Ένας τεχνικός ηλεκτρονικών υπολογιστών, ειδικός ερευνητής σε θέματα κυβερνοασφάλειας, φαίνεται πως είναι ο «ήρωας» της ημέρας, αφού ήταν αυτός που κατάφερε να σταματήσει την παγκόσμια εξάπλωση του ransomware της Wannacry, ξοδεύοντας μόλις μερικά δολάρια για την καταχώρηση ενός domain name το οποίο βρισκόταν κρυμμένο μέσα στον κώδικα του κακόβουλου λογισμικού.
Οι συντονισμένες κυβερνοεπιθέσεις που ξεκίνησαν την Παρασκευή το μεσημέρι από τη Βρετανία και την Ισπανία και γρήγορα εξαπλώθηκαν σε περισσότερες από 99 χώρες, προκάλεσαν χάος στο διαδίκτυο.
Ρωσία, Ουκρανία, της Ινδία, Κίνα, Ιταλία και Αίγυπτος ήταν μεταξύ των στόχων.
Μεγάλες εταιρίες, όπως η FedEx και η ισπανική εταιρία τηλεπικοινωνιών Telefónica, δέχτηκαν επίθεση ενώ στη Βρετανία, το σύστημα υγείας σχεδόν κατέρρευσε καθώς τα νοσοκομεία έχασαν τον έλεγχο των ηλεκτρονικών συστημάτων τους, με αποτέλεσμα να ακυρωθούν προγραμματισμένες εγχειρήσεις και το ιατρικό προσωπικό να μην έχει πρόσβαση σε αποτελέσματα εξετάσεων, ακτινογραφίες και αρχεία ασθενών.
Μέχρι την Παρασκευή το βράδυ, το ransomware είχε εξαπλωθεί στις Ηνωμένες Πολιτείες και τη Νότια Αμερική, αν και η Ευρώπη και η Ρωσία είχαν τα σοβαρότερα πλήγματα, σύμφωνα με τους ερευνητές της ασφάλειας Malware Hunter Team.
Τη ζημιά, ωστόσο, που σύμφωνα με τους ειδικούς θα μπορούσε να είναι πολύ μεγαλύτερη κατάφερε να περιορίσει ένας Βρετανός τεχνικός που διατηρεί λογαριασμό στο Twitter με το όνομα @malwaretechblog, με τη βοήθεια του Darien Huss από την εταιρία κυβερνοασφαλείας Proofpoint. Οι δύο τους κατάφεραν να εντοπίσουν και να απενεργοποιήσουν έναν «διακόπτη ασφαλείας» (σ.σ. «kill switch») που ήταν εγκατεστημένος μέσα στο κακόβουλο λογισμικό.
Το «kill switch» ήταν περασμένο στον κώδικα του λογισμικού, για την περίπτωση που ο δημιουργός του επιθυμούσε να σταματήσει την εξάπλωσή του. Για να γίνει κάτι τέτοιο χρειάζεται συνήθως ένα πολυσύλλαβο και ακατανόητο domain name στο οποίο το λογισμικό θα απηύθυνε το αίτημά του (σ.σ. με έναν τρόπο αντίστοιχο που ψάχνουμε στο ίντερνετ τη διεύθυνση κάποιου site). Αν το αίτημα επιστρέψει δείχνοντας ότι το domain είναι ενεργό, τότε ο διακόπτης ασφαλείας ενεργοποιείται και το λογισμικό σταματά να εξαπλώνεται.
«Είδα ότι δεν είχε καταχωρηθεί (σ.σ. εννοεί το συγκεκριμένο domain name) και σκέφτηκα, θα το αγοράσω» φέρεται να δήλωσε ο Βρετανός τεχνικός, τα στοιχεία του οποίου δεν έχουν γίνει γνωστά. Η αγορά κόστισε $10.49. Αμέσως μόλις το ενεργοποίησε, το domain άρχισε να καταχωρεί χιλιάδες συνδέσεις το δευτερόλεπτο.
«Παίρνουν το βραβείο του κατά λάθος ήρωα της ημέρας» δήλωσε για τους @malwaretechblog και Huss, ο Ryan Kalember από την Proofpoint. «Δεν συνειδητοποίησαν πόσο πολύ καθυστέρησαν την εξάπλωση του ransomware».
Το ότι έγινε κατά λάθος επιβεβαίωσε μέσω Twitter και o @malwaretechblog
I will confess that I was unaware registering the domain would stop the malware until after i registered it, so initially it was accidental.
— MalwareTech (@MalwareTechBlog) May 13, 2017
Μέχρι τη στιγμή που ο @malwaretechblog κατοχύρωσε το domain ήταν πλέον πολύ αργά για να βοηθηθούν οι χρήστες σε Ευρώπη και Ασία, όπου πολλοί οργανισμοί είχαν ήδη «μολυνθεί». Αλλά η κίνησή του έδωσε χρόνο σε χρήστες στις ΗΠΑ και αλλού για μπορέσουν να θωρακίσουν τα συστήματά τους απέναντι σε αυτή τη σοβαρή διαδικτυακή απειλή, πρόσθεσε ο Kalember.
Σύμφωνα με τον Guardian, ωστόσο, το εν λόγω «kill switch» δεν μπορεί να βοηθήσει όσους υπολογιστές έχουν ήδη προσβληθεί από το ransomware και είναι, επίσης, πιθανό, άλλες παραλλαγές του malware με διαφορετικούς διακόπτες ασφαλείας να συνεχίσουν να εξαπλώνονται. Η βοήθεια, όμως, που παρείχαν ήταν καθοριστική.
Το κακόβουλο λογισμικό έγινε διαθέσιμο online στις 14 Απριλίου, μέσω ομάδας που αποκαλείται Shadow Brokers και η οποία ισχυρίστηκε πριν από ένα χρόνο ότι είχε κλέψει «κυβερνο-όπλα» της NSA (Υπηρεσία Εθνικής Ασφάλειας).
Πώς έγινε η επίθεση
Οι χάκερς ξεγέλασαν χρήστες τους οποίους έκαναν να ανοίξουν μολυσμένα από ιό συνημμένα σε email που έμοιαζαν να περιέχουν τιμολόγια, προσφορές απασχόλησης, προειδοποιήσεις ασφαλείας και άλλους θεμιτούς φακέλους.
Ο ιός, του τύπου ransomware, κρυπτογράφησε δεδομένα στους υπολογιστές και ζητούσε από τους χρήστες να πληρώσουν από 300 έως 600 δολάρια ως λύτρα για να αποκτήσουν και πάλι πρόσβαση στα δεδομένα τους. Ειδικοί στην κυβερνοασφάλεια είπαν πως παρατήρησαν ορισμένα από τα θύματα να πληρώνουν μέσω του ψηφιακού νομίσματος bitcoin, αν και δεν γνωρίζουν ποιο ήταν το ποσοστό των χρηστών που υποχώρησε στους εκβιαστές.
«Είναι μία από τις μεγαλύτερες παγκόσμιες επιθέσεις ransomware που έχει δει ποτέ η κοινότητα του κυβερνοχώρου», δήλωσε ο Ριτς Μπέρτζερ, διευθυντής ερευνών απειλών στη Splunk, μία από τις εταιρείες που συνέδεσαν τον WannaCry με την NSA.
Με πληροφορίες από Guardian
