WannaCry: пять фактов о провальном вымогателе
В мае 2017 года WannaCry за 72 часа поразил 300 000 компьютеров в 150 странах и остановил работу трети больниц NHS в Великобритании — но собрал с жертв меньше 100 000 долларов. Разбираем, что пошло не так у атакующих и что это значит для бизнеса сегодня.
Мало какая кибератака так ярко показывает разницу между «разрушительно» и
«прибыльно», как WannaCry. За три дня в мае 2017 года вымогатель заразил около
300 000 компьютеров в 150 странах — от Boeing и FedEx до национальной службы
здравоохранения Великобритании — но заработал на этом меньше 100 000 долларов.
Вот пять фактов, которые объясняют, почему одна из самых заметных атак в истории
интернета оказалась финансовым провалом для своих создателей.
## 1. Взлом стал возможен из-за одной непропатченной уязвимости Windows
WannaCry распространялся через EternalBlue — инструмент, изначально разработанный
Агентством национальной безопасности США для эксплуатации уязвимости в протоколе
SMB (Server Message Block), который отвечает за общий доступ к файлам в сети. В
апреле 2017 года, за месяц до атаки, группа Shadow Brokers украла EternalBlue у
АНБ и опубликовала эксплойт в открытом доступе. Microsoft оперативно выпустила
патч для Windows 7 и 10 — но, как это обычно бывает, далеко не все организации
успели или смогли его установить. Компьютеры на Windows XP, для которой патч
поначалу не выпускали вовсе, остались уязвимы по умолчанию.
## 2. Больше всего пострадало здравоохранение
Показательный пример — Национальная служба здравоохранения Великобритании (NHS),
которая на момент атаки использовала неподдерживаемую 16-летнюю Windows XP и
непропатченную Windows 7. Треть больниц NHS в Великобритании и Шотландии встала
на несколько дней, было отменено около 19 000 приёмов и плановых операций.
Ущерб для NHS и налогоплательщиков Великобритании оценили минимум в 92 миллиона
фунтов (около 128 миллионов долларов). В заражённых больницах число плановых
госпитализаций упало на 9%, экстренных — на 4%, суммарно поток пациентов
сократился на 6% в день на каждую пострадавшую больницу.
## 3. Вымогатели заработали меньше 100 000 долларов на 300 000 заражений
Атакующие требовали от 300 до 600 долларов в биткоинах под угрозой уничтожения
файлов через три дня. Крупные организации — как раз те, у кого чаще всего были
непропатченные системы, включая NHS, — обычно располагали резервными копиями и
просто отказывались платить, восстанавливая данные из бэкапа и закрывая
уязвимость. Малый и средний бизнес платил охотнее, опасаясь потерять данные
безвозвратно. Итог по всей атаке — около 200 платежей на сумму меньше 100 000
долларов при 300 000 заражённых машин. Хуже того: в коде WannaCry не было
механизма, который связывал бы платёж с конкретной жертвой, — то есть оплата
не гарантировала расшифровку файлов вообще никому.
## 4. Атаку остановила случайность, а не защита жертв
Анонимный на тот момент исследователь под псевдонимом MalwareTech (позже
раскрытый как Маркус Хатчинс) заметил, что WannaCry перед распространением
обращается к одному и тому же бессмысленному на вид домену. Из любопытства он
зарегистрировал этот домен — и тем самым случайно активировал встроенный в
вредонос killswitch, механизм аварийной остановки. Инвестиция в 10,69 доллара
на регистрацию домена резко замедлила распространение WannaCry по всему миру.
Есть версия, что killswitch изначально был предусмотрен создателями как способ
самим остановить атаку, если она выйдет из-под контроля.
## 5. Сегодня WannaCry почти не опасен — но урок актуален
Патчи Microsoft закрыли эксплуатируемую EternalBlue уязвимость, а
исследователи разработали способы расшифровки файлов без выплаты выкупа —
при условии, что заражённый компьютер не перезагружали. В августе 2018 года
всплыл вариант WannaCry, заразивший около 10 000 машин на заводах Taiwan
Semiconductor Manufacturing Company (TSMC) и остановивший несколько
производственных линий, — но и там утечки данных не произошло. Атаку связывают
с группировкой Lazarus Group и, соответственно, с северокорейскими
государственными кибероперациями — эту атрибуцию впоследствии подтвердили
исследователи Google, «Лаборатории Касперского», Symantec и других компаний.
Современные операторы шифровальщиков учли ошибки WannaCry: они не полагаются
на один патчащийся эксплойт, умеют распространяться самостоятельно внутри сети
и привязывают оплату к конкретной жертве, чтобы вымогательство действительно
работало как бизнес-модель.
## Что это значит для бизнеса в Узбекистане
История WannaCry — это в первую очередь история про непропатченные системы и
отсутствие видимости происходящего на конечных точках. Именно поэтому
[современная защита рабочих мест с EDR](/services/vulnerability) закрывает то, чего не было ни
у одной пострадавшей больницы NHS: управление уязвимостями и патч-менеджмент в
единой консоли, поведенческий анализ, который замечает подозрительную
активность до шифрования файлов, и защиту от эксплойтов на уровне сети. Разбор
конкретно вашей инфраструктуры и того, где может быть похожая «дыра», —
[запросите демо](/contact), это займёт 15 минут.