 10.
Izkazalo se je, da tisti, ki so odločni samodejno posodabljanje Windows niso ogroženi zaradi virusa, ker so posodobitev prejeli pravočasno in so se ji lahko izognili. Ne upam si trditi, da je temu dejansko tako.
riž. 3. Sporočilo ob namestitvi posodobitve KB4012212
Posodobitev KB4012212 je zahtevala ponovni zagon prenosnika po namestitvi, kar mi ni bilo všeč, ker ni znano, kako bi se to lahko končalo, ampak kam naj gre uporabnik? Vendar je bil ponovni zagon v redu. To pomeni, da živimo mirno do naslednjega napada virusa in, žal, ni dvoma, da bo do takih napadov prišlo.
Vsekakor pa je pomembno imeti od kod obnoviti operacijski sistem in vaše datoteke.
Posodobitev sistema Windows 8 iz WannaCry
Za prenosnik z licenčnim Windows 8 je bila nameščena posodobitev KB 4012598, ker
