134k
9 лет назад · 4 фото · 5646 просмотров · 84 комментария
«Это самая массовая атака в истории» (4 фото)
Кто стоит за заразившим весь мир и проникнувшим в сети МВД вирусом-вымогателем
В пятницу, 12 мая, вирус-вымогатель WanaCrypt0r 2.0 заразил десятки тысяч компьютеров по всему миру. Сначала он парализовал работу британских больниц и испанских компаний, а затем добрался до России, атаковав региональные управления МВД и Следственного комитета. Пока эксперты пытаются оценить истинный масштаб бедствия, посмотрим, кто может стоять за разработкой зловредной программы.
Весь мир у его ног
У отслеживающих новые вирусы и уязвимости специалистов из MalwareHunterTeam наверняка выдалось горяченькое утро. Еще в четыре часа ночи они оставили паническое сообщение о том, что «по сети с дьявольской скоростью распространяется новый вредонос WanaCrypt0r 2.0».
И были правы как никогда — всего за пару часов вымогатель атаковал десятки стран. Начав с Испании и Португалии, где он парализовал работу крупного оператора связи Telefonica и прошелся по газовой компании Gas Natural, оператору электросетей Iberdrola и банку Iberica, малварь переметнулся на внутренние сети британских больниц, потом был зафиксирован в Сингапуре, на Тайване и в Китае, а после распространился по всему миру, добравшись даже до Австралии и Латинской Америки.
Один из специалистов отметил, что заражению подверглись десятки тысяч компьютеров в 74 странах мира и это число продолжает возрастать. Другой подчеркнул, что мир, возможно, стал свидетелем крупнейшей вирусной атаки в истории.
И были правы как никогда — всего за пару часов вымогатель атаковал десятки стран. Начав с Испании и Португалии, где он парализовал работу крупного оператора связи Telefonica и прошелся по газовой компании Gas Natural, оператору электросетей Iberdrola и банку Iberica, малварь переметнулся на внутренние сети британских больниц, потом был зафиксирован в Сингапуре, на Тайване и в Китае, а после распространился по всему миру, добравшись даже до Австралии и Латинской Америки.
Один из специалистов отметил, что заражению подверглись десятки тысяч компьютеров в 74 странах мира и это число продолжает возрастать. Другой подчеркнул, что мир, возможно, стал свидетелем крупнейшей вирусной атаки в истории.
Карта распространения WanaCrypt0r 2.0 за последние сутки.
В России первое сообщение о WanaCrypt0r появилось на портале «Пикабу» — его автор утверждал, что шифровальщик поразил сеть МВД. В министерстве сначала заявили, что у них ведутся некие «технические работы на внутреннем контуре», но потом признали факт атаки, хотя и опровергли заражение серверов вирусом.
Случаи заражения в региональных управлениях МВД и Следственного комитета признал и источник в силовых структурах. Правда, он не уточнил, были ли при этом затронуты внутренние сети ведомств. Он также не смог подтвердить слухи о том, что некие хакеры более часа скачивали информацию из федеральной информационной системы регистрации (ФИСМ), куда вносятся все данные автовладельцев и машин, и связаны ли эти злоумышленники с распространением WanaCrypt0r.
Жертвой вымогателя стал и мобильный оператор «Мегафон». Представитель компании Петр Лидов-Петровский объяснил, что компьютеры в компании подверглись массовому заражению, поскольку связаны между собой внутренней сетью. В результате перестала работать техподдержка, ведь операторы не могли воспользоваться компьютерами и принять звонки, а в салонах «Мегафона» возникли проблемы с обслуживанием клиентов.
Случаи заражения в региональных управлениях МВД и Следственного комитета признал и источник в силовых структурах. Правда, он не уточнил, были ли при этом затронуты внутренние сети ведомств. Он также не смог подтвердить слухи о том, что некие хакеры более часа скачивали информацию из федеральной информационной системы регистрации (ФИСМ), куда вносятся все данные автовладельцев и машин, и связаны ли эти злоумышленники с распространением WanaCrypt0r.
Жертвой вымогателя стал и мобильный оператор «Мегафон». Представитель компании Петр Лидов-Петровский объяснил, что компьютеры в компании подверглись массовому заражению, поскольку связаны между собой внутренней сетью. В результате перестала работать техподдержка, ведь операторы не могли воспользоваться компьютерами и принять звонки, а в салонах «Мегафона» возникли проблемы с обслуживанием клиентов.
