Din 12 mai, organizatii din 74 de tari au fost atacate cibernetic – Romania este in primele 10

Actualizare – Se pare insa ca atacul are dimensiuni mult mai mari. Compania de Cyber-Security Avast a declarat că a identificat mai mult de 75.000 de atacuri de răscumpărare în 99 de țări, ceea ce face din „WannaCry” unul dintre cele mai largi și mai dăunătoare atacuri cibernetice din istorie.
Centrul european pentru criminalitatea informatică – EC3, din cadrul Europol, colaborează îndeaproape cu unitățile afectate de atacul informatic și cu partenerii cheie din industrie pentru a atenua amenințarea și a asista victimele. „Atacul recent este la un nivel fără precedent și va necesita o investigație internațională complexă pentru identificarea vinovaților.”, precizeaza Europol.

###

Începând de Vineri 12 Mai 2017, numeroase organizații din întreaga lume au fost afectate de o nouă variantă de ransomware, care poartă denumirea de ‘WannaCry’. Rapoartele preliminare atestă faptul că printre victime se află companii-gigant precum FedEx, operatorul de comunicații Telefonica din Spania, sau chiar sistemul de sănătate din Marea Britanie (National Health Service), potrivit Centrului National de Raspuns la Incidente de Securitate –  cert.ro.

Spre deosebire de alte campanii ransomware din trecut, cea de față dispune și de capabilități de răspândire în rețea (lateral movement) prin exploatarea unei vulnerabilități a protocolului SMBv1.

Cercetatorii Kaspersky Lab au analizat datele si sunt in masura sa confirme ca subsistemele de protectie ale companiei au detectat cel putin 45.000 de tentative de infectare in 74 de tari, majoritatea in Rusia.

Programul ransomware infecteaza victimele, profitand de o vulnerabilitate Microsoft Windows, descrisa si rezolvata in Microsoft Security Bulletin MS17-010. Exploit-ul folosit, „Eternal Blue”, a fost dezvaluit in cazul Shadowbrokers din 14 aprilie.

„Odata ajunsi in sistem, atacatorii instaleaza un rootkit, care le permite sa descarce programul pentru a cripta datele. Malware-ul cripteaza fisierele. Ulterior, este afisat un mesaj in care se solicita 600 de dolari in Bitcoin si wallet-ul, iar rascumpararea creste in timp.”, potrivit Kaspersky Lab.

Expertii Kaspersky Lab incearca in prezent sa stabileasca daca este posibila decriptarea datelor criptate in timpul atacului, pentru a dezvolta un instrument de decriptare cat mai curand posibil.

Source: Kaspersky Lab

Descriere:

Această amenințare se propagă prin intermediul unor mesaje email care conțin atașamente și link-uri malițioase, atacatorii utilizând tehnici de inginerie socială pentru a determina utilizatorii să acceseze resursele malițioase.

Odată infectată o stație de lucru dintr-o rețea, malware-ul încearcă să se răspândească în interiorul rețelei prin intermediul protocolului SMB, utilizând porturile UDP/37, UDP/138, TCP/139 și TCP/445. Procesul de răspândire se realizează prin exploatarea unei vulnerabilități a protocolului SMBv1 din cadrul Windows, cunoscută ca CVE-2017-0145:

http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-0145

Microsoft a publicat încă din luna Martie 2017 o actualizare de securitate pentru rezolvarea vulnerabilității exploatată de acest ransomware pentru răspândire, cunoscută ca MS17-010:

https://technet.microsoft.com/en-us/library/security/ms17-010.aspx

Impact:

Următoarele sisteme de operare sunt cunoscute ca fiind pasibile de a fi afectate de această amenințare în cazul în care nu au fost actualizate:

Microsoft Windows Vista SP2
Microsoft Windows Server 2008 SP2 și R2 SP1
Microsoft Windows 7
Microsoft Windows 8.1
Microsoft Windows RT 8.1
Microsoft Windows Server 2012 și R2
Microsoft Windows 10
Microsoft Windows Server 2016
Microsoft Windows XP
Microsoft Windows Server 2003

Măsuri de prevenire:

Organizațiile și utilizatorii sistemelor de operare Windows sunt sfătuiți să întreprindă următoarele măsuri:

Actualizarea la zi a sistemelor de operare și aplicațiilor, inclusiv cu patch-ul MS17-010:
https://technet.microsoft.com/en-us/library/security/ms17-010.aspx;

Microsoft a publicat actualizări de securitate inclusiv pentru sistemele de operare care nu mai beneficiază de suport, precum Windows XP:
https://blogs.technet.microsoft.com/msrc/2017/05/12/customer-guidance-for-wannacrypt-attacks/;

Blocarea porturilor SMB (139, 445) în cadrul rețelei;
Utilizarea unui antivirus actualizat cu ultimele semnături;
Manifestarea unei atenții sporite la deschiderea fișierelor și link-urilor provenite din surse necunoscute/incerte, mai ales cele din mesajele email;
Realizarea periodică a unor copii de siguranță (backup) pentru datele importante.

Măsuri de remediere:

În eventualitatea infectării cu ransomware, CERT-RO vă recomandă să întreprindeți de urgență următoarele măsuri:

Deconectarea imediată de la rețea a sistemelor informatice afectate;
Dezinfectați sistemele compromise;
Restaurați fișierele compromise utilizând copiile de siguranță (backup);
Raportați incidentul către CERT-RO la adresa de email alerts@cert.ro.
CERT-RO vă recomandă implementarea măsurilor cuprinse în „Ghidul privind combaterea amenințărilor informatice de tip ransomware”, disponibil la adresa:

https://cert.ro/vezi/document/ghid-protectie-ransomware