Čtvrtek 30. června 2022, svátek má Šárka
  • schránka
  • Přihlásit Můj účet
  • Čtvrtek 30. června 2022 Šárka

Vyděračský WannaCry se podobá severokorejskému viru, důkaz zatím není

  17:05
Stopy vyděračského viru WannaCry možná vedou do komunistické Severní Koreje. Uvedly to v pondělí společnosti Symantec a Kaspersky Lab, podle nichž je sice předčasné připisovat autorství Pchjongjangu, ale jisté indicie podobné těm z minulosti škodlivý software obsahuje.

Pátrání po původu viru WannaCry (ilustrační snímek) | foto: montáž: Pavel Kasík - Technet.cz

Zpráva vyděračského viru WannaCry, která vyžaduje platbu.

Vyděračský virus WannaCry se začal po světě šířit v pátek 12. května. Přestože se díky zásahu britského bezpečnostního výzkumníka podařilo šíření tohoto viru zastavit, napadl přes 200 tisíc počítačů ve 150 zemích a odborníci varují před dalším podobným útokem, který by tak snadno zastavit nešel.

Zároveň pokračuje pátrání po autorech tohoto viru, který využil zranitelnosti ve starších systémech Windows. Vývojář společnosti Google Neel Mehta, který se proslavil v roce 2014, když při pečlivém procházení opensourcového OpenSSL odhalil chybu v šifrování SSL/TLS známou jako Heartbleed (více v našem článku), se nyní vrátil do centra mediální pozornosti. Na svém twitterovém účtu upozornil na podobnost viru WannaCrypt s virem Lazarus.

15.května 2017 v 19:02, příspěvek archivován: 16.května 2017 v 15:26

9c7c7149387a1c79679a87dd1ba755bc @ 0x402560, 0x40F598 ac21c8ad899727137c4b94458d7aa8d8 @ 0x10004ba0, 0x10012AA4 #WannaCryptAttribution

Jeho vodítko později potvrdila firma Kaspersky Lab: „Tato kryptická zpráva odkazuje na podobnost mezi dvěma vzorky, respektive jejich zdrojovými kódy. Těmi vzorky jsou starší verze WannaCry z února 2017, která vypadá jako velmi raná varianta, a kódu skupiny Lazarus APT z února 2015,“ uvádí globální analytický tým Kaspersky Lab.

Porovnání starší varianty viru WannaCry a viru od skupiny Lazarus APT

Severokorejská skupina Lazarus byla mimo jiné zodpovědná za útok na společnost Sony v roce 2014, v roce 2016 se zase pokusila vykrást Central Bank of Bangladesh.

Mapa útoků ransomwaru WannaCry

„Pokud by se takové obvinění potvrdilo, byl by WannaCry první známý státem sponzorovaný ransomware,“ píše Matt Suiche, bezpečnostní výzkumník pracující v Dubaji, který na svém blogu podobnost podrobně rozebírá „Autorství skupiny Lazarus by dávalo smysl, už v minulosti usilovali o krádež finančních prostředků.“

Souhlasí s ním i firma Symantec, podle ní autorství skupiny Lazarus napovídá šifrování, která WannaCry používá. „Předchozí verze WannaCry používala nástroje, které byly dosud využívány pouze severokorejskou skupinou Lazarus.“

Falešná stopa, nebo naopak mazání stop?

V elektronickém světě je však často snadné podvrhnout něčí podpis. Sluší se tedy dodat, že takováto podobnost v kódu zdaleka neznamená důkaz autorství.

