Britský mladík „omylem“ zastavil řádění viru. Stačilo koupit doménu

  9:00aktualizováno  9:00
Dvaadvacetiletý britský bezpečnostní expert z MalwareTech.com zkoumal chování masivně se šířícího vyděračského viru WannaCry. Při pokusu poznat blíže způsob, jakým se virus šíří, expert jeho šíření mimoděk zastavil, respektive výrazně zpomalil. Na svém blogu nyní popsal okolnosti tohoto zásahu, který byl až překvapivě prostý.

Britský hacker „omylem“ zastavil masivní šíření ransomware WannaCry | foto: montáž: Pavel Kasík - Technet.czProfimedia.cz

Největší útok ransomware jménem WannaCry zasáhl počítače a počítačové sítě po celém světě v noci z pátku na sobotu. Vyděračský software napadl počítačové systémy ve stovce zemí. V Británii například ochromil národní zdravotní službu NHS, ve Španělsku zase napadl počítače operátora Telefónica (více v páteční zprávě).

Ransomware WannaCry se rapidně šířil po světě

Zpráva vyděračského viru WannaCry, která vyžaduje platbu.

Zpráva vyděračského viru WannaCry, který zašifruje disk a pak požaduje platbu

Britský bezpečnostní expert, který na webu vystupuje pod pseudonymem MalwareTech a podle The Telegraph se jmenuje Marcus Hutchins, provozuje web sledující šíření vybraných malware v reálném čase. Už v pátek odpoledne si tedy všiml, že se děje něco neobvyklého. „Když jsem se vrátil z oběda, na bezpečnostním fóru byla záplava zpráv o napadení různých systémů britské zdravotnické služby NHS. To samo o sobě není až tak překvapivé, ale bylo zajímavé, že se virus tak rychle šířil napříč celou zemí,“ vzpomíná na svém blogu MalwareTech.

S pomocí spřáteleného výzkumníka se mu podařilo získat funkční vzorek viru, který se šířil po počítačích v Británii, Rusku, Indii a dalších desítkách zemí včetně ČR.

Na vyděračském viru WannaCry je neobvyklé, že se po napadení počítače sám pokouší šířit v lokální síti, a to pomocí komunikace SMB na portu 445.

12.května 2017 v 17:32, příspěvek archivován: 14.května 2017 v 00:10

Sample I found scans SMB after dropping WannaCrypt. Can anyone confirm it's the same thing? P2P spreading ransomware would be significant. https://t.co/zs5Td4ovvL

Právě toto agresivní šíření, pravděpodobně využívající zranitelnost v systému Windows (více v našem předchozím článku) zřejmě stojí za rychlostí, s jakou se ransomware WannaCry rozšířil do světa.

Nákup složité domény za pár babek

„Když jsem si ve vzorku všiml, že vir se dovolává domény, která není zaregistrovaná, okamžitě jsem ji zaregistroval,“ píše MalwareTech. Šlo podle všeho o doménu iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com (whois), která byla registrována v pátek ve tři hodiny odpoledne.

Stálo jej to prý 10,69 dolarů, tedy asi 260 korun. Doménu přesměroval na „sinkhole“ server v Los Angeles, a sledoval požadavky, které na doménu chodily, aby tak získal více informací o tomto ransomware. „Hned bylo vidět pět nebo šest tisíc požadavků za sekundu,“ uvedl expert pro DailyBeast.

„Nákup domény pro mě není nic neobvyklého, nebylo to unáhlené rozhodnutí,“ upřesňuje MalwareTech. „Ročně takových domén koupím tisíce. Obvykle najdu neregistrovanou doménu, se kterou botnet zkouší komunikovat. Za prvé ji přesměruji na server (sinkhole) a za druhé se pak snažím z příchozí komunikace získat data o fungování daného malware. Konečně za třetí zkusím zjistit, jestli jsou v kódu malware nějaké zranitelnosti, kterých bych mohl využít. V případě WannaCry se ukázalo, že všechny tři kroky proběhly zároveň, aniž jsem to v tu chvíli tušil.“

„Přiznávám, že když jsem si doménu registroval, netušil jsem, že právě tato registrace zastaví šíření tohoto malware,“ vysvětlil na Twitteru MalwareTech. „Zpočátku šlo tedy o náhodu.“

13.května 2017 v 02:20, příspěvek archivován: 13.května 2017 v 19:00

I will confess that I was unaware registering the domain would stop the malware until after i registered it, so initially it was accidental.

O chvíli později se přestal malware šířit. Mladý vývojář si lámal hlavu, proč. Povedlo se mu alespoň zmapovat, odkud chodí na server požadavky.

Záznam mapy požadavků od počítačů napadených WannaCry:

Proč to nefunguje? V kódu byla „pojistka“

Trvalo několik hodin, než MalwareTech odhalil, co se stalo. Pomohl mu v tom Darien Huss, výzkumník z ProofPoint, který na základě analýzy kódu odvodil, že ransomware se odmítá šířit po lokální síti, pokud doména (nyní koupená MalwareTech) existuje.

