Britský mladík „omylem“ zastavil řádění viru. Stačilo koupit doménu

  9:00
Dvaadvacetiletý britský bezpečnostní expert z MalwareTech.com zkoumal chování masivně se šířícího vyděračského viru WannaCry. Při pokusu poznat blíže způsob, jakým se virus šíří, expert jeho šíření mimoděk zastavil, respektive výrazně zpomalil. Na svém blogu nyní popsal okolnosti tohoto zásahu, který byl až překvapivě prostý.

Britský hacker „omylem“ zastavil masivní šíření ransomware WannaCry | foto: montáž: Pavel Kasík - Technet.czProfimedia.cz

Největší útok ransomware jménem WannaCry zasáhl počítače a počítačové sítě po celém světě v noci z pátku na sobotu. Vyděračský software napadl počítačové systémy ve stovce zemí. V Británii například ochromil národní zdravotní službu NHS, ve Španělsku zase napadl počítače operátora Telefónica (více v páteční zprávě).

Ransomware WannaCry se rapidně šířil po světě

Zpráva vyděračského viru WannaCry, který zašifruje disk a pak požaduje platbu

Britský bezpečnostní expert, který na webu vystupuje pod pseudonymem MalwareTech a podle The Telegraph se jmenuje Marcus Hutchins, provozuje web sledující šíření vybraných malware v reálném čase. Už v pátek odpoledne si tedy všiml, že se děje něco neobvyklého. „Když jsem se vrátil z oběda, na bezpečnostním fóru byla záplava zpráv o napadení různých systémů britské zdravotnické služby NHS. To samo o sobě není až tak překvapivé, ale bylo zajímavé, že se virus tak rychle šířil napříč celou zemí,“ vzpomíná na svém blogu MalwareTech.

S pomocí spřáteleného výzkumníka se mu podařilo získat funkční vzorek viru, který se šířil po počítačích v Británii, Rusku, Indii a dalších desítkách zemí včetně ČR.

Na vyděračském viru WannaCry je neobvyklé, že se po napadení počítače sám pokouší šířit v lokální síti, a to pomocí komunikace SMB na portu 445.

12.května 2017 v 17:32, příspěvek archivován: 14.května 2017 v 00:10

Sample I found scans SMB after dropping WannaCrypt. Can anyone confirm it's the same thing? P2P spreading ransomware would be significant. https://t.co/zs5Td4ovvL

Právě toto agresivní šíření, pravděpodobně využívající zranitelnost v systému Windows (více v našem předchozím článku) zřejmě stojí za rychlostí, s jakou se ransomware WannaCry rozšířil do světa.

Nákup složité domény za pár babek

„Když jsem si ve vzorku všiml, že vir se dovolává domény, která není zaregistrovaná, okamžitě jsem ji zaregistroval,“ píše MalwareTech. Šlo podle všeho o doménu iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com (whois), která byla registrována v pátek ve tři hodiny odpoledne.

Stálo jej to prý 10,69 dolarů, tedy asi 260 korun. Doménu přesměroval na „sinkhole“ server v Los Angeles, a sledoval požadavky, které na doménu chodily, aby tak získal více informací o tomto ransomware. „Hned bylo vidět pět nebo šest tisíc požadavků za sekundu,“ uvedl expert pro DailyBeast.

„Nákup domény pro mě není nic neobvyklého, nebylo to unáhlené rozhodnutí,“ upřesňuje MalwareTech. „Ročně takových domén koupím tisíce. Obvykle najdu neregistrovanou doménu, se kterou botnet zkouší komunikovat. Za prvé ji přesměruji na server (sinkhole) a za druhé se pak snažím z příchozí komunikace získat data o fungování daného malware. Konečně za třetí zkusím zjistit, jestli jsou v kódu malware nějaké zranitelnosti, kterých bych mohl využít. V případě WannaCry se ukázalo, že všechny tři kroky proběhly zároveň, aniž jsem to v tu chvíli tušil.“

„Přiznávám, že když jsem si doménu registroval, netušil jsem, že právě tato registrace zastaví šíření tohoto malware,“ vysvětlil na Twitteru MalwareTech. „Zpočátku šlo tedy o náhodu.“

13.května 2017 v 02:20, příspěvek archivován: 13.května 2017 v 19:00

I will confess that I was unaware registering the domain would stop the malware until after i registered it, so initially it was accidental.

