A primeira onda terminou. A campanha do ransomware WannaCry atingiu mais de 70 países, derrubou empresas de alto perfil e comprometeu o sistema de saúde do Reino Unido. Derivado de um exploit criado pela NSA e vazado pelo grupo Shadow Brokers, o WannaCry aproveita uma vulnerabilidade que a Microsoft corrigiu em março, embora seja evidente que as práticas de administração ao redor do globo deixam muito a desejar. No melhor dos casos, seu sistema já está protegido, mas se você tiver dúvidas, o melhor é continuar lendo...
A situação foi muito estranha. A mídia tradicional começou a falar em termos como «ransomware» e «ciberataque», e com o passar das horas ficou comprovado que não se tratava de um fato isolado. Uma nova campanha havia entrado em atividade e, em seu primeiro movimento, atingiu com força. Alcançou mais de 70 países, deixando fora de combate a Telefónica, FedEx e o sistema de saúde britânico. A maioria dos ataques (mais de 75 mil até agora) concentrou-se na Rússia, Ucrânia e Índia, mas não demorou muito para ir além desses territórios. E efetivamente é um ransomware, variante de malware sobre a qual falamos muito nos últimos meses e que, ao que parece, ninguém levou a sério até agora. Tem vários nomes, mas o mais popular é WannaCry, e basicamente pede 300 dólares em bitcoins em troca da informação sequestrada. Se a vítima não pagar antes de 15 de maio, o preço aumentará e ela receberá 96 horas adicionais de margem.
Se estudarmos mais a fundo o WannaCry, descobriremos dois detalhes muito interessantes e, ao mesmo tempo, preocupantes. Em primeiro lugar, seu desenvolvimento é baseado na ferramenta ETERNALBLUE, que ataca uma vulnerabilidade presente no protocolo SMB do Windows. Esse recurso foi roubado da NSA em abril pelo grupo Shadow Brokers, ou seja, uma boa parte do mundo digital acabou de sentir o fogo de uma arma de grau militar. E em segundo lugar, é necessário destacar que a Microsoft lançou um patch para neutralizar o ETERNALBLUE, sob o boletim de segurança MS17-010, classificado como «crítico». O hotfix está disponível em todos os sistemas afetados desde março passado e, devido à gravidade, a Microsoft decidiu publicar um patch fora de banda para seus três sistemas sem suporte oficial, que são Windows XP, Windows 8 e Windows Server 2003. Felizmente, o pesquisador de segurança MalwareTech descobriu o «interruptor» do WannaCry após assumir o controle de um domínio integrado ao exploit e também criou um mapa que nos ajuda a visualizar o impacto da campanha.
O verdadeiro problema é que, com tantos sistemas desprotegidos, é questão de tempo para que os responsáveis façam modificações no código e tentem novamente. Recomendações? Em teoria, o usuário médio que utilize uma versão atualizada do Windows deveria estar imune ao WannaCry, mas vamos revisar quatro pontos:
Recomendações
- Se o hotfix equivalente ao MS17-010 para o seu sistema operacional não estiver instalado, faça agora. Windows XP, Windows 8 e Windows Server 2003 receberam uma «exceção extraordinária» através de um patch dedicado.
- Reforçar as políticas de segurança em roteadores nas portas 139 e 445 TCP, historicamente associadas ao SMB. Em outras palavras, não deixe nada entrar por aí.
- Desabilitar o SMBv1. O processo foi explicado no boletim MS17-010 e se aplica apenas ao Windows Vista em diante. Isso está no menu «Ativar ou desativar os recursos do Windows» em «Programas», dentro do Painel de Controle.
- Explorar alguma opção de antiransomware para complementar os antivírus tradicionais.