Плати, не скупись
Специалисты по кибербезопасности в один голос утверждают, что по своей сути WanaCrypt0r 2.0 — весьма стандартный троян-вымогатель. Попав на компьютер жертвы, он шифрует все данные на жестком диске и требует отправить злоумышленникам 300 долларов в биткоинах. На размышление отводится три дня, после чего сумма выкупа увеличивается вдвое, а через неделю файлы останутся зашифрованными навсегда.
Тем не менее сразу несколько экспертов отмечают отлично проработанный и весьма «дружелюбный» интерфейс вредоноса с поддержкой десятков языков, в том числе английского, русского, испанского, китайского и даже румынского.
Еще одна любопытная особенность заключается в том, что вирус заражает только компьютеры на Windows. Эксперты полагают, что в группе максимального риска находятся пользователи, не установившие последние обновления операционной системы.
Многие юзеры отмечали, что за несколько дней до того, как вирус зашифровал все имеющиеся на компьютерах файлы, система либо бесконтрольно перезапускалась, либо требовала перезагрузить компьютер из-за некой критической ошибки, заботливо напоминая юзерам о необходимости сохранить все важные рабочие файлы.
Тем не менее сразу несколько экспертов отмечают отлично проработанный и весьма «дружелюбный» интерфейс вредоноса с поддержкой десятков языков, в том числе английского, русского, испанского, китайского и даже румынского.
Еще одна любопытная особенность заключается в том, что вирус заражает только компьютеры на Windows. Эксперты полагают, что в группе максимального риска находятся пользователи, не установившие последние обновления операционной системы.
Многие юзеры отмечали, что за несколько дней до того, как вирус зашифровал все имеющиеся на компьютерах файлы, система либо бесконтрольно перезапускалась, либо требовала перезагрузить компьютер из-за некой критической ошибки, заботливо напоминая юзерам о необходимости сохранить все важные рабочие файлы.
Требование выкупа на зараженном WanaCrypt0r 2.0 компьютере.
Кто стоит за вымогателем
Пока специалисты не знают, что за хакерская группировка разработала WanaCrypt0r 2.0 и провела столь масштабную атаку. Злоумышленники явно воспользовались тем, что многие пользователи не установили последние обновления Windows. Это хорошо заметно на примере серьезно пострадавшего от вируса Китая — как известно, жители Поднебесной питают особую любовь к не получающим апдейты пиратским операционкам.
Зато кое-что известно о самом вирусе. Первые жалобы на WannaCry появлялись еще в феврале 2017 года, но не имели массового характера. В блоге Kaspersky Lab уточняется, что WanaCrypt0r 2.0 — это новая версия WannaCry, использующая уязвимость под кодовым названием EthernalBlue.
Она подробно описана в документах хакерской группировки Shadowbrokers, которая в середине апреля выложила в открытый доступ инструменты сотрудников американского Агентства национальной безопасности. А это значит, что в руки создателей вируса могло попасть в том числе и подробное описание уязвимостей корпорации Microsoft, которые кропотливо собирали для себя американские спецслужбы.
Ряд специалистов утверждает, что хакеры используют и упомянутый в документах АНБ зловред DoublePulsar. Он использует EthernalBlue для проникновения в систему, до предела нагружая ядро Windows и позволяя загрузить на устройство новые вирусы.
Зато кое-что известно о самом вирусе. Первые жалобы на WannaCry появлялись еще в феврале 2017 года, но не имели массового характера. В блоге Kaspersky Lab уточняется, что WanaCrypt0r 2.0 — это новая версия WannaCry, использующая уязвимость под кодовым названием EthernalBlue.
Она подробно описана в документах хакерской группировки Shadowbrokers, которая в середине апреля выложила в открытый доступ инструменты сотрудников американского Агентства национальной безопасности. А это значит, что в руки создателей вируса могло попасть в том числе и подробное описание уязвимостей корпорации Microsoft, которые кропотливо собирали для себя американские спецслужбы.
Ряд специалистов утверждает, что хакеры используют и упомянутый в документах АНБ зловред DoublePulsar. Он использует EthernalBlue для проникновения в систему, до предела нагружая ядро Windows и позволяя загрузить на устройство новые вирусы.
WanaCrypt0r 2.0 может основываться на хакерских инструментах АНБ.
