Вирус Wanna Cry – новый вид хакерской атаки, вредоносная программа-вымогатель заставил содрогнуться пользователей ПК и Интернета по всему миру. Как работает вирус Wanna Cry, можно ли от него защититься, и если можно, то – как?

Вирус Wanna Cry, описание – вид вредоносного ПО, относящееся к категории RansomWare , программа-вымогатель. При попадании на жесткий диск жертвы, Wanna Cry действует по сценарию своих «коллег», таких как TrojanRansom.Win32.zip , шифруя все персональные данные всех известных расширений. При попытке просмотра файла пользователь видит на экране требование заплатить n-ную сумму денег, якобы после этого злоумышленник вышлет инструкцию по разблокировке.

Зачастую вымогательство денег осуществляется с помощью СМС-пополнения специально созданного счета, но в последнее время для этого используется сервис анонимных платежей BitCoin .

Вирус Wanna Cry – как работает. Wanna Cry представляет собой программу под названием WanaCrypt0r 2.0 , которая атакует исключительно ПК на OC Windows. Программа использует для проникновения «дыру» в системе - Microsoft Security Bulletin MS17-010 , существование которой было ранее неизвестно. На данный момент доподлинно неизвестно, как хакеры обнаружили уязвимость MS17-010. Бытует версия о диверсии производителей противовирусного ПО для поддержания спроса, но, конечно, никто не списывает со счетов интеллект самих хакеров.

Как это ни печально, распространение вируса Wanna Cry осуществляется простейшим способом – через электронную почту. Открыв письмо со спамом, запускается шифратор и зашифрованные файлы после этого восстановить практически невозможно.

Вирус Wanna Cry – как защититься, лечение. WanaCrypt0r 2.0 использует при атаке уязвимости в сетевых службах Windows. Известно, что Microsoft уже выпустила «заплатку» - достаточно запустить обновление Windows Update до последней версии. Стоит отметить, что защитить свой компьютер и данные смогут только пользователи, купившие лицензионную версию Windows – при попытке обновить «пиратку» система просто не пройдет проверку. Также необходимо помнить, что Windows XP уже не обновляется, как, разумеется, и более ранние версии.

Защититься от Wanna Cry можно, соблюдая несколько простых правил:

• вовремя осуществлять обновление системы –все зараженные ПК не были обновлены
• пользоваться лицензионной ОС
• не открывать сомнительные электронные письма
• не переходить по сомнительным ссылкам, оставленных пользователями, не вызывающими доверия

Как сообщают СМИ, производители антивирусного ПО будут выпускать обновления для борьбы с Wanna Cry, так что обновление антивируса также не стоит откладывать в долгий ящик.

(WannaCrypt , WCry , WanaCrypt0r 2.0 , Wanna Decryptor) - вредоносная программа, сетевой червь и программа-вымогатель денежных средств. Программа шифрует почти все хранящиеся на компьютере файлы и требует денежный выкуп за их расшифровку. Вредоносных программ такого типа регистрировалось огромное множество за последние годы, но WannaCry на их фоне выделяет ся масштабом распространения и используемыми техниками.

Этот вирус-шифровальщик начал распространение примерно в 10 утра и уже вечером 12 мая СМИ стали сообщать о многочисленных заражениях. В различных изданиях пишут , что совершена хакерская атака на крупнейшие холдинги, в том числе и на «Сбербанк».

Вопрос пользователя. «Мой текущий личный ноутбук, работающий на “Windows 7 Домашняя расширенная”, разного рода патчи устанавливает автоматически, когда я его выключаю...

Да и имеющийся у меня W10-планшет автоматически ставит новые патчи при его включении... Неужели корпоративные настольные ПК не обновляют свои ОС автоматически при включении или выключении?» Действительно - почему?

Через некоторое время полный набор эксплойтов был выложен в открытый доступ вместе с обучающими видео. Воспользоваться им может любой. Что и произошло. В наборе эксплойтов есть инструмент DoublePulsar. При открытом 445 порте и не установленном обновлении MS 17-010, с использованием уязвимости класса Remote code execution (возможность заражения компьютера удаленно (эксплойт NSA EternalBlue)), возможно перехватывать системные вызовы и внедрять в память вредоносный код. Не нужно получать никакого электронного письма - если у вас компьютер с доступом в интернет, с запущенным сервисом SMBv1 и без установленного патча MS17-010, то атакующий найдет вас сам (например, перебором адресов).

