Centar za edukaciju-BiH

Predmet:globalni napad "ransomwareom" na više svjetskih država

---

Tijekom petka pokrenuta je golema hakerska kampanja usmjerena protiv više svjetskih zemalja, u kojoj se informatičke sustave napada takozvanim "ransomware" virusom. Dosad je otkriveno čak 75.000 napada virusom WannaCry (oblik ransomwarea) u 99 zemalja.

Najvažnije informacije u ovom trenutku:
- U samo nekoliko sati zaraženo je više od 1000 tvrtki ili organizacija u 99 zemalja
- Na popisu zemalja koje su se našle na udaru Hrvatska, Velika Britanija, Rusija, Nizozemska, Španjolska, SAD...
- Otkupnina iznosi 300 dolara u bitcoinu i raste ako se ne plati do danog roka
- Ransomware WannaCry iskorištava sigurnosni propust u Windowsima za koji je Microsoft izdao zakrpu 14. ožujka
- Širi se neželjenom poštom (spamom) u kojoj su "mamci" poput ponuda za posao, lažnih računa i slično

Zavod za sigurnost informacijskih sustava intenzivno prati razvoj nove vrste računalne ugroze koja se tijekom petka, 12. svibnja proširila diljem svijeta, a poznata je pod nazivom Wanna Decryptor, Wannacry ili Wcry.

Radi se, javlja Ministarstvo unutarnjih poslova, o samoreplicirajućem računalnom virusu čija je osnovna zadaća kriptiranje podataka koji se nalaze na zaraženom računalu.

U svojem priopćenju MUP navodi i da Zavod za sigurnost informacijskih sustava intenzivno prati razvoj nove vrste računalne ugroze koja se tijekom petka, 12. svibnja proširila diljem svijeta, a poznata je pod nazivom Wanna Decryptor, Wannacry ili Wcry.

Njihovo priopćenje prenosimo u potpunosti:

Kao način širenja Wcry iskorištava ranjivost MS17-010 te korištenjem EternalBlue/DoublePulsar alata ostvaruje pristup na ciljana računala. Također, postoji mogućnost da se u svrhu zaraze ciljanih računala odnosno informacijskih sustava koristi i phishing metoda na način da se ciljanom korisniku isporuči poruka elektroničke pošte sa zaraženim privitkom čijim se otvaranjem pokreće izvršavanje zlonamjernog koda.

Popis sustava koji su podložni ovoj vrsti napada je sljedeći:
• Microsoft Windows Vista SP2
• Windows Server 2008 SP2 i R2 SP1
• Windows 7
• Windows 8.1
• Windows RT 8.1
• Windows Server 2012 i R2
• Windows 10
• Windows Server 2016.

Preporuke za sve korisnike ranjivih sustava su sljedeće:

Provesti hitnu nadogradnju svih ranjivih sustava primjenom zakrpe za operacijski sustav s oznakom MS17-010 (KB4013389). Zbog visoke kritičnosti ranjivosti, Microsoft je izdao zakrpe i za nepodržane operacijske sustave (Windows XP SP2 i Windows Server 2003). Više informacija o zakrpi i ranjivosti prisutno je na stranicama proizvođača:

1.https://technet.microsoft.com/...7-010.aspx
2.https://blogs.technet.microsoft.com/...t-attacks/

Ako primjena zakrpe nije moguća, onemogućiti SMBv1 protokol prateći sljedeću proceduru (ovisno o inačici operacijskog sustava):

Windows Vista, Windows Server 2008, Windows 7, Windows Server 2008 R2, Windows 8 i Windows Server 2012:
1. sc.exe config lanmanworkstation depend=bowser/mrxsmb20/nsi
2. sc.exe config mrxsmb10 start=disabled
Windows 8.1, Windows Server 2012 R2 i noviji:
1. Radne stanice: Odabir opcije Control Panel -> Programs ->Turn Windows features on or off
Poslužitelji: Odabir opcije Server Manager -> Manage -> Remove Roles and Features
2. Onemogućavanje opcije SMB1.0/CIFS File Sharing Support
3. Ponovno pokrenuti računalo

Sustave koji nemaju administrativnu podršku, mogućnost nadogradnje ili postoji eksplicitna potreba za SMB protokolom verzije 1 potrebno je ukloniti iz računalne mreže

Onemogućiti komunikaciju prema TCP mrežnim portovima 139 i 445 TCP u računalnoj mreži organizacije. Blokiranje mrežnog prometa prema spomenutim mrežnim portovima može imati štetan utjecaj na uobičajeni rad ostalih sustava u informacijskom sustavu!

