WannaCry: το ransomware που «έκλεισε» νοσοκομεία

Στις 12 Μαΐου 2017, οθόνες σε νοσοκομεία, τράπεζες και εταιρείες σε όλο τον κόσμο άρχισαν να εμφανίζουν το ίδιο μήνυμα: τα αρχεία σου είναι κρυπτογραφημένα, πλήρωσε σε Bitcoin για να τα πάρεις πίσω. Μέσα σε λίγες ώρες, το WannaCry είχε μολύνει πάνω από 200.000 υπολογιστές σε 150 χώρες — ένα από τα μεγαλύτερα κυβερνοεπεισόδια στην ιστορία.

Το όπλο που έκλεψαν

Το WannaCry δεν ήταν έξυπνο ransomware από μόνο του — ήταν επικίνδυνο επειδή χρησιμοποιούσε ένα exploit που ονομαζόταν EternalBlue, γραμμένο αρχικά από την NSA για δικές της επιχειρήσεις. Μια ομάδα χάκερ με το όνομα Shadow Brokers το έκλεψε και το δημοσίευσε μήνες πριν την επίθεση. Η Microsoft είχε ήδη κυκλοφορήσει patch, αλλά χιλιάδες συστήματα — ειδικά σε νοσοκομεία και δημόσιους οργανισμούς — δεν το είχαν εγκαταστήσει ακόμα.

Γιατί εξαπλώθηκε τόσο γρήγορα

Τα περισσότερα ransomware χρειάζονται κάποιον να ανοίξει ένα κακόβουλο email. Το WannaCry όχι: μόλις μόλυνε έναν υπολογιστή σε ένα δίκτυο, το EternalBlue του επέτρεπε να σκανάρει και να μολύνει αυτόματα κάθε άλλη μη ενημερωμένη μηχανή στο ίδιο δίκτυο — συμπεριφορά worm, όχι απλού ransomware. Το NHS, το εθνικό σύστημα υγείας της Βρετανίας, αναγκάστηκε να ακυρώσει χειρουργεία και ραντεβού σε δεκάδες νοσοκομεία.

Ο 22χρονος που το σταμάτησε

Ο ερευνητής ασφάλειας Marcus Hutchins (γνωστός online ως MalwareTech) ανέλυε τον κώδικα του ransomware όταν βρήκε κάτι περίεργο: το malware προσπαθούσε πρώτα να συνδεθεί σε ένα μεγάλο, τυχαίο-φαινόμενο domain name. Αν η σύνδεση πετύχαινε, το WannaCry σταματούσε αμέσως — σαν kill switch. Το domain δεν ήταν καταχωρημένο. Ο Hutchins το καταχώρησε ο ίδιος, για περίπου 10 δολάρια, κυρίως από περιέργεια. Η εξάπλωση σταμάτησε μέσα σε ώρες.

Ποιος το έκανε

Αμερικανικές, βρετανικές και άλλες κυβερνητικές υπηρεσίες απέδωσαν επίσημα την επίθεση στην ομάδα Lazarus Group, συνδεδεμένη με τη Βόρεια Κορέα. Παρά το μέγεθος της ζημιάς, το ransomware συγκέντρωσε τελικά μόνο γύρω στις 140.000 δολάρια σε Bitcoin — αναλογικά ασήμαντο ποσό, κάτι που έκανε πολλούς ερευνητές να πιστεύουν ότι ο στόχος δεν ήταν (μόνο) το χρήμα.

Το μάθημα που έμεινε

Το WannaCry δεν εκμεταλλεύτηκε κάποια άγνωστη, μυστηριώδη αδυναμία — εκμεταλλεύτηκε ένα patch που ήδη υπήρχε και δεν είχε εφαρμοστεί. Η ιστορία του είναι λιγότερο για εξελιγμένο hacking και περισσότερο για το πόσο ακριβό μπορεί να είναι το να αναβάλεις ένα update.

Με λίγα λόγια

• Το WannaCry (Μάιος 2017) μόλυνε 200.000+ υπολογιστές σε 150 χώρες μέσα σε ώρες.
• Χρησιμοποιούσε το EternalBlue, ένα κλεμμένο εργαλείο της NSA, για να εξαπλώνεται σαν worm.
• Ένας ερευνητής ασφάλειας το σταμάτησε σχεδόν τυχαία, καταχωρώντας ένα kill-switch domain.
• Αποδόθηκε στο Lazarus Group (Βόρεια Κορέα).
• Το patch υπήρχε πριν την επίθεση — το πρόβλημα ήταν ότι δεν είχε εγκατασταθεί.