Was ist WannaCry Ransomware?

Wichtige Erkenntnisse

• WannaCry ist ein Ransomware-Wurm, der sich im Mai 2017 weltweit verbreitete, ohne dass der Nutzer handeln musste.
• Es nutzte EternalBlue, eine Schwachstelle im Windows SMBv1-Protokoll, aus, um sich automatisch auszubreiten.
• Der Wurm bezog innerhalb weniger Tage schätzungsweise 200.000 Systeme in 150 Ländern .
• Vor dem Ausbruch gab es einen Patch, und ein ungepatchtes, internetfreies SMB war die benötigte Bedingung.
• Mikrosegmentierung blockiert die KMU-Pfade, die WannaCry nutzte, um zwischen Maschinen zu wechseln.

Was ist WannaCry-Ransomware?

WannaCry ist ein sich selbst verbreitender Ransomware-Wurm, der sich von Ransomware unterscheidet, die Phishing oder manuelle Einsätze erfordert. Sobald sie sich in einem Netzwerk befand, scannte sie nach anderen verwundbaren Maschinen und infizierte diese ohne menschliche Beteiligung.

Was passiert, wenn WannaCry einen Computer infiziert?

Sobald WannaCry deinen Computer infiltriert, installiert es einen "Dropper", ein kleines Programm, das alles auspackt, was für den Angriff nötig ist. Der Dropper enthält eine Verschlüsselungs-Engine, eine Reihe von Verschlüsselungsschlüsseln und eine Kopie von Tor, die die Schadsoftware nutzt, um diskret an ihre ursprünglichen Bedrohungsakteure zurückzukommunizieren.

Von diesem Moment an macht WannaCry schnelle Bewegungen, um sich zu verbreiten und den Angriff auszuführen. Es beginnt damit, Ihre Festplatte nach gezielten Dateitypen wie Dokumenten, Datenbankdateien, E-Mails, Grafiken und Quellcode zu scannen. Dann verschlüsselt er sensible und wichtige Dateien, die er als wertvoll einstuft, und sperrt dich aus. Eine Lösegeldbenachrichtigung erscheint auf Ihrem Bildschirm, die eine Zahlung in Bitcoin verlangt, mit einem Countdown, der darauf hinweist, dass sich der Betrag verdoppelt, falls die Frist verläuft.

Es gibt bestimmte Eigenschaften, die WannaCry von typischen Ransomware-Angriffen unterscheiden. Während deine Dateien verschlüsselt werden, scannt der infizierte Rechner gleichzeitig dein Netzwerk nach anderen Systemen, die er erreichen und über SMB angreifen kann. Es ist nicht nötig, dass ein Mensch auf einen Link klickt oder einen Anhang öffnet, um diesen Prozess zu aktivieren. Die doppelte Funktion, Daten zu verschlüsseln und gleichzeitig nach weiteren Opfern zu suchen, definiert WannaCry sowohl als eine Form von Ransomware als auch als Computerwurm.

Wie hat sich die WannaCry-Ransomware verbreitet?

WannaCry verbreitete sich durch die Ausnutzung von EternalBlue, einer Schwachstelle in Version 1 des Windows Server Message Block (SMB)-Protokolls. EternalBlue war ein Exploit, der von einer nationalen Geheimdienstbehörde entwickelt und später öffentlich geleakt wurde. WannaCry nutzte es, um jede Maschine zu erreichen, die einen verwundbaren, netzwerkzugänglichen SMB-Dienst betrieb, zu infizieren und dann den Prozess von diesem Rechner aus zu wiederholen. Dadurch wurde jedes infizierte System zu einem Ausgangspunkt für weitere Infektionen im lokalen Netzwerk und im Internet.

Der Wurm benötigte zwei Bedingungen: ein ungepatchtes SMBv1 und offenen Netzwerkzugang dazu. Microsoft hatte zwei Monate vor dem Ausbruch einen Patch veröffentlicht, sodass die Organisationen, die am stärksten betroffen waren, diejenigen waren, die ungepatchte Systeme auf flachen, permissiven Netzwerken betreiben.

Wie wurde der WannaCry-Ransomware-Angriff gestoppt?

Der Ausbruch wurde versehentlich verlangsamt, nicht absichtlich.

