Čtvrtek 6. října 2022, svátek má Hanuš
  • schránka
  • Přihlásit Můj účet
  • Čtvrtek 6. října 2022 Hanuš

Britský mladík „omylem“ zastavil řádění viru. Stačilo koupit doménu

  9:00
Dvaadvacetiletý britský bezpečnostní expert z MalwareTech.com zkoumal chování masivně se šířícího vyděračského viru WannaCry. Při pokusu poznat blíže způsob, jakým se virus šíří, expert jeho šíření mimoděk zastavil, respektive výrazně zpomalil. Na svém blogu nyní popsal okolnosti tohoto zásahu, který byl až překvapivě prostý.

Britský hacker „omylem“ zastavil masivní šíření ransomware WannaCry | foto: montáž: Pavel Kasík - Technet.czProfimedia.cz

Největší útok ransomware jménem WannaCry zasáhl počítače a počítačové sítě po celém světě v noci z pátku na sobotu. Vyděračský software napadl počítačové systémy ve stovce zemí. V Británii například ochromil národní zdravotní službu NHS, ve Španělsku zase napadl počítače operátora Telefónica (více v páteční zprávě).

Ransomware WannaCry se rapidně šířil po světě

Zpráva vyděračského viru WannaCry, který zašifruje disk a pak požaduje platbu

Britský bezpečnostní expert, který na webu vystupuje pod pseudonymem MalwareTech a podle The Telegraph se jmenuje Marcus Hutchins, provozuje web sledující šíření vybraných malware v reálném čase. Už v pátek odpoledne si tedy všiml, že se děje něco neobvyklého. „Když jsem se vrátil z oběda, na bezpečnostním fóru byla záplava zpráv o napadení různých systémů britské zdravotnické služby NHS. To samo o sobě není až tak překvapivé, ale bylo zajímavé, že se virus tak rychle šířil napříč celou zemí,“ vzpomíná na svém blogu MalwareTech.

S pomocí spřáteleného výzkumníka se mu podařilo získat funkční vzorek viru, který se šířil po počítačích v Británii, Rusku, Indii a dalších desítkách zemí včetně ČR.

Na vyděračském viru WannaCry je neobvyklé, že se po napadení počítače sám pokouší šířit v lokální síti, a to pomocí komunikace SMB na portu 445.

12.května 2017 v 17:32, příspěvek archivován: 14.května 2017 v 00:10

Sample I found scans SMB after dropping WannaCrypt. Can anyone confirm it's the same thing? P2P spreading ransomware would be significant. https://t.co/zs5Td4ovvL

Právě toto agresivní šíření, pravděpodobně využívající zranitelnost v systému Windows (více v našem předchozím článku) zřejmě stojí za rychlostí, s jakou se ransomware WannaCry rozšířil do světa.

Nákup složité domény za pár babek

„Když jsem si ve vzorku všiml, že vir se dovolává domény, která není zaregistrovaná, okamžitě jsem ji zaregistroval,“ píše MalwareTech. Šlo podle všeho o doménu iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com (whois), která byla registrována v pátek ve tři hodiny odpoledne.

Stálo jej to prý 10,69 dolarů, tedy asi 260 korun. Doménu přesměroval na „sinkhole“ server v Los Angeles, a sledoval požadavky, které na doménu chodily, aby tak získal více informací o tomto ransomware. „Hned bylo vidět pět nebo šest tisíc požadavků za sekundu,“ uvedl expert pro DailyBeast.

„Nákup domény pro mě není nic neobvyklého, nebylo to unáhlené rozhodnutí,“ upřesňuje MalwareTech. „Ročně takových domén koupím tisíce. Obvykle najdu neregistrovanou doménu, se kterou botnet zkouší komunikovat. Za prvé ji přesměruji na server (sinkhole) a za druhé se pak snažím z příchozí komunikace získat data o fungování daného malware. Konečně za třetí zkusím zjistit, jestli jsou v kódu malware nějaké zranitelnosti, kterých bych mohl využít. V případě WannaCry se ukázalo, že všechny tři kroky proběhly zároveň, aniž jsem to v tu chvíli tušil.“

„Přiznávám, že když jsem si doménu registroval, netušil jsem, že právě tato registrace zastaví šíření tohoto malware,“ vysvětlil na Twitteru MalwareTech. „Zpočátku šlo tedy o náhodu.“

13.května 2017 v 02:20, příspěvek archivován: 13.května 2017 v 19:00

I will confess that I was unaware registering the domain would stop the malware until after i registered it, so initially it was accidental.