12.května 2017 v 19:29, příspěvek archivován: 14.května 2017 v 00:15

#WannaCry propagation payload contains previously unregistered domain, execution fails now that domain has been sinkholed https://t.co/z2ClEnZAD2

Britský výzkumník si tuto tezi otestoval. „Když jsem změnil soubor hosts na serveru tak, aby se doména tvářila, jako že se nelze připojit, najednou se ransomware zase šířil dále,“ popisuje. „Asi si nedokážete představit, že jsem skákal radostí kolem stolu, když jsem zjistil, že ransomware funguje, ale bylo to tak. Znamenalo to, že jsme zabránili dalšímu rozšíření tohoto ransomware. Registrací domény jsme zabránili tomu, aby došlo k vybrakování dalších počítačů.“

Proč vůbec ransomware takovouto „pojistku“ v podobě kontrolování existence neexistující domény obsahoval? Mohlo jít o tzv. „kill-switch“, tedy centralizovanou destrukci viru pro případ, že by jej útočníci z nějakého důvodu chtěli zastavit.

Mapa útoků ransomwaru Wcrypt zaznamenaných společností MalwareTech.com

Mapa útoků ransomwaru Wcrypt zaznamenaných na mapě MalwareTech.com

MalwareTech se ale domnívá, že je vysvětlení trochu složitější: „Podle mého to byl nedomyšlený pokus zabránit výzkumníkům v analýze funkce tohoto ransomware. Některé sandboxy (virtuální prostředí simulující reálnou síť) by se totiž tvářily, jako že je tato neexistující doména registrovaná, a tím pádem by výzkumník nemohl snadno analyzovat funkci malware.“ Podobnou techniku (ovšem s kontrolou více domén) používá například trojský kůň Necurs.

Protože ale WannaCry kontrolovalo jen existenci té jedné domény, jakmile si ji někdo zaregistroval, všude po světě se ransomware WannaCry zastavil. Deník Guardian označil Hutchinse za „náhodného hrdinu“, ovšem příběh také ukazuje, že štěstí přeje připraveným.

Bezpečnostní odborníci ale varují, že nemusí jít o konec tohoto ransomware. „Jde o krátkodobé řešení,“ domnívá se bezpečností expert Matt Tait z Capital Alpha Security. „Už teď jsme zaznamenali modifikované verze tohoto viru.“

S tím souhlasí i „náhodný hrdina“ tohoto příběhu, MalwareTech. „Naše registrovaná doména zastaví jen tuto verzi ransomware, a tvůrcům nic nebrání v tom, aby tuto část viru změnili nebo odstranili a útok spustili znovu.“ Proto je důležité, aby měli uživatelé pečlivě zálohovaná svá data a vždy aktuální a zabezpečený operační systém.

Aktualizace: Do článku jsme doplnili citaci týkající se „náhodnosti“ objevu. Dnes (v pondělí 15. května) jsme také doplnili do článku údajné jméno maldého Brita, který byl do té doby znám pouze jako MalwareTech.

Autor:
 

Nejčtenější

Živého kytaristu už dnes na popové desce neuslyšíte, říká věhlasný zvukař

Allen Sides v pražském poslechovém studiu VOIX

Pracoval na skoro tisícovce alb, postavil osmnáct nahrávacích studií a jeho reprosoustavy hrají i ve studiích George...

Nekupujte náš nový Office 2019, prosí Microsoft. Ukazuje to na dvojčatech

Kampaň Microsoftu s dvojčaty ukazuje rozdíl mezi Office 2019 a Office 365....

Microsoft vytvořil sérii videí, ve kterých ukazuje nevýhody nového produktu. Poněkud překvapivé je, že je to jejich...

Jednosměrná letenka na rudou planetu se odkládá. Mars One krachuje

Ilustrace základny na Marsu, jak si ji představují v organizaci Mars One...

Firma Mars One, která slibovala soukromý let na Mars už v roce 2024, zkrachovala. Plány dostat na Mars lidské obyvatele...

Poslední Hitlerovy narozeniny nestály za nic. Supertanků se nedočkal

3D model stíhače tanků Jagdpanther, přezbrojeného na kanón ráže 128 mm tak, jak...

Na podzim 1944 se třetí říše hroutí a německé zbrojovky se snaží o nemožné. Hledají recept na zázračné zbraně,...

Tančík pro vnuka poručíka Grubera. Němci ho nasadili i proti Tálibánu

Lehké obrněné vozidlo Wiesel s 20mm kanonem

V množině bojových vozidel Bundeswehru nalezneme s trochou štěstí i malé, ale o to více zajímavé tančíky Wiesel. Do...

Další z rubriky

Tipy na zajímavé weby: vyzkoušejte Office nebo Photoshop v prohlížeči

Ilustrační foto - cloud

Už není zcela nutné vyzvedávat e-mail v aplikaci, psát dokumenty, vytvářet tabulky v programu instalovaném v PC. Řadu...

YouTube ztíží použití tlačítka dislike, aby se nezneužívalo

YouTube

YouTube vyzkouší, jak omezit vliv uživatelů, kteří se vyžívají v klikání na tlačítko s palcem dolů.

Unikla hesla rekordních 773 milionů uživatelů. Najdete tam to svoje?

Není heslo jako heslo. Či spíše heslo jako heslo vlastně ani není heslo.

Více než miliarda unikátních kombinací e-mailu a hesla unikla na web v zatím rekordní databázi přístupových údajů....

ČPZP se stará o zdraví a pohodu nastávajících maminek i jejich dětí
ČPZP se stará o zdraví a pohodu nastávajících maminek i jejich dětí

Začátek nového života přináší do rodiny spoustu radosti, ale i starostí. Doprovází ho obavy o zdraví, změna režimu a zařizování nezbytné výbavičky pro miminko. Pomoc přichází z nejrůznějších stran. Od rodiny, přátel. Víte ale, že Česká průmyslová zdravotní pojišťovna nabízí maminkám až 3 000 Kč?

Najdete na iDNES.cz