O que é o ransomware WannaCry?

Principais conclusões

• O WannaCry é um ransomware que se espalhou pelo mundo em maio de 2017 sem exigir nenhuma ação do usuário.
• O ataque explorou a vulnerabilidade EternalBlue, presente no protocolo SMBv1 do Windows, para se propagar automaticamente.
• O vírus afetou cerca de 200.000 sistemas em 150 países em poucos dias.
• Uma correção já existia antes do surto, e a condição necessária para que o problema se agravasse era a existência de um SMB sem essa correção e exposto à internet.
• A microsegmentação bloqueia os caminhos SMB que o WannaCry usava para se propagar entre máquinas.

O que é o ransomware WannaCry?

O WannaCry é um worm de ransomware que se propaga automaticamente, diferentemente dos ransomwares que exigem phishing ou implantação manual. Uma vez presente em uma rede, ele procurava outras máquinas vulneráveis e as infectava sem qualquer intervenção humana.

O que acontece quando o WannaCry infecta um computador?

Assim que o WannaCry se infiltra no seu computador, ele instala um "dropper", um pequeno programa que descompacta tudo o que é necessário para realizar o ataque. O dropper inclui um mecanismo de criptografia, um conjunto de chaves de criptografia e uma cópia do Tor, que o malware usa para se comunicar discretamente com os agentes da ameaça que o originaram.

A partir desse momento, o WannaCry age rapidamente para se propagar e executar o ataque. O processo começa por analisar o seu disco rígido em busca de tipos de arquivos específicos, como documentos, arquivos de banco de dados, e-mails, imagens e código-fonte. Em seguida, criptografa arquivos sensíveis e importantes que considera valiosos e bloqueia o seu acesso a eles. Uma notificação de resgate aparece na sua tela exigindo um pagamento em Bitcoin, com uma contagem regressiva avisando que o valor dobra se o prazo expirar.

Existem certas características que diferenciam o WannaCry dos ataques de ransomware típicos. Enquanto seus arquivos estão sendo criptografados, a máquina infectada simultaneamente verifica sua rede em busca de outros sistemas que ela possa alcançar e atacar via SMB. Não é necessário que um humano clique em um link ou abra um anexo para ativar esse processo. A dupla função de criptografar dados e, ao mesmo tempo, buscar novas vítimas é o que define o WannaCry como uma forma de ransomware, bem como um worm de computador.

Como o ransomware WannaCry se espalhou?

O WannaCry se espalhou explorando o EternalBlue, uma vulnerabilidade na versão 1 do protocolo Windows Server Message Block (SMB). EternalBlue era um exploit desenvolvido por uma agência de inteligência nacional e posteriormente divulgado publicamente. O WannaCry usou essa vulnerabilidade para alcançar qualquer máquina que executasse um serviço SMB vulnerável e acessível pela rede, infectá-la e, em seguida, repetir o processo a partir dessa máquina. Isso transformou cada sistema infectado em um ponto de partida para novas infecções em toda a rede local e na Internet.

O worm precisava de duas condições: SMBv1 sem patches e acesso aberto à rede. A Microsoft havia lançado uma atualização dois meses antes do surto, portanto, as organizações mais afetadas foram aquelas que executavam sistemas sem a atualização em redes planas e permissivas.

Como o ataque de ransomware WannaCry foi interrompido?

O surto foi retardado por acidente, não por planejamento.

Marcus Hutchins, pesquisador de segurança da Kryptos Logic, identificou o mecanismo de desativação do WannaCry em menos de duas horas após seu lançamento. Ele percebeu que o malware por trás do WannaCry consultava um nome de domínio longo e aleatório antes de começar a criptografar e concluiu que ninguém jamais havia registrado aquele nome de domínio. Guiado por um palpite, ele comprou o nome de domínio por US$ 10,69.

O registro do domínio por Hutchins criou uma condição não intencional quando ele entrou em funcionamento. Assim que o WannaCry detectou a existência do domínio, tratou cada dispositivo infectado como uma "sandbox" e interrompeu a criptografia. Isso impediu novas infecções, mas as máquinas que já estavam criptografadas permaneceram bloqueadas.

Essa trégua durou pouco. Em poucos dias, novas variantes do WannaCry surgiram com diferentes mecanismos de desativação ou sem mecanismo algum. Essa é a conclusão: uma falha de programação acidental ganhou tempo, mas a aplicação de um patch para o MS17-010 e o bloqueio do tráfego SMB aberto foram as únicas soluções duradouras.

O WannaCry foi eventualmente atribuído ao Grupo Lazarus, um grupo cibernético malicioso patrocinado pelo Estado norte-coreano. Inicialmente, os pesquisadores de segurança notaram semelhanças no código do malware, que se assemelhava muito a ataques anteriores do grupo. Graças ao trabalho de empresas como a Microsoft e de agências de inteligência dos Estados Unidos, do Reino Unido e de outros aliados, esses rastros digitais foram analisados para confirmar o grupo responsável. Logo depois, eles foram acusados de conspiração para realizar múltiplos ataques cibernéticos e invasões.

Qual foi o impacto do WannaCry?