Анализ WannaCry

Троянец WannaCry (он же WannaCrypt) шифрует файлы с определенными расширениями на компьютере и требует выкуп - 300 долларов США в биткоинах. На выплату дается три дня, потом сумма удваивается.

Для шифрования используется американский алгоритм AЕS с 128-битным ключом.

В тестовом режиме шифрование производится с помощью зашитого в троянце второго RSA-ключа. В связи с этим расшифровка тестовых файлов возможна.

В процессе шифрования случайным образом выбирается несколько файлов. Их троянец предлагает расшифровать бесплатно, чтобы жертва убедилась в возможности расшифровки остального после выплаты выкупа.

Но эти выборочные файлы и остальные шифруются разными ключами. Поэтому никакой гарантии расшифровки не существует!

Признаки заражения WannaCry

Попав на компьютер, троянец запускается как системная служба Windows с именем mssecsvc2.0 (видимое имя - Microsoft Security Center (2.0) Service).

Червь способен принимать аргументы командной строки. Если указан хотя бы один аргумент, пытается открыть сервис mssecsvc2.0 и настроить его на перезапуск в случае ошибки.

После запуска пытается переименовать файл C:\WINDOWS\tasksche.exe в C:\WINDOWS\qeriuwjhrf, сохраняет из ресурсов троянца-энкодера в файл C:\WINDOWS\tasksche.exe и запускает его с параметром /i. Во время запуска троян получает IP-адрес зараженной машины и пытается подключиться к 445 TCP-порту каждого IP-адреса внутри подсети - производит поиск машин в внутренней сети и пытается их заразить.

Через 24 часа после своего запуска в качестве системной службы червь автоматически завершает работу.

Для собственного распространения вредонос инициализирует Windows Sockets, CryptoAPI и запускает несколько потоков. Один из них перечисляет все сетевые интерфейсы на зараженном ПК и опрашивает доступные узлы в локальной сети, остальные генерируют случайные IP-адреса. Червь пытается соединиться с этими удаленными узлами с использованием порта 445. При его доступности в отдельном потоке реализуется заражение сетевых узлов с использованием уязвимости в протоколе SMB.

Сразу после запуска червь пытается отправить запрос на удаленный сервер, домен которого хранится в троянце. Если ответ на этот запрос получен, он завершает свою работу.

< nulldot> 0x1000eff2, 34, 1QAc9S5EmycqjzzWDc1yiWzr9jJLC8sLiY

< nulldot> 0x1000f024, 22, sqjolphimrr7jqw6.onion

< nulldot> 0x1000f1b4, 12, 00000000.eky

< nulldot> 0x1000f270, 12, 00000000.pky

< nulldot> 0x1000f2a4, 12, 00000000.res

Защита от WannaCrypt и других шифровальщиков

Для защиты от шифровальщика WannaCry и его будущих модификаций необходимо:

1. Отключить неиспользуемые сервисы, включая SMB v1.

• Выключить SMBv1 возможно используя PowerShell:
  Set-SmbServerConfiguration -EnableSMB1Protocol $false
• Через реестр:
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters, параметр SMB1 типа DWORD = 0
• Можно также удалить сам сервис, отвечающий за SMBv1 (да, за него лично отвечает отдельный от SMBv2-сервис):
  sc.exe config lanmanworkstation depend=bowser/mrxsmb20/nsi
  sc.exe config mrxsmb10 start=disabled

1. Закрыть с помощью брандмауэра неиспользуемые сетевые порты, включая порты 135, 137, 138, 139, 445 (порты SMB).

Рисунок 2. Пример блокировки 445 порта с помощью брандмауэра Windows

Рисунок 3. Пример блокировки 445 порта с помощью брандмауэра Windows

1. Ограничить с помощью антивируса или брандмауэра доступ приложений в интернет.