Более того, некоторые эксперты отмечают, что EthernalBlue и DoublePulsar якобы были выявлены и разработаны сотрудниками АНБ, а с помощью последнего неизвестные в конце апреля заразили 36 тысяч компьютеров по всему миру. Однако Microsoft еще в марте утверждала, что устранила все описанные в документах АНБ уязвимости в новой версии Windows.
Роль уязвимостей АНБ в работе WanaCrypt0r 2.0 пока еще не подтверждена окончательно. Тем не менее бывший сотрудник американских спецслужб Эдвард Сноуден в своем Twitter уже упрекнул сотрудников спецслужбы в том, что из-за их маниакального желания следить за всем миром и оплошности с утечкой данных страдают вполне реальные люди. Например, сотни пациентов больниц.
Владимир Тодоров
Анастасия Евтушенко
Роль уязвимостей АНБ в работе WanaCrypt0r 2.0 пока еще не подтверждена окончательно. Тем не менее бывший сотрудник американских спецслужб Эдвард Сноуден в своем Twitter уже упрекнул сотрудников спецслужбы в том, что из-за их маниакального желания следить за всем миром и оплошности с утечкой данных страдают вполне реальные люди. Например, сотни пациентов больниц.
Владимир Тодоров
Анастасия Евтушенко
Работал в магазине по продаже и ремонту комп. техники, такие вирусняки уже ходили почти 2 года тому назад. Особый случай был, когда мент приехал с рабочим ноутом, зараженным таким г..ном. Чуть ли не об стол головой бился с просьбой "ребята, помогите хоть как нибудь, у меня тут вся моя рабочая документация!!!". Мы ему популярно объяснили, что вариантов ему помочь нет, если только пробовать деньги отправить (а просили вымогатели по тем временам за дескриптор 1000-2000$), но вариантов, что ему действительно что-то потом пришлют тоже нет. Очень расстроенный, он ушел.
ИМХО тем пид..сам, которые это придумали, руки надо поотрубать.
Скайнет начал свою атаку)))
Наверное я счастливый человек, но за все время пользования компьютером про вирусы только от других слышу, не разу не ловил.
Да и если поймаю, сильно не расстроюсь, всю информацию держу на съемных носителях. Так, что абсолютно п.о.х.!!!
Наверное ты просто не видел как шифровальщик работает, ты понимаешь что он у тебя, когда уже поздно и все перешифрованно!
Слышал,
Вот только не пойму, что помешает вирусу попасть, вместе с зараженным файлом, в резервную копию?
В случае с конкретно этим вирусом - что помешает вирусу зашифровать данные на внешнем носителе в процессе резервного копирования?
Не знаю, пока за все лет 20ть в глаза не видел и информацию не терял. Но чую распознать не сложно, он во время работы должен ресурсы не хило хавать (если он все файлы шифрует конечно). Да и качаю я редко и только с проверенных годами ресурсов, так что, по любому фиолетово. Поймаю, напишу, а пока в глаза не видел и уверен не увижу.;)
Попасть помешает здравый смысл, зачем мне постоянно подрубать жесткий диск?! Я максимум потеряю последние рабочие файлы, так как копирую раз в пару дней. По этому логично, что я узнаю о вирусе раньше чем его скопирую на съемный диск или нет? Я так понимаю пользователь узнает о заражении в момент включения или перезагрузке компьютера, по этому логично, что я его не скопирую физически. как то так ;)
шифрует в основном доки, фото, файлы баз данных, на компе например с i3 и 8гб памяти вообще не увидишь активности пока все не зашифрует, не говоря уже о более серьозных машинах
меня каспер отчаянно защищал! Раз пять об атаках голосил. Ничего не пропустил.. .. наверно..
Сис Админ в Питере в сетях ресторанов. Ресторан ~45 у меня в обслуживании. Все на винде, везде белый айпишник, на котором конечно же пробросаны только нужные порты через нат. ничего не было нигде, так же среди друзей-знакомых, аналогично. Все работает, ни у кого ничего не было. Вопрос - а он распространяется только внутри больших организаций и мелкие его не интересуют?
Зы: с вирусами шифровальщиками были инциденты.
Живу в Керчи, на днях поймал его на домашний ПК, файлы реанимировать не удалось после сноса системы.
именно этот? или стандартный шифровальщик?
Именно этот.
еп. и ни слова в статье как происходит заражение..?
У мня тренированная бухгалтерия, помимо моего бекапа их машин, сами еще свою нужную инфу (в т.ч и папку с базой 1с) копируют на флешку..... Жизнью научены.
Вечер в хату, нагнул МВД красавэлла, а вот больнички это косяк
format c: - поможет, не?