Marcus Hutchins, ein Sicherheitsforscher bei Kryptos Logic, identifizierte den Notausschalter von WannaCry innerhalb von weniger als zwei Stunden nach seiner Freigabe. Er sah, dass die Malware hinter WannaCry eine lange, zufällige Domain abfragte, bevor sie mit der Verschlüsselung begann, und stellte fest, dass niemand diesen Domainnamen je registriert hatte. Aus Bauchgefühl heraus kaufte er den Domainnamen für 10,69 Dollar.

Hutchins' Registrierung der Domain schuf eine unbeabsichtigte Bedingung, als sie online ging. Sobald WannaCry entdeckte, dass die Domain existierte, behandelte es jedes infizierte Gerät als "Sandbox" und hörte auf zu verschlüsseln. Dadurch wurden neue Infektionen gestoppt, aber bereits verschlüsselte Geräte blieben gesperrt.

Diese Atempause war nur von kurzer Dauer. Innerhalb weniger Tage erschienen neue WannaCry-Varianten mit anderen oder gar keinem Kill-Switch. Das ist die Quintessenz: Ein versehentlicher Codierfehler hat Zeit verschafft, aber das Patchen von MS17-010 und das Blockieren offener SMB-Verkehr waren die einzigen dauerhaften Lösungen.

WannaCry wurde schließlich der Lazarus Group zugeschrieben, einer nordkoreanisch staatlich geförderten bösartigen Cybergruppe. Sicherheitsforscher bemerkten zunächst Ähnlichkeiten im Code der Malware, die früheren Angriffen der Gruppe sehr ähnelten. Dank der Arbeit von Unternehmen wie Microsoft und Geheimdiensten in den USA, Großbritannien und anderen Verbündeten wurden diese digitalen Spuren analysiert, um die verantwortliche Gruppe zu bestätigen. Kurz darauf wurden sie wegen Verschwörung zu mehreren Cyberangriffen und Eindringlingen angeklagt .

Welche Auswirkungen hatte WannaCry?

WannaCry verursachte innerhalb weniger Tage weitreichende Betriebsstörungen. Im Vereinigten Königreich sagte der National Health Service Termine und Eingriffe ab, weil die Systeme gesperrt waren. Ähnlich erlebten Hersteller, Telekommunikationsunternehmen und Logistikunternehmen Netzwerkausfälle, als sich der Wurm durch ihre Netzwerke ausbreitete. Das Ausmaß des Schadens entstand durch automatische Ausbreitung, die die Infektion weit über die anfänglichen Kompromisspunkte hinaus ausbreitete.

Ist WannaCry-Ransomware immer noch eine Bedrohung?

WannaCry verbreitet sich nicht mehr auf dem Niveau von 2017, aber Varianten zirkulieren weiterhin und infizieren gelegentlich ungepatchte Systeme. Die daraus gewonnenen Lehren darüber, wie solche Bedrohungen funktionieren, bleiben jedoch relevant. Wurmbare Ransomware, die ein Netzwerkprotokoll ausnutzt, hängt von interner Erreichbarkeit ab, und jede Umgebung, die SMB oder ähnliche Protokolle zwischen Maschinen offen lässt, bleibt Angriffen ähnlicher Muster ausgesetzt.

Wie hält man einen WannaCry-ähnlichen Angriff ein?

Sie verhindern einen WannaCry-ähnlichen Ransomware-Angriff, indem Sie das Netzwerkprotokoll schließen, das zum Wechsel zwischen Maschinen verwendet wird. Das Patchen entfernt die spezifische Schwachstelle. Segmentierung beseitigt den offenen Weg, den jede wurmfähige Bedrohung benötigt, einschließlich zukünftiger, die andere Schwächen ausnutzen.

Mikrosegmentierung erlaubt nur notwendigen Datenverkehr zwischen Arbeitslasten und blockiert Protokolle wie SMB daran, sich frei über die Umgebung zu bewegen. Ein Wurm, der auf einem Rechner landet, kann den nächsten nicht erreichen, weil der Port und das Protokoll, auf das er angewiesen ist, durch die Richtlinie geschlossen sind. Die Vermehrung endet beim ersten Wirt. Dies ist eine Breach Containment, die auf eine sich selbst ausbreitende Bedrohung angewendet wird, und sie gilt auch dann, wenn eine Maschine nicht gepatcht ist.