Рисунок 4. Пример ограничения доступа в интернет приложению с помощью брандмауэра Windows

В данной статье вы узнаете о том, что делать если ваш компьютер атаковал вирус Wanna Cry, а также какие действия предпринимать, чтобы не потерять свои файлы на жестком диске.

Вирус Wcrypt – это вымогатель, который блокирует все файлы на зараженных компьютерах или в сетях и требует выкуп в обмен на решение для восстановления данных.

Первые версии этого вируса появились в феврале 2017 года, и теперь он имеет различные имена, такие как WannaCry, Wcry, Wncry, WannaCryptor, WannaCrypt0r, WanaCrypt0r 2.0, Wana Decrypt0r, Wana Decrypt0r 2.0 или даже DarkoderCrypt0r.

Как только эта опасная программа пробирается в компьютерную систему, она криптует все данные, хранящиеся на ней за считанные секунды. Во время этой процедуры вирус может добавлять расширения файлов.Wcrypt в файлы, подверженные уязвимости.

Известно, что другие версии этого вируса добавляют расширения файлов.wcry или.wncry. Цель такой процедуры шифрования – сделать данные жертвы бесполезными и потребовать выкуп. Жертва может легко игнорировать инструмент вымогательства в случае, если у него есть резервная копия данных.

Однако в большинстве случаев компьютерные пользователи забывают своевременно создавать эти копии данных. В таком случае единственный способ восстановить зашифрованные файлы – это заплатить кибер-преступникам, однако мы настоятельно рекомендуем вам этого не делать.

Помните, что мошенничество обычно не проявляет интереса к взаимодействию с жертвой после получения выкупа, поскольку деньги – это все, что они ищут. Вместо этого мы предлагаем удалить вымогатель с помощью средств защиты от вредоносных программ, таких как Reimage или Plumbytes, в соответствии с руководством по удалению Wcrypt, которое мы предоставили ниже.

После шифрования всех файлов целевой системы вирус изменяет обои для рабочего стола с черным изображением с некоторым текстом, который говорит, что данные, хранящиеся на компьютере, были зашифрованы.

Изображение, аналогично последним версиям Cryptolocker, объясняет, как восстановить файл @WanaDecryptor.exe , если антивирусная программа помещает его в карантин. Затем вредоносная программа запускает сообщение для жертвы, в котором говорится: «Ой, ваши файлы были зашифрованы!» И предоставляет адрес кошелька биткойнов, цену выкупа (от 300 долларов США) и инструкции по покупке биткойнов. Вирус принимает выкуп только в криптовалюте биткойнов.

Однако, жертва должна заплатить его в течение трех дней с момента заражения. Вирус также обещает удалять все зашифрованные файлы, если жертва не заплатит за неделю. Поэтому мы предлагаем вам удалить Wcrypt как можно скорее, чтобы он не повредил файлы на вашем компьютере или ноутбуке.

Как происходит распространение вируса Wcrypt?

Wcrypt, которая также известна как WansCry ransomware, потрясла виртуальное сообщество 12 мая 2017 года. В этот день была проведена массовая кибератака против пользователей Microsoft Windows. Нападавшие использовали эксплойт EternalBlue для заражения компьютерных систем и захвата всех файлов жертвы.

Кроме того, сама выгода работает как работа, которая ищет подключенные компьютеры и реплицируется на них. Хотя на данный момент кажется, что вымогатель больше не атакует новых жертв (поскольку исследователь безопасности случайно остановил кибер-атаку), эксперты сообщают о том, что еще слишком рано радоваться.

Авторы вредоносного ПО могут скрывать еще один способ для распространения вируса, поэтому пользователи компьютеров должны принимать все возможные меры для защиты компьютера от такой кибер-атаки. Хотя мы обычно рекомендуем устанавливать программное обеспечение для защиты вашего ПК от вредоносных программ и регулярно обновлять все программы на нем.

Стоит заметить , что мы также, как и остальные рекомендуем создать копию ценных данных и перенести их на внешнее устройство хранения данных.

Как удалить вирус Wcrypt? Что делать, если на моем компьютере появился Wcrypt?