O chvíli později se přestal malware šířit. Mladý vývojář si lámal hlavu, proč. Povedlo se mu alespoň zmapovat, odkud chodí na server požadavky.

Záznam mapy požadavků od počítačů napadených WannaCry:

Proč to nefunguje? V kódu byla „pojistka“

Trvalo několik hodin, než MalwareTech odhalil, co se stalo. Pomohl mu v tom Darien Huss, výzkumník z ProofPoint, který na základě analýzy kódu odvodil, že ransomware se odmítá šířit po lokální síti, pokud doména (nyní koupená MalwareTech) existuje.

12.května 2017 v 19:29, příspěvek archivován: 14.května 2017 v 00:15

#WannaCry propagation payload contains previously unregistered domain, execution fails now that domain has been sinkholed https://t.co/z2ClEnZAD2

Britský výzkumník si tuto tezi otestoval. „Když jsem změnil soubor hosts na serveru tak, aby se doména tvářila, jako že se nelze připojit, najednou se ransomware zase šířil dále,“ popisuje. „Asi si nedokážete představit, že jsem skákal radostí kolem stolu, když jsem zjistil, že ransomware funguje, ale bylo to tak. Znamenalo to, že jsme zabránili dalšímu rozšíření tohoto ransomware. Registrací domény jsme zabránili tomu, aby došlo k vybrakování dalších počítačů.“

Proč vůbec ransomware takovouto „pojistku“ v podobě kontrolování existence neexistující domény obsahoval? Mohlo jít o tzv. „kill-switch“, tedy centralizovanou destrukci viru pro případ, že by jej útočníci z nějakého důvodu chtěli zastavit.

Mapa útoků ransomwaru Wcrypt zaznamenaných na mapě MalwareTech.com

MalwareTech se ale domnívá, že je vysvětlení trochu složitější: „Podle mého to byl nedomyšlený pokus zabránit výzkumníkům v analýze funkce tohoto ransomware. Některé sandboxy (virtuální prostředí simulující reálnou síť) by se totiž tvářily, jako že je tato neexistující doména registrovaná, a tím pádem by výzkumník nemohl snadno analyzovat funkci malware.“ Podobnou techniku (ovšem s kontrolou více domén) používá například trojský kůň Necurs.

Protože ale WannaCry kontrolovalo jen existenci té jedné domény, jakmile si ji někdo zaregistroval, všude po světě se ransomware WannaCry zastavil. Deník Guardian označil Hutchinse za „náhodného hrdinu“, ovšem příběh také ukazuje, že štěstí přeje připraveným.

Bezpečnostní odborníci ale varují, že nemusí jít o konec tohoto ransomware. „Jde o krátkodobé řešení,“ domnívá se bezpečností expert Matt Tait z Capital Alpha Security. „Už teď jsme zaznamenali modifikované verze tohoto viru.“

S tím souhlasí i „náhodný hrdina“ tohoto příběhu, MalwareTech. „Naše registrovaná doména zastaví jen tuto verzi ransomware, a tvůrcům nic nebrání v tom, aby tuto část viru změnili nebo odstranili a útok spustili znovu.“ Proto je důležité, aby měli uživatelé pečlivě zálohovaná svá data a vždy aktuální a zabezpečený operační systém.

Aktualizace: Do článku jsme doplnili citaci týkající se „náhodnosti“ objevu. Dnes (v pondělí 15. května) jsme také doplnili do článku údajné jméno maldého Brita, který byl do té doby znám pouze jako MalwareTech.

Autor:
  • Nejčtenější

ANALÝZA: Jak se bude dál vyvíjet válka na Ukrajině?

S tím, jak postupuje čas, se pomalu obnažují důvody účastníků války, pro které do ní šli. Zároveň již odpadly některé...

Proti invazi bojují i české tanky. Máme jen málo munice, říká ukrajinský tankista

Premium Česká republika byla jednou z prvních zemí, které poskytly bojující Ukrajině těžké zbraně, včetně bojových tanků T-72....