Welche Cybersicherheitslektionen hat WannaCry vermittelt?

WannaCry war mehr als ein Ransomware-Ausbruch, der über 200.000 Computer infiltrierte. Im Grunde war es ein Stresstest, und fast jedes Unternehmen, das versuchte, ihn zu bestehen, scheiterte letztlich. Es offenbarte die Kluft zwischen der tatsächlichen Verteidigung von Organisationen ihrer Umwelt und der Fähigkeit, wie gut sie sich selbst verteidigen.

• Ein Patch schützt nur das, was er erreicht: Microsoft veröffentlichte die Korrektur zwei Monate vor dem WannaCry-Ausbruch; dennoch blieben Millionen von Rechnern weiterhin verwundbar. Ein nicht angebrachter Patch auf selbst einen kleinen Bruchteil der Flotte lässt eine Lücke, die ein Angreifer nutzen kann.
• Altsysteme werden nicht stillschweigend eingestellt: Systeme, die nicht mehr von Anbietern unterstützt werden, können keine Patches oder Updates erhalten, was die Altinfrastruktur zu einer dauerhaften Lücke in Ihrer Verteidigung macht.
• Flache Netzwerke verwandeln eine defekte Maschine in eine unternehmensweite Krise: WannaCry bewegte sich mit Netzwerkgeschwindigkeit im gesamten Unternehmen, weil die interne Kommunikation zwischen Geräten weitgehend uneingeschränkt war. Laut Cisco-Forschung ist seitliche Bewegung an bis zu 70 % aller erfolgreichen Sicherheitsverletzungen beteiligt, wobei dies oft innerhalb von Minuten nach dem ersten Zugriff eines Angreifers auf ein System geschieht.
• Mikrosegmentierung verringert den Explosionsradius: Mikrosegmentierung schränkt die Kommunikation zwischen bestimmten Arbeitslasten ein. Wenn eine Arbeitsstation infiziert ist, kann sie ihr nächstes Ziel nicht erreichen, unabhängig davon, ob dieses Ziel gepatcht wird oder nicht.
• Eine einzige Kontrolle reicht nie aus: Sie sollten immer mehrere Schutzebenen und einen gut getesteten Backup- oder Notfallwiederherstellungsplan haben. Patches versagen, Sicherheitstools übersehen Bedrohungen, und keine Organisation sollte auf einen weiteren versehentlichen Kill-Switch zählen.

Wie hilft Illumio, die Verbreitung von Ransomware zu verhindern?

Ransomware wird zu einer großen Störung, wenn sie von einem System zum anderen wechselt. Illumio Segmentation schränkt unnötige Verbindungen ein und isoliert kompromittierte Systeme, während Illumio Insights Teams hilft, verdächtige seitliche Bewegungen zu erkennen und schnell zu reagieren.

Zusammen enthalten diese Fähigkeiten Ransomware, verringern deren potenziellen Explosionsradius und helfen, zu verhindern, dass ein einzelnes kompromittiertes System zu einem unternehmensweiten Ausfall wird.

FAQs zu WannaCry-Ransomware

Welche Art von Malware ist WannaCry?

WannaCry ist ein Ransomware-Wurm, der Dateiverschlüsselung von Ransomware mit der Möglichkeit kombiniert, sich automatisch über Netzwerke zu verbreiten, ohne dass der Nutzer eingreifen kann.

Wie hat sich WannaCry verbreitet?

WannaCry nutzte EternalBlue, eine Schwachstelle im Windows SMBv1-Protokoll, aus, um verwundbare Maschinen zu infizieren und dann automatisch von jedem einzelnen auf andere zu übertragen.

Ist WannaCry immer noch eine Bedrohung?

Obwohl sich WannaCry nicht mehr wie 2017 verbreitet, existieren weiterhin Varianten, die ungepatchte Computersysteme infizieren können, und die Art und Weise, wie sich WannaCry verbreitet hat, bleibt eine reale Bedrohung.

Kann Mikrosegmentierung einen WannaCry-ähnlichen Angriff stoppen?

Ja, Mikrosegmentierung blockiert die SMB-Pfade, die WannaCry früher zur Bewegung zwischen Maschinen verwendet hat, und stoppt die Ausbreitung am ersten Host, selbst wenn ein System nicht gepatcht ist.