По причинам, упомянутым выше, вам необходимо как можно скорее удалить вирус Wcrypt. Хранить компьютер в системе небезопасно, так как он может быстро реплицировать на других компьютерах или портативных устройствах, если кто-то подключит их к взломанному ПК.

Самый безопасный способ завершить удаление Wcrypt – выполнить полную проверку системы с помощью антивирусного ПО. Чтобы запустить его, вы должны сначала подготовить компьютер. Следуйте этим инструкциям, чтобы полностью удалить вирус.

Способ 1. Удаление WCrypt в безопасном режиме с помощью сети

• Шаг 1. Перезагрузите компьютер в безопасном режиме с помощью сети.

Windows 7 / Vista / XP

1. Нажмите Пуск → Выключить → Перезапустить → OK .
2. Когда появится экран, начните нажимать F8 .
3. В списке выберите Безопасный режим с загрузкой сетевых драйверов.

Windows 10 / Windows 8

1. Shift «Перезагрузить».
2. Теперь выберите «Устранение неполадок» → «Дополнительные параметры» → «Настройки автозагрузки» и нажмите .
3. «Включить безопасный режим с загрузкой сетевых драйверов» в окне «Параметры загрузки».

• Шаг 2: Удалите WCrypt

Войдите в свою зараженную учетную запись и запустите браузер. Загрузите Reimage или другую законную антишпионскую программу. Обновите его перед полным сканированием системы и удалите вредоносные файлы.

Если WCrypt блокирует безопасный режим с загрузкой сетевых драйверов, попробуйте использовать другой метод.

Способ 2. Удаление WCrypt с помощью функции «Восстановление системы»

• Шаг 1. Перезагрузите компьютер в безопасном режиме с помощью командной строки.

Windows 7 / Vista / XP

1. Нажмите Пуск → Выключение → Перезагрузить → OK .
2. Когда ваш компьютер станет активным, начните нажимать F8 несколько раз, пока не увидите окно «Дополнительные параметры загрузки» .
3. Выберите «Безопасный режим с поддержкой командной строки» из списка.

Windows 10 / Windows 8

1. Нажмите кнопку питания на экране входа в Windows. Теперь нажмите и удерживайте Shift , который находится на вашей клавиатуре, и нажмите «Перезагрузить» .
2. Теперь выберите «Устранение неполадок» → «Дополнительные параметры» → «Настройки автозагрузки» и нажмите .
3. Когда ваш компьютер станет активным, выберите «Включить безопасный режим с поддержкой командной строки» в окне «Параметры загрузки».

• Шаг 2. Восстановите системные файлы и настройки.

1. Когда появится окно командной строки, введите cd restore и нажмите Enter.

2. Теперь введите rstrui.exe и снова нажмите Enter.

3. Когда появится новое окно, нажмите «Далее» и выберите точку восстановления, предшествующую инфильтрации WCrypt. После этого нажмите «Далее».

4. Теперь нажмите «Да» , чтобы продолжит процесс.

5. После этого нажмите на кнопку «Готово» , чтобы запустить восстановление системы.

• После восстановления системы до предыдущей даты загрузите и отсканируйте компьютер с помощью Reimage и убедитесь, что удаление WCrypt выполнено успешно.

Надеемся, что данная статья помогла вам решить проблему с вирусом WCrypt!

Видео: Вирус Wanna Cry продолжает заражать компьютерные системы по всему миру

«Лаборатория Касперского» о шифровальщике “WannaCry”

Специалисты «Лаборатории Касперского» проанализировали информацию о заражениях программой-шифровальщиком, получившей название “WannaCry”, с которыми 12 мая столкнулись компании по всему миру

Специалисты «Лаборатории Касперского» проанализировали информацию о заражениях программой-шифровальщиком, получившей название “WannaCry”, с которыми 12 мая столкнулись компании по всему миру. Как показал анализ, атака происходила через известную сетевую уязвимость Microsoft Security Bulletin MS17-010 . Затем на зараженную систему устанавливался руткит, используя который злоумышленники запускали программу-шифровальщик.