Ažurirati antivirusne definicije na najnoviju inačicu.

S iznimnim oprezom pregledavati primljene poruke elektroničke pošte. Prema dostupnim informacijama, jedan od vektora zaraze je poruka elektroničke pošte koja u privitku sadržava PDF datoteku s poveznicom na kompromitiranu web stranicu ili se poveznica na kompromitiranu stranicu nalazi u samom tijelu poruke elektroničke pošte. U oba slučaja, poveznica dohvaća zlonamjernu HTA datoteku kojom počinje zaraza sustava i daljnje širenje zlonamjernog programa po računalnoj mreži.U slučaju primitka sumnjive poruke elektroničke pošte koja sadržava gornja obilježja, potrebno je obavijestiti odgovorne osobe unutar organizacije.

Osigurati postojanje sigurnosne kopije sustava (backup) koja je pohranjena na siguran način, izvan računalne mreže (offline).

Pogođene bolnice i tvrtke, prijetnja zasad popušta

Podsjećamo, stotine tisuća računala u gotovo stotinu zemalja pogođene su u petak velikim kibernetičkim napadom softverom za koji se vjeruje da ga je razvila američka Nacionalna sigurnosna agencija (NSA), a među pogođenima su britanski zdravstveni sustav i međunarodna kurirska služba FedEx.

Napad izveden takozvanim ucjenjivačkim softverom (ransomware) blokira pristup računalnom sustavu i potom traži novac, u ovom slučaju između 300 i 600 dolara, kako bi ga odblokirao.

Neke od žrtava platile su ucjenjivačima digitalnom valutom bitcoinom, kazali su sigurnosni stručnjaci, ali ne znaju o kojem je broju žrtava riječ.

Stručnjaci proizvođača softvera Avast kazali su da su identificirali 57.000 zaraženih računala u 99 zemalja, a među najviše pogođenima su Rusija, Ukrajina i Tajvan.

Neki stručnjaci smatraju da se prijetnja za sada smanjila, dijelom zahvaljujući jednom stručnjaku iz Britanije koji je ograničio širenje zaraze.

- U silaznoj smo putanji, zaraze su jako rijetke, jer se malver (zlonamjerni softver) ne može spojiti na registriranu domenu, rekao je Vikram Thakur, voditelj istraživanja pri Symantecu.

- Brojke su jako male i brzo se smanjuju.

No napadači bi mogli izmijeniti kod i ponovno pokrenuti ciklus. To se još nije dogodilo, ali vjerojatno hoće, rekao je stručnjak koji je možda zaustavio širenje napada.

Ministri financija G7 obećali su u subotu na sastanku u Italiji da će udružiti snage u borbi protiv sve veće prijetnje međunarodnih kibernetičkih napada, po nacrtu završne izjave skupa.

U Aziji su pogođene neke bolnice, škole, sveučilišta i druge institucije, a puni razmjeri štete još nisu poznati jer je vikend. Situacija će biti jasnija u ponedjeljak.

Kineska agencija Xinhua izvijestila je da su pogođene neke srednje škole i sveučilišta, ne navodeći točno koliko i koje.

U Vijetnamu su prijavljeni deseci slučajeva, ali identitet žrtava nije objavljen. Južnokorejska agencija Yonhap izvijestila je da je pogođena sveučilišna bolnica, dok su u Indoneziji pogođene dvi****lnice.

Napadnuta je i međunarodna kurirska služba FedEx.

Žrtve su i telekomunikacijska kompanija Telefonica u Španjolskoj, portugalski Telecom i Telefonica u Argentini.

U SAD-u je pogođen tek manji broj meta, rekao je Thakur.

Napad je počeo u Europi, a dok su napadači pozornost usmjerili na SAD, filteri su već identificirali novu prijetnju i označili poruke s ucjenjivačkim softverom, dodao je.

