Losprysware veroorsaak die afgelope paar jaar groot ontwrigtings.
'n Onlangs uitgelekde storting van die NSA EternalBlue-aanval word deur kubermisdadigers gebruik om WannaCry-ransomware wêreldwyd te versprei. Die storting van die MS-17-010 Windows OS-kwesbaarheid is op 14 April 2017 deur die berugte Shadow Broker-groep openbaar gemaak. Hierdie kwesbaarheid raak die meeste van die rekenaar- en bedienerweergawes van Microsoft Windows, en Microsoft het in Maart 2017 'n pleister daarvoor vrygestel. Stelsels wat nie hierdie pleister toegepas het nie, word egter geraak deur die WannaCry-ransomware, wat wurmagtige gedrag gebruik om kwesbare stelsels op die netwerk te beïnvloed.
WannaCry skep wêreldwyd chaos
Hierdie losprysware het reeds hoëprofielorganisasies in Spanje, die VK, China en ander lande, insluitend Indië, geraak. Hierdie organisasies sluit in klinieke en hospitale in die VK, telekommunikasie-, gas-, elektrisiteits- en ander nutsverskaffers. Baie universiteite in China is ook geteiken.
In Quick Heal Security Labs is tot dusver meer as 3000 WannaCry-ransomware-aanvalle opgespoor, waarvan ongeveer 2450 uit Indië kom. Quick Heal en Seqrite het hierdie gevalle van aanvalle teen kompromie en data-enkripsie suksesvol verdedig.
Hoe werk WannaCry-ransomware?
Aanval word uitgevoer wanneer stelsels aan 'n netwerk gekoppel is met behulp van SMB-dienste. Hierdie dienste word aangeval en uitgebuit deur die "EternalBlue"-aanval, wat WannaCry Ransomware plant en die lêerenkripsie veroorsaak na suksesvolle uitvoering. Wanneer lêers geïnkripteer word, voeg dit die ".WNCRY"-uitbreiding by alle geïnkripteerde lêers.
Beeld 1: WannaCry Ransomware Geënkripteerde lêers
Na suksesvolle ontginning word die volgende lêers by die stelsel gevoeg:
- C:\ProgramData\ \@WanaDecryptor@.exe
- C:\ProgramData\ \tasksche.exe
- C:\ProgramData\ \taskdl.exe
- C:\ProgramData\ \taskse.exe
WannaCry voeg die volgende kwaadwillige registerinskrywings by om persistentie in die stelsel te skep, sodat dit die infeksie kan begin na elke herbegin van die stelsel:
- [HKEY_LOCAL_MACHINE\SAGTWARE\Microsoft\Windows\Huidige Weergawe\Run]
- “xwjfzbtm432″="\"C:\\ProgramData\\ \\tasksche.exe\"
Na suksesvolle enkripsie word die volgende waarskuwingsboodskap vertoon met instruksies om die lêers te herstel. Die aftel-timer word vertoon om paniek te skep sodat die slagoffer die geëisde losprys betaal. Andersins dreig dit dat alle geïnkripteerde data uitgevee sal word. WannaCry wys 'n ransomware-waarskuwingsboodskap in die taal van die huidige streek.
Beeld 2: WannaCry-loswarewaarskuwingsboodskap
Hoe Seqrite Beskerm Endpoint Security teen WannaCry Ransomware?
Seqrite Virusbeskerming bespeur en maak suksesvol kwaadwillige lêers wat verantwoordelik is vir lêerenkripsie as "TrojanRansom.Wanna" skoon.
Beeld 3: Seqrite Waarskuwingsboodskap vir virusbeskerming
Seqrite Gevorderde Gedragsopsporingstelsel bespeur hierdie ransomware-aktiwiteit proaktief en suksesvol op grond van die gedrag daarvan. Die gebruiker moet in hierdie situasie op die BLOK-knoppie klik om die enkripsie-aktiwiteit te stop.
Beeld 4: Seqrite Gevorderde gedragsgebaseerde opsporingsprompt
Seqrite Anti-ransomware tegnologie bespeur ook suksesvol lêerenkripsie-aktiwiteit van WannaCry Ransomware:
Beeld 5: Seqrite Anti-losprysware bespeur enkripsie-aktiwiteit
Aanbevelings om ransomware-aanvalle te verminder:
Quick Heal Security Labs beveel sterk aan dat die volgende maatreëls getref word om die risiko van infeksie deur WannaCry Ransomware te verminder:
- Pas 'n pleister toe vir kwesbaarhede wat deur hierdie ransomware van Microsoft gebruik word
- Maak gereelde rugsteun van jou belangrike data en kontroleer die rugsteunherstelproses gereeld om seker te maak dat lêers behoorlik herstel word.
- Maak seker dat sekuriteitsoplossings op alle nodusse van die netwerk aangeskakel is.
- Hou geïnstalleerde sekuriteitsagteware altyd op datum met die nuutste handtekeningopdaterings.
- Voer 'n volledige stelselskandering uit met behulp van geïnstalleerde sekuriteitsagteware.
- Vermy die klik op skakels en die oopmaak van aanhangsels in e-posse van onbekende en verdagte bronne.
Erkenning:
Onderwerpkundiges –
Prashil Moon en Dipali Zure
Quick Heal Sekuriteitslaboratoriums