Все решения «Лаборатории Касперского» детектируют данный вредоносное ПО, которые использовались в этой атаке, следующими вердиктами:

• Trojan-Ransom.Win32.Scatter.uf
• Trojan-Ransom.Win32.Scatter.tr
• Trojan-Ransom.Win32.Fury.fr
• Trojan-Ransom.Win32.Gen.djd
• Trojan-Ransom.Win32.Wanna.b
• Trojan-Ransom.Win32.Wanna.c
• Trojan-Ransom.Win32.Wanna.d
• Trojan-Ransom.Win32.Wanna.f
• Trojan-Ransom.Win32.Zapchast.i
• Trojan.Win64.EquationDrug.gen
• Trojan.Win32.Generic (для детектирования данного зловреда компонент «Мониторинг Системы» должен быть включен)

За расшифровку данных злоумышленники требуют заплатить выкуп в размере 600 долларов США в криптовалюте Bitcoin. На данный момент «Лаборатория Касперского» зафиксировала порядка 45 000 попыток атак в 74 странах по всему миру. Наибольшее число попыток заражений наблюдается в России.

В случае если Ваши файлы оказались зашифрованы, категорически нельзя использовать предлагаемые в сети Интернет или полученные в электронных письмах средства расшифровки. Файлы зашифрованы криптостойким алгоритмом и не могут быть расшифрованы, а утилиты, загруженные вами, могут нанести еще больший вред как вашему компьютеру, так и компьютерам во всей организации, поскольку потенциально являются вредоносными и нацелены на новую волну эпидемии.

Если вы обнаружили, что ваш компьютер подвергся заражению, следует выключить его и обратиться в отдел информационной безопасности для получения последующих инструкций.

• Установить официальный патч от Microsoft , который закрывает используемую в атаке уязвимость (в частности уже доступны обновления для версий Windows XP и Windows 2003);
• Убедиться, что включены защитные решения на всех узлах сети;
• Если используется защитное решение «Лаборатории Касперского», убедиться, что его версия включает в себя компонент «Мониторинг Системы» и он включен;
• Запустить задачу сканирования критических областей в защитном решении «Лаборатории Касперского», чтобы обнаружить возможное заражение как можно раньше (в противном случае детектирование произойдет автоматически в течение 24 часов);
• После детектирования Trojan.Win64.EquationDrug.gen, произвести перезагрузку системы;
• В дальнейшим для предупреждения подобных инцидентов использовать сервисы информирования об угрозах, чтобы своевременно получать данные о наиболее опасных таргетированных атаках и возможных заражениях.

Более подробную информацию об атаках “WannaCry” можно найти в отчете «Лаборатории Касперского»

Wanna Cry прозвали вирусом-вымогателем, потому что он самовольно захватывает ваш компьютер, шифруя все данные на жёстком диске без вашего ведома. А за право получить доступ к вашей собственной информации требует выкуп в виде биткоинов. От этого виртуального террориста пострадали жители 74 стран. сайт выяснил, почему этот вирус так опасен и можно ли его победить.

Зашифруйте меня полностью

Wanna Cry имеет весьма нетипичную для вредоносных программ природу. Как рассказал сайт специалист по сетевой безопасности Илья Филимонов, это по сути никакой не вирус. Поэтому обычные способы защиты компьютеров вам тут не помогут.

"Это просто программа, которая шифрует данные, - объясняет Илья Филимонов. - Она запускается без ведома пользователя. В неё встроен алгоритм шифрования, который работает по 1024-битному ключу. Это последовательность знаков в ряд. Подобрать его нельзя, не зная ключа. Так что Wanna Cry - это не совсем вирус, а скорее, программа. И люди, которые её запустили, - это не хакеры. Это просто злоумышленники. Чтобы расшифровать ваши данные, вам нужно ввести первичный ключ. Этот ключ они и продают по сути".

Wanna Cry - довольно незамысловатое изобретение - чтобы его создать, не надо быть гением. А распознать эту программу практически невозможно.