Američko Ministarstvo domovinske sigurnosti kazalo je da razmjenjuje informacije s domaćim i stranim partnerima i da je spremno pružiti tehničku potporu.

Rusko ministarstvo unutarnjih poslova i ministarstvo za izvanredne situacije objavili su u petak da su također napadnuti, kao i najveća ruska banka Sberbank. Ministarstvo unutarnjih poslova objavilo je da je pogođeno 1000 računala te da je virus lokaliziran.

Privatne sigurnosne tvrtke identificirale su ucjenjivački softver kao novu varijantu softvera "WannaCry" koji se može automatski raširiti po velikim mrežama koristeći poznati bug u Windowsima.

Hakeri, koji još nisu preuzeli odgovornost niti su identificirani, stvorili su tzv. crva ili malver koji se sam širi, koristeći dio koda NSA-e poznat pod nazivom Eternal Blue koji je prošli mjesec objavila skupina Shadow Brokers, kazali su privatni stručnjaci.

- Ovo je jedan od najvećih globalnih napada ucjenjivačkim softwareom koji je kibernetička zajednica ikad vidjela, rekao je Rich Barger, direktor za istraživanja prijetnji u Splunku, jednoj od tvrtki koja je povezala WannaCry s NSA-om.

Shadow Brokersi objavili su Eternal Blue kao dio skupine alata za hakiranje koji po njihovim tvrdnjama pripadaju NSA-i.

Microsoft je objavio da pušta automatske nadogradnje Windowsa kako bi zaštitio klijente od ovog napada. Zaštitu od Eternal Bluea pustio je 14. ožujka.

Ministri financija G7 usredotočili su pozornost na kibernetičku sigurnost u subotu u Bariju, na jugoistoku Italije, temu koja je se već nalazila na dnevnom redu sastanka dok je masovni val informatičkih napada pogodio više desetaka zemalja.

- Imamo dogovor o brojnim temama među kojima borbi protiv kibernetičkih zločina koji su nažalost aktualni, prokomentirao je talijanski ministar financija Pier Carlo Padoan u subotu.

Kibernetička sigurnost na dnevnom redu G7

Ministri financija G7 najavit će pojačanu suradnju u borbi protiv informatičkog piratstva, a SAD i Velika Britanija su zaduženi za usavršavanje međunarodne preventivne strategije.

Opasnost od informatičkih napada po ekonomije i financijske sustave sedam najbogatijih zemalja na planetu već je bila na dnevnom redu sastanka kad je val istodobnih kibernetičkih napada zahvatio u petak gotovo 100 zemalja zarazivši administracije i tvrtke

---

Predmet:Re: globalni napad "ransomwareom" na više svjetskih država

---

Autor @MalvareTechBlog je zajedno s kolegom Darijanom Hosom odlučio da registruje domen kako bi istražio njegovu aktivnost.
Ispostavilo se da je adresa bila sadržana u kodu virusa, u slučaju da se javi potreba da se program zaustavi: program je prekidao napade i dobijao odgovor, prenosi „Gardijan
- Sada mogu da dodam u svoj zaključak: Slučajno sam zaustavio međunarodni sajber-napad- saopštio je progamer na Tviteru.

On je naglasio da je ovo samo privremeno blokiralo dejstva virusa: hakeri treba samo da promene ovu adresu u kodu i sajber-napad na nezaštićene kompjutere će se nastaviti.
Anonimni programer je pozitivno ocenio to što je Majkrosoft objavio specijalni program za podršku nezaštićenim operativnim sistemima, poput Vindouz Iks-Pe, koji otklanja bag koji stvara „Vona kraj“.

Građane savetujemo da:
1. ne otvaraju mejlove, drugu elektronsku poštu i priloge od pošiljaoca koji nisu poznati, koje ne očekuju ili koji su sumnjivi,
2. otvaraju linkove na internetu, e-mailovima ili čet porukama samo ako su potpuno sigurni u pošiljaoca ili u navedenu internet stranicu,
3. redovno bezbedno kopiraju sve važne podatke na računaru (bekap), kako bi u slučaju blokiranja podataka „ransomwerom“ uvek imali rezervnu kopiju podataka i na ovaj način izbegli da budu žrtva ucene.

Slicice prilozenih slika:

---