Вроде пока помогает. Второй день после переустановки.
а у меня дома даже компьютера нет!!!!! что мне делать поймать этот вирус, чтобы быть в тренде????!!!!!!
с телефона юзаешь?
С дискового. Тесла.
а ты сейчас с газеты пишешь? или журнала?!
Хочешь узнать кто это сделал, найди того, кому это выгодно. Ни на что не намекаю, но людей сейчас этим вирусом учат пользоваться только лицензионным п.о. Посмотри, у Васи лицензионное, у него все хорошо, а у тебя пиратка, у тебя все плохо.
Давно не в теме.
А зря, информация лишней не бывает. У самого лицуха ,но пиратки изучаю и храню, ибо неизвестно, что завтра заблокируют.
У меня не лицуха.
Не осуждаю. Я просто вин10 урвал за 2300 рублей. Просто этот случай говорит, что обновляться надо. Думаю, мелкософт все прекрасно понимают и не рубят апдейты пиратки.
Линуха
"Еще одна любопытная особенность заключается в том, что вирус заражает только компьютеры на Windows." - да ну нах, - а остальные "универсалы", сразу Вынь, Линуху и Макось одним махом... (сарказм, если что)
+100
У Линуха и Макоси сверхнадежная система противовирусной защиты, основанная на принципе "Неуловимого Джо". Более 90 процентов компьютеров работают под управлением WINDOWS, для них и пишется абсолютное большинство вирусов. Остальными операционками можно пренебречь - нафиг не нужны, еще морочиться с ними. Вот когда их популярность вырастет (маловероятно, но кто его знает), тогда мы и узнаем, насколько дырявые эти операционки.
А нафиг кому то создавать такие вирусы для линукс , какова доля пользователей десктопных версию линукса? скорее всего не более 15% причем только из-за MacOS. массового распространения они не получат. Зато бот сети на "чайниках" уже появились http://safe.cnews.ru/news/top/2017-01-03_v_seti_poyavilsya_botnet_iz_ustrojstv_internetahttp://safe.cnews.ru/news/top/2017-01-03_v_seti_poyavilsya_botnet_iz_ustrojstv_interneta
Сказал Кэп Очевидность )))
Увы, многие считают Линух и МакОсь надежными и безопасными операционными системами, но совершенно не догадываются об истинном положении дел. Злоумышленники пишут свои вирусы не ради праздного интереса, а с целью наживы, поэтому Windows для них в приоритете. Так что, для нас Очевидность, но уверен, даже тут в комментариях найдется несколько упоротых, которые с пеной у рта будут доказывать, что МакОсь или Линух самые защищенные системы в мире потому что написаны самыми гениальными программистами, работающими в лучшей компании в мире, корпорации добра (или просто "для души"), а говнокодеры из Microsoft - корпорации зла, запилить нормальную ОС не могут, ибо туповатые и сильно жадные бездари.
Раньше массовым апокалипсисом называли заражение миллионов компьютеров и в СМИ это протекало тихо.
А этот тупо недовирус с 140к машинами, разрекламировали во всех СМИ.
Винду свою убогую обновите заплаткой от марта месяца и не будет проблем (Vista/ХР конечно не в счет, это труп).
Этот вирус позволил нам увидеть, сколько машин с пиратской виндой стоят в важных учреждениях. И тем более сервера на видне ...
Извиняюсь, на данный момент 186146 машин.
ХР и Др.Веб. Класть я хотел на этот вирус.
РЖД легло под вирус, частично сбербанк. Просто автор не владеет информацией.
Антивирус не спасет от WanaCrypt, тем более на открытой ХР.
спасибо. уже ловил какую-то хрень, которая потерла ненужный раздел, но вычистил др.Вебом. Развел мошенника на разговор и отправил всю переписку со всеми RFC-822 заголовками в Управление К.
Кончилось ничем.
сук, меня тоже хакнули падлы. придется винду сносить(((
Старый-добрый "I love you" по круче будет. А криворуких админов гос контор уволить.
ты системотехников и админов путаешь. Безопасность - это обязанность админов, а "сетку прокинули" - системотехников.
Поддерживаю. В вин10 эту дыру еще вроде как в марте закрыли.
Илья
ИТ безопасность - отдельная профессия. Причём весьма специфическая. И даже учить на её пытаются в РФ.
А админы это как в нулевых "программист" типа ... ну он же в компах шарит, пусть принтер починит .