To potvrzuje i David Emm, hlavní bezpečnostní analytik týmu GReAT společnosti Kaspersky Lab: „Naši analytici jsou si vědomi toho, že se v případě této podobnosti může jednat o záměrnou falešnou stopu (false flag).“

Jedním z vodítek, že se o falešnou stopu nejedná, je ovšem načasování a rozšíření jednotlivých verzí. V novější verzi WannaCry je totiž tato část kódu odstraněna „Tento krok tak může být pokusem o zahlazení stop vedoucích ke strůjcům kampaně WannaCry,“ domnívá se Emm. „Tato podobnost sama o sobě neposkytuje dostatečně přesvědčivý důkaz o napojení ransomwaru WannaCry na skupinu Lazarus. Může ale vést k dalším zjištěním, která přinesou více informací o původu WannaCry, který je doposud záhadou.“

O vícero nepřímých důkazech ukazujících na KLDR dnes hovořil i Simon Čche (v anglické transkripci Simon Choi), šéf jihokorejské antivirové společnosti Hauri. Čche poukázal na to, že způsob provedení připomíná dřívější útoky připisované KLDR. Dodal, že komunistický režim není žádným nováčkem, pokud jde o kryptoměnu bitcoin, ve které vyděračský software vyžaduje platbu. Připomněl, že Pchjongjang k takzvané těžbě, tedy získávání bitcoinů, používá škodlivé počítačové programy nejméně od roku 2013.

Časté otázky a odpovědi

Základní informace o ransomware, který se šíří pod jmény Wanna Decryptor, WannaCry, WCRY nebo WannaCrypt0r.

  • Jak se ransomware WannaCry šíří?
    Ransomware se šíří e-mailem, který obsahuje přílohu tvářící se jako ZIP archiv. Uživatelé, kteří tuto přílohu otevřou, si do svého počítače nainstalují virus. V lokální síti se pak virus šíří skrze nezáplatované systémy. Zároveň se virus šíří skrze svou vlastní botnetovou síť, pomocí které skenuje dostupné IP adresy a hledá další zranitelné počítače.
  • Co WannaCry udělá na napadeném počítači?
    Jakmile WannaCry napadne daný počítač, začne šifrovat soubory a složky na počítači. Zašifrované soubory mají příponu .WCRY. Šifrovány jsou soubory například těchto typů: dokumenty DOC, PPT, XLS, obrázky JPG, PNG nebo TIFF, některé videosoubory, některé zálohy, některé programátorské projekty a řada dalších.
  • Kolik stojí dešifrování souborů?
    Ransomware přidá do napadeného adresáře soubor s návodem, jak zaplatit výkupné za soubory. Cena za dešifrování je 300 dolarů (asi 7 300 Kč) v bitcoinech. Po třech dnech je cena dvojnásobná. Po týdnu bude dekódování údajně navždy znemožněno.
  • Jak zjistit, zda jsem před tímto virem chráněn(a)?
    Ověřte si, že máte aktualizovaný operační systém a antivirový program. Ověřte si na stránkách výrobce svého antivirového programu, že umí rozpoznat tuto novou hrozbu.
  • Co když mám verzi operačního systému, která již nedostává záplaty?
    Microsoft v tomto případě uvolnil záplaty i pro starší systémy Windows, viz jejich článek.
  • Jak se mohou uživatelé podobným útokům preventivně bránit?
    Základní obranou je mít aktualizovaný operační systém a aktualizovaný antivir/antimalware. Protože žádná obrana není stoprocentní, důrazně doporučujeme vytvářet pravidelné zálohy důležitých souborů, které jsou zálohovány mimo počítač, aby se k nim ransomware nemohl dostat.
Autor:
  • Nejčtenější

Aerolinky ruší tisíce prázdninových letů. Pilot vysvětluje proč

Tisíce zrušených letů, mnohahodinové fronty, vyčerpaný personál ostřelovaný výpověďmi. Současné letectví je v těžké...

Kladivo na ruské dělostřelectvo. HIMARS se zapojil do bojů

Americký dělostřelecký systém HIMARS, po kterém Ukrajina volá už několik týdnů, byl konečně dopraven k bojujícím...

{NADPIS reklamního článku dlouhý přes dva řádky}

{POPISEK reklamního článku, také dlouhý přes dva a možná dokonce až tři řádky, končící na tři tečky...}

Stop pro letoun F-35? Švýcaři prověřují podezřelé nesrovnalosti v tendru

Úspěšné tažení letounů F-35 Evropou v roce 2021 pokračovalo ve Finsku a Švýcarsku. V alpské zemi se však nad nákupem...