O WannaCry causou perturbações operacionais generalizadas em questão de dias. No Reino Unido, o Serviço Nacional de Saúde cancelou consultas e procedimentos porque os sistemas estavam bloqueados. Da mesma forma, fabricantes, empresas de telecomunicações e empresas de logística sofreram falhas de rede à medida que o worm se propagava por suas redes. A extensão dos danos resultou da propagação automática, que permitiu que a infecção se espalhasse muito além dos pontos iniciais de comprometimento.

O ransomware WannaCry ainda representa uma ameaça?

O WannaCry já não se espalha na mesma proporção que em 2017, mas variantes ainda circulam e ocasionalmente infectam sistemas sem as atualizações de segurança. No entanto, as lições aprendidas sobre o funcionamento desses tipos de ameaças continuam relevantes. Um ransomware do tipo worm que explora um protocolo de rede depende da acessibilidade interna, e qualquer ambiente que deixe o SMB ou protocolos similares abertos entre máquinas permanece exposto a ataques que seguem o mesmo padrão.

Como conter um ataque do tipo WannaCry?

Você pode conter um ataque de ransomware do tipo WannaCry bloqueando o protocolo de rede que ele usa para se propagar entre máquinas. A aplicação da correção elimina a vulnerabilidade específica. A segmentação remove o caminho aberto necessário para qualquer ameaça que se propague por meio de worms, incluindo futuras ameaças que explorem diferentes falhas.

A microsegmentação permite apenas o tráfego necessário entre as cargas de trabalho e impede que protocolos como o SMB se movam livremente pelo ambiente. Um worm que se instala em uma máquina não consegue alcançar a próxima, porque a porta e o protocolo dos quais depende estão fechados por política da empresa. A propagação para no primeiro hospedeiro. Trata-se de contenção de violação aplicada a uma ameaça de propagação automática, e funciona mesmo quando a máquina não possui as atualizações de segurança.

Que lições de cibersegurança o WannaCry nos ensinou?

O WannaCry foi mais do que um ataque de ransomware que se infiltrou em mais de 200.000 computadores. Essencialmente, foi um teste de estresse, e quase todas as empresas que tentaram passar nele acabaram falhando. Isso expôs a discrepância entre como as organizações realmente defendem seus ambientes e o quão bem defendidas elas acreditam que estejam.

• Uma atualização só protege o que alcança: a Microsoft lançou a correção dois meses antes do surto do WannaCry; no entanto, milhões de máquinas ainda permaneceram vulneráveis. A falta de aplicação de um patch, mesmo em uma pequena fração da frota, deixa uma brecha que um atacante pode explorar.
• Sistemas legados não se aposentam silenciosamente: Sistemas que não recebem mais suporte dos fornecedores não podem receber correções ou atualizações, o que torna a infraestrutura legada uma brecha permanente em suas defesas.
• Redes planas transformam uma máquina defeituosa em uma crise para toda a empresa: o WannaCry se espalhou pela empresa na velocidade da rede porque a comunicação interna entre os dispositivos era praticamente irrestrita. Segundo pesquisa da Cisco, a movimentação lateral está envolvida em até 70% de todas as invasões bem-sucedidas, e geralmente ocorre minutos após o invasor obter acesso ao sistema.
• A microsegmentação reduz o raio da explosão: A microsegmentação restringe a comunicação entre cargas de trabalho específicas. Se uma estação de trabalho estiver infectada, ela não poderá alcançar seu próximo alvo, independentemente de esse alvo estar ou não atualizado.
• Um único controle nunca é suficiente: você deve sempre ter múltiplas camadas de proteção e um plano de backup ou recuperação de desastres bem testado. As atualizações falham, as ferramentas de segurança deixam passar ameaças e nenhuma organização deveria contar com outra falha acidental de segurança.

Como a Illumio ajuda a impedir a propagação de ransomware?

O ransomware causa grandes transtornos quando se move de um sistema para outro. O Illumio Segmentation restringe conexões desnecessárias e isola sistemas comprometidos, enquanto o Illumio Insights ajuda as equipes a detectar movimentos laterais suspeitos e a responder rapidamente.

Em conjunto, essas funcionalidades contêm o ransomware, reduzem seu potencial de impacto e ajudam a evitar que um único sistema comprometido cause uma interrupção em toda a organização.

Perguntas frequentes sobre o ransomware WannaCry

Que tipo de malware é o WannaCry?

WannaCry é um worm de ransomware que combina a criptografia de arquivos com a capacidade de se espalhar automaticamente por redes sem a intervenção do usuário.

Como o WannaCry se espalhou?

O WannaCry explorou o EternalBlue, uma vulnerabilidade no protocolo SMBv1 do Windows, para infectar máquinas vulneráveis e, em seguida, se propagar automaticamente de uma para outras.

O WannaCry ainda representa uma ameaça?

Embora o WannaCry não esteja mais se espalhando como em 2017, ainda existem variantes capazes de infectar sistemas de computador sem as atualizações de segurança, e a forma como o WannaCry se propagou continua sendo uma ameaça real.

A microsegmentação pode impedir um ataque do tipo WannaCry?

Sim, a microsegmentação bloqueia os caminhos SMB que o WannaCry usava para se propagar entre máquinas, interrompendo a propagação no primeiro host, mesmo quando o sistema não está atualizado.