Да должности всякие есть. Если у вас раздут штат, то будет и специались по веникам, и мастер по мылу в туалетах, и бухгалтер по каждому счету отдельно и бухгалтер по сверкам и т.д.
Но обычно бывает:
системотехники - железячники, прокинуть сеть, вмонтировать стойку, заправить кртридж, переустановить винду.
Администраторы - политика безопасности, администрирование домена, почтовика, корп. портала смотрящего в инет и т.д.
Ну это как я знаю. Когда в конторе появляется отдельный "специалист по безопасности", то это или для "по закону надо соблюсти ФЗ" или чей-то родственник или начальство перестало вникать и кто-то начал раздувать штат.
Илья
Ну... вы правы и не правы.
.
Правы - потому что если речь о мебельном производстве, даже крупном, то с вопросами безопасности разбирается тот же человек что и обеспечивает стабильную работу компьютеров. И как правило этого хватает, тем более что нанять серьёзного специалиста с серьёзной зарплатой не на что и незачем. Урон от несанкционированного доступа или выхода из строя ПК будет меньше суммарных затрат на специалиста.
-Но в Москве иногда нанимают фирму-подрядчика гарантирующего в том числе и безопасность, а сисадмин местный, только пару тянет, да приглядывает чтобы компы не потырили.
И не правы: В уважающих себя банках есть не только что тырить, но и что прятать. В том числе есть от кого прятать.
Если срок жизни банка заложен 5-7 лет, и руководство совершенно не стесняется выводить милиарды за бугор преспокойно предоставляя в центробанк все данный об этом, и будучи уверены что на границе их не остановят в час Х как каких-не-то алименщиков или неплатильщиков за электричество.. Таким банкам спец по безопасности нафиг не упал ессно, таких банков у нас больше половины походу ( судя по тому что центробанк преспокойно ликвидирует банки чуть ли не на следующий день после того как руководство сваливает )
Но если структура не планирует подобного, то спец по ИТ безопасности необходим.
Их мало, этих спецов, зарплаты у них ооочень высокие. И работают они чаще в непонятных конторах с не очень понятными названиями, Чаще чем в банках.
В крупных структурах, типа тройки сотовых операторов, подобная должность предполагается вроде бы по умолчанию ( привет лопухнувшемуся мегафону)
Да и в гос структурах обязаны быть ( но вот у них как раз обычно не пойми кто этими вопросами занят)
Ну и при крупных игровых проектах есть ВСЕГДА и именно реальные специалисты именно по безопасности, и чаще всего не один. Оборот бабла в онлайн проектах немалый. И в не игровых тоже. А желающих там по шуровать ручками реально много.
отфрматировав спец программкой перевернув каждый бит и может 7 раз? есть же программки которые форматруют "красиво" а не как виндовс.не говоря уже о том что если мне безопасность так важна, то я могу и новую плату купить
Это только в том случае, если затерта файловая таблица, оглавление диска. Если затереть саму инфу, то уже ничего не восстановишь. Винда по умолчанию делает быстрый формат, там даже написано "очистка оглавления", т.е. той самой таблицы, а вот полное уже перезаписывает каждый байт непосредственно данных.
Информация на винче полностью уничтожается только сжиганием этого винча.
Это возможно, хоть и сложно. К примеру, используя host protected area (HPA), иногда расшифровывают как hidden protected area это область жесткого диска, которая не видна в операционной системе (ОС).
Может быть выделена средствами BIOS некоторых материнских плат или специального программного обеспечения.
В этой области может храниться информация о параметрах работы ПК, которая записывается туда при проверке системы средствами производителя ПК. Например так поступает фирма DELL на некоторых ноутбуках. Также в скрытой области может содержаться информация для восстановления программного обеспечения ПК к первоначальному состоянию. В некоторых случаях область используется для сокрытия информации с целью сделать её максимально недоступной.
Форматирование никак не затрагивает данные, находящиеся в HPA, до них вообще непросто добраться. К счастью, вирусописатели таким редко заморачивается.
Или с научиться пользоваться спецпрограммами от производителей диска, также есть универсальные проги MHDD, victoria и прочее.
этого боялись и это наступило. но говорят в коде уже нашли ссылку на страничку и якобы зарегитрировав домен распространения вируса остановилось (типа хакеры сами предусмотрели этот ход,в случе если виррс выйдет из-под контроля)
Эти старые порнобанеры ничего не шифровали на винте и лечились довольно легко.