Slovenské ministerstvo popřelo, že by chtělo koupit stíhačky F-35 místo F-16

Válka na Ukrajině významně rozhýbala mezinárodní obchod se zbraněmi. Mnoho zemí se najednou cítí být ohroženo tak, jak...

{NADPIS reklamního článku dlouhý přes dva řádky}

{POPISEK reklamního článku, také dlouhý přes dva a možná dokonce až tři řádky, končící na tři tečky...}

Toto se Applu fakt povedlo. Udivující výkon v tichém chladném kabátku

Vyzkoušeli jsme počítač Apple Mac Studio M1 MAX s monitorem Display Studio. Zatímco o skvělém počítači můžeme říci, že...

Nadané děti mají společné rysy. Rodiče to někdy nepoznají, říká expert Mensy

Premium Pouhá dvě promile populace – tedy jenom jeden člověk z pěti set – má IQ vyšší než 150. Zhruba každý padesátý má přes...

Cesta do Chorvatska 2022: Jak projet rozkopané Slovinsko a tankovat v Maďarsku

Premium Dobrá zpráva pro dovolenkáře mířící autem na Jadran. Cesta byla letos hladká, na nejrychlejší trase přes Vídeň, Graz...

Ekonomie hlouposti: počet hlupáků „v oběhu“ je vyšší, než si myslíte

Premium Hloupí lidé patří ekonomicky k nejnebezpečnějším. Za hloupé je třeba považovat ty, kteří škodí druhým i sobě samým. V...

  • Další z rubriky

Runet: ruský internet ukazuje, jak vypadá státní cenzura nad informacemi

Premium Rusko chce mít internet pod kontrolou. Připravuje se na to již delší dobu, do praxe významně přichází s ruským útokem...

Na ruské ambasádě v Praze byla trollí farma, říká expert na dezinformace

Rozstřel Podle Františka Vrabela ze společnosti Semantic Visions bylo možné v informačním prostoru již před vpádem Ruska na...

Proč používat e-mail na jedno použití

Dočasná, respektive jednorázová e-mailová adresa nabízí možnost, jak využít elektronickou poštu v případě, že nechcete...

Válka znovu zažehla posedlost donekonečna surfovat špatnými zprávami

Situace posledních týdnů znovu vynesla do popředí jeden nezvyk používání internetu, kterému se velice dařilo už v...

Kouzelná oslava Mezinárodního dne jógy na Karlově mostě
Kouzelná oslava Mezinárodního dne jógy na Karlově mostě

Pražští jogíni se 21. června poprvé připojili k ostatním jogínům, aby s nimi oslavili Mezinárodní den jógy. Oslavy se zúčastnilo 400 jogínů a sešli...

Kladivo na ruské dělostřelectvo. HIMARS se zapojil do bojů

Americký dělostřelecký systém HIMARS, po kterém Ukrajina volá už několik týdnů, byl konečně dopraven k bojujícím...

Někde bědují nad benzinem, jinde už hladoví. Zdražování pociťují lidé všude

To, že je všechno dražší a že pravděpodobně bude ještě o něco hůř, se rozhodně netýká jen Česka. Britský deník The...

Tradiční hluboká orba vadí Bruselu. Čeští farmáři mohou přijít o peníze

Premium Jarní ječmen, který se používá v pivovarnictví a sladařství, ztratí kvalitu. Česká pole už nebudou jako dřív a farmáře...

Proč dřív lidé vypadali na fotce starší. Rychleji se stárnulo, nebo je to klam?

Premium Tak schválně, udělejte si čas a zalistujte rodinnými alby. Podívejte se na svoje rodiče, prarodiče, praprarodiče. A...

Herečka Eva Josefíková se o víkendu tajně vdala

Herečka Eva Josefíková (32) se na Instagramu pochlubila šťastnou novinkou. Během romantického obřadu řekla své ano...