"Люди, которые создали Wanna Cry, просто взяли коды в открытом доступе и просто скриптом, используя уязвимость системы Windows, запустили принудительное исполнение своей программы. Эта программа очень мало места занимает, её можно поместить в простой doc или pdf-файл. Например, вам придёт договор какой-нибудь с адреса, который вы знаете. И всё", - говорит Илья Филимонов.

Никаким антивирусом это не лечится

Если вы всё-таки поймали Wanna Cry, открыв самое обычное на вид письмо или зайдя на какой-либо сайт, то антивирусы вам, как говорят программисты, особо не помогут.

"Его невозможно отследить антивирусом, потому что внутри программы нет вирусного кода. Такой алгоритм используется спецслужбами. Даже эвристический анализатор в антивирусе его не распознает, потому что это класс программ, который, наоборот, защищает пользовательские данные. В крупных компаниях такие программы используют, чтобы защитить данные сотрудников. Никаким антивирусом это не лечится", - подытожил Илья Филимонов.

Как не заразиться

Единственное, что можно сделать, чтобы застраховать себя от Wanna Cry, - установить последнее обновление Microsoft MS17-010. Это патч, специально разработанный для таких случаев. Но это работает только если ваш Windows не пиратский.

"А если пиратский, то можно установить Acronis TrueImage, с ним в подарок идёт терабайт облачного хранения. Сделайте полный бэкап всех своих документов. Или просто запускаете TrueImage и через 15-20 минут ваш компьютер будет снова в первозданном виде", - советует Илья Филимонов.

Фото с сайта mozgokratia.ru

Касперский всё же может помочь

Специалисты "Лаборатории Касперского" в ответ на заявления о бесполезности антивирусных программ в борьбе с Wanna Cry, говорят, что это не совсем верно. Новые версии антивирусных программ уже умеют блокировать программы-шифровальщики.

"Все решения "Лаборатории Касперского" блокируют работу и данного руткита, и программ-шифровальщиков со следующими вердиктами: Trojan.Win64.EquationDrug.ge; Tr,ojan-Ransom.Win32.Scatter.uf; Trojan-Ransom.Win32.Fury.fr; PDM:Trojan.Win32.Generic, - объясняет руководитель российского исследовательского центра "Лаборатории Касперского" Юрий Наместников. - Но для детектирования данного зловредного компонента "Мониторинг системы" должен быть включён".

Однако Илья Филимонов скептически относится к словам представителей "Лаборатории Касперского", говоря, что обновление антивирусной программы появилось постфактум, когда мир уже был заражён Wanna Cry.

"Ранее их программа не блокировала шифровальщик, - говорит Илья Филимонов. - А теперь она блокирует его запуск на шифрование, но не удаляет и не лечит. Потому что лечить нечего".

Атака остановлена временно

Если же вирус уже в вашем компьютере и появилось зловещее сообщение с требованием выкупа, то вы мало что можете с этим поделать. Однако сразу паниковать не стоит. Специалисты говорят, что часть данных вы можете спасти, так как Wanna Сry шифрует их не одномоментно, а постепенно. Так что вы успеете срочно эвакуировать важную для вас информацию.

Как говорит программист Юрий Ямпольский, платить запрашиваемые биткоины не следует ни при каких условиях. Потому что ключа к зашифрованным данным вы всё равно не получите. Во всяком случае таких прецедентов еще не было.

"Главное - никому ничего не платить, - уточнил Юрий Ямпольский. - Потому что вы заплатите, но расшифровать вам всё равно ничего не дадут. Сейчас атака остановилась. Британский программист, как известно, случайно его остановил. Он проследил, по какому адресу обращается вирус, и зарегистрировал по нему домен. Так его отследили. Но, скорее всего, атака скоро опять начнётся. Сейчас хакеров остановили, зафиксировав их домен. Но как только хакеры изменят код вируса, они могут снова начать атаку".

Чтобы снова получить доступ к своим данным, вам придётся дождаться, когда антивирусные компании обнаружат алгоритм, по которому формируется ключ к зашифрованным данным, и опубликуют его. Но это тоже не гарантирует помощь - ключ может меняться по истечении времени.

Получается, что Wanna Cry - фактически непобедим. И лучший способ сохранить свои данные - не подхватывать его.