Die erste Welle ist vorbei. Die Ransomware-Kampagne WannaCry traf mehr als 70 Länder, brachte Unternehmen mit sehr hohem Profil zu Fall und legte das britische Gesundheitssystem lahm. WannaCry basiert auf einem Exploit, der von der NSA entwickelt und von der Gruppe Shadow Brokers geleakt wurde. Es nutzt eine Schwachstelle aus, die Microsoft bereits im März behoben hat, obwohl die Verwaltungspraktiken auf der ganzen Welt offenbar zu wünschen übrig lassen. Im besten Fall ist Ihr System bereits geschützt, aber wenn Sie Zweifel haben, sollten Sie weiterlesen …
Die Situation war sehr seltsam. Traditionelle Medien begannen, Begriffe wie „Ransomware“ und „Cyberangriff“ zu verwenden, und im Laufe der Stunden wurde klar, dass es sich nicht um einen Einzelfall handelte. Eine neue Kampagne war in Aktion getreten und schlug bei ihrem ersten Schlag hart zu. Sie erreichte mehr als 70 Länder und legte Telefónica, FedEx und das britische Gesundheitssystem lahm. Die meisten Angriffe (mehr als 75.000 bis jetzt) konzentrierten sich auf Russland, die Ukraine und Indien, aber es dauerte nicht lange, bis sie über diese Gebiete hinausgingen. Und tatsächlich handelt es sich um einen Ransomware, eine Malware-Variante, über die wir in den letzten Monaten viel gesprochen haben und die offenbar bis jetzt niemand ernst genommen hat. Sie hat mehrere Namen, aber der bekannteste ist WannaCry, und im Grunde verlangt sie 300 Dollar in Bitcoin für die gekaperten Informationen. Wenn das Opfer nicht vor dem 15. Mai zahlt, steigt der Preis und es erhält 96 Stunden zusätzlichen Spielraum.
Wenn wir WannaCry genauer untersuchen, entdecken wir zwei sehr interessante und zugleich besorgniserregende Details. Erstens basiert seine Entwicklung auf dem Tool ETERNALBLUE, das eine Schwachstelle im SMB-Protokoll von Windows angreift. Diese Ressource wurde im April von der Gruppe Shadow Brokers von der NSA gestohlen, sodass ein großer Teil der digitalen Welt gerade die Feuerkraft einer Waffe militärischen Grades zu spüren bekommen hat. Zweitens muss hervorgehoben werden, dass Microsoft einen Patch zur Neutralisierung von ETERNALBLUE veröffentlicht hat, unter dem Sicherheitsbulletin MS17-010, das als „kritisch“ eingestuft wurde. Der Hotfix ist seit März für alle betroffenen Systeme verfügbar, und aufgrund der Schwere hat Microsoft beschlossen, einen außerplanmäßigen Patch für seine drei Systeme ohne offiziellen Support zu veröffentlichen, nämlich Windows XP, Windows 8 und Windows Server 2003. Glücklicherweise entdeckte der Sicherheitsforscher MalwareTech den „Schalter“ von WannaCry, nachdem er die Kontrolle über eine in den Exploit integrierte Domain übernommen hatte, und erstellte außerdem eine Karte, die uns hilft, die Auswirkungen der Kampagne zu visualisieren.
Das eigentliche Problem ist, dass es bei so vielen ungeschützten Systemen nur eine Frage der Zeit ist, bis die Verantwortlichen Änderungen an ihrem Code vornehmen und es erneut versuchen. Empfehlungen? Theoretisch sollte der durchschnittliche Benutzer, der eine aktuelle Windows-Version verwendet, gegen WannaCry immun sein, aber wir möchten vier Punkte durchgehen:
Empfehlungen
- Wenn das zu MS17-010 äquivalente Hotfix für Ihr Betriebssystem nicht installiert ist, tun Sie es jetzt. Windows XP, Windows 8 und Windows Server 2003 erhielten eine „außergewöhnliche Ausnahme“ über einen dedizierten Patch.
- Verstärken Sie die Sicherheitsrichtlinien auf Routern für die TCP-Ports 139 und 445, die historisch mit SMB verbunden sind. Mit anderen Worten: Lassen Sie nichts durch diese Ports eindringen.
- Deaktivieren Sie SMBv1. Der Prozess wurde im Bulletin MS17-010 erläutert und gilt nur für Windows Vista und höher. Dies finden Sie im Menü „Windows-Features aktivieren oder deaktivieren“ unter „Programme“ in der Systemsteuerung.
- Erkunden Sie eine Anti-Ransomware-Option, um herkömmliche Antivirenprogramme zu ergänzen.
Quelle: Ars Technica
Quelle: Securelist