{NADPIS reklamního článku dlouhý přes dva řádky}

{POPISEK reklamního článku, také dlouhý přes dva a možná dokonce až tři řádky, končící na tři tečky...}

Nejblíž za 22 let. Vysloužilá sonda pořídila snímky Jupiterova měsíce Europa

Pět let letěla sonda Juno k Jupiteru, aby v roce 2016 u něj začala svou práci. Přestože již má své původní úkoly dávno...

Chcete YouTube ve vysokém rozlišení? Zaplaťte. Uživatelé zuří

Server YouTube začal testovat novou funkci, která však pobouřila diváky. Je totiž možné, že v budoucnu bude nutné za 4K...

{NADPIS reklamního článku dlouhý přes dva řádky}

{POPISEK reklamního článku, také dlouhý přes dva a možná dokonce až tři řádky, končící na tři tečky...}

Windows 11 dostal balíček vylepšení. Novinky vás mohou nalákat na upgrade

Systém Windows 11 slaví svůj první rok na trhu. Týden před jeho narozeninami vydala společnost Microsoft první velkou...

ANALÝZA: Co udělají USA, když Rusko použije atomovou bombu? Jsou tři možnosti

Premium Pořád se věští z koule, jestli Rusko použije na Ukrajině atomovku, kreslí se různé scénáře, ale vůbec se neví, co by...

Jak přestat chrápat. Pomoct může i tenisový míček, říká primář Jirák

Premium Chrápání postihuje zhruba 57 procent mužů a 40 procent žen. Kdy může být chrápání signálem vážného problému? A co to je...

Mužské sny. Po čem muži doopravdy touží a co si radši nechají ujít

Premium My ženy si ve svých hlavách dokážeme utvořit dokonalé scénáře a domněnky, které jsou ovšem mnohdy vzdálené realitě....

Nejlepší cloudová úložiště nabízí až 20 GB zdarma a pokročilé šifrování

Premium Pokud hledáte bezplatné osobní cloudové úložiště, máte na výběr z řady skvělých možností. Spousta z nich vám umožní...

Twitter testuje funkci, kterou si přál Elon Musk

Sociální síť Twitter zapnula některým uživatelům funkci, která jim umožní, aby zpětně upravili svůj příspěvek. Přesně...

Královská rodina zveřejnila zprávu o úmrtí nejdříve na Twitteru

Hned po informování úřadující britské premiérky se zprávu o úmrtí královny Alžběty II. dozvěděla i veřejnost, a to...

Trendy forma videí dobyla Instagram. Může za to tlak konkurence

Sociální síť Instagram se chystá na zásadní změnu. Klasická videa totiž vystřídá modernější formát Reels. Více se tím...

Mary Kay je 25 let na trhu! Vyhrajte a oslavte to společně s námi
Mary Kay je 25 let na trhu! Vyhrajte a oslavte to společně s námi

Mary Kay slaví 25. výročí na českém a slovenském trhu. To už je pořádný důvod k oslavě a při té příležitosti jsme si pro Vás připravili soutěž o...

Nejtěžší bylo Hance v jejích posledních dnech lhát, říká Margita o Zagorové

Je to pět týdnů, co odešla zpěvačka Hana Zagorová (†75), se kterou žil její muž Štefan Margita (66) třicet let. Pěvec...

Z odebrání titulu jsem šokovaný a smutný, říká dánský princ Nikolai

Dánská královna Margrethe II. (82) se tento týden rozhodla odebrat tituly všem potomkům svého druhorozeného syna, kteří...

Rus streamoval plynový hořák, aby se vysmál Evropanům. Twitch zasáhl

Zatímco se Evropané kvůli nedostatku plynu připravují na tuhou zimu, Rusové je provokují tím, že na internet vysílají...

Značka Lindt má ochranu, soud nařídil Lidlu zničit zásoby čokoládových zajíčků

Čokoládoví zajíčci od společnosti Lindt & Sprüngli si zaslouží ochranu před napodobeninami. Rozhodl o tom ve čtvrtek...

Po malých institucích také ČSOB. Banky začínají nabízet úroky podobné ČNB

Na předchozí zvyšování úrokových sazeb České národní banky (ČNB) začínají výrazněji reagovat zvyšováním úročení vkladů...