O chvíli později se přestal malware šířit. Mladý vývojář si lámal hlavu, proč. Povedlo se mu alespoň zmapovat, odkud chodí na server požadavky.

Záznam mapy požadavků od počítačů napadených WannaCry:

Proč to nefunguje? V kódu byla „pojistka“

Trvalo několik hodin, než MalwareTech odhalil, co se stalo. Pomohl mu v tom Darien Huss, výzkumník z ProofPoint, který na základě analýzy kódu odvodil, že ransomware se odmítá šířit po lokální síti, pokud doména (nyní koupená MalwareTech) existuje.

12.května 2017 v 19:29, příspěvek archivován: 14.května 2017 v 00:15

#WannaCry propagation payload contains previously unregistered domain, execution fails now that domain has been sinkholed https://t.co/z2ClEnZAD2

Britský výzkumník si tuto tezi otestoval. „Když jsem změnil soubor hosts na serveru tak, aby se doména tvářila, jako že se nelze připojit, najednou se ransomware zase šířil dále,“ popisuje. „Asi si nedokážete představit, že jsem skákal radostí kolem stolu, když jsem zjistil, že ransomware funguje, ale bylo to tak. Znamenalo to, že jsme zabránili dalšímu rozšíření tohoto ransomware. Registrací domény jsme zabránili tomu, aby došlo k vybrakování dalších počítačů.“

Proč vůbec ransomware takovouto „pojistku“ v podobě kontrolování existence neexistující domény obsahoval? Mohlo jít o tzv. „kill-switch“, tedy centralizovanou destrukci viru pro případ, že by jej útočníci z nějakého důvodu chtěli zastavit.

Mapa útoků ransomwaru Wcrypt zaznamenaných na mapě MalwareTech.com

MalwareTech se ale domnívá, že je vysvětlení trochu složitější: „Podle mého to byl nedomyšlený pokus zabránit výzkumníkům v analýze funkce tohoto ransomware. Některé sandboxy (virtuální prostředí simulující reálnou síť) by se totiž tvářily, jako že je tato neexistující doména registrovaná, a tím pádem by výzkumník nemohl snadno analyzovat funkci malware.“ Podobnou techniku (ovšem s kontrolou více domén) používá například trojský kůň Necurs.

Protože ale WannaCry kontrolovalo jen existenci té jedné domény, jakmile si ji někdo zaregistroval, všude po světě se ransomware WannaCry zastavil. Deník Guardian označil Hutchinse za „náhodného hrdinu“, ovšem příběh také ukazuje, že štěstí přeje připraveným.

Bezpečnostní odborníci ale varují, že nemusí jít o konec tohoto ransomware. „Jde o krátkodobé řešení,“ domnívá se bezpečností expert Matt Tait z Capital Alpha Security. „Už teď jsme zaznamenali modifikované verze tohoto viru.“

S tím souhlasí i „náhodný hrdina“ tohoto příběhu, MalwareTech. „Naše registrovaná doména zastaví jen tuto verzi ransomware, a tvůrcům nic nebrání v tom, aby tuto část viru změnili nebo odstranili a útok spustili znovu.“ Proto je důležité, aby měli uživatelé pečlivě zálohovaná svá data a vždy aktuální a zabezpečený operační systém.

Aktualizace: Do článku jsme doplnili citaci týkající se „náhodnosti“ objevu. Dnes (v pondělí 15. května) jsme také doplnili do článku údajné jméno maldého Brita, který byl do té doby znám pouze jako MalwareTech.

Autor:
  • Nejčtenější

Vyzkoušeli jsme podvod z Aliexpressu. Může vás přijít draho, i po letech

v diskusi je 110 příspěvků

14. března 2024

Nakoupili jsme na Aliexpressu a pěkně se spálili. Jednu USB paměť, dvě externí SSD a jeden externí...

Nejsilnější raketa úspěšně prošla prvním testovacím letem do vesmíru

v diskusi je 138 příspěvků

14. března 2024  12:12,  aktualizováno  15:31

Společnost SpaceX poprvé dostala svůj Starship do vesmírného prostoru. Po dvou předchozích...

{NADPIS reklamního článku dlouhý přes dva řádky}

{POPISEK reklamního článku, také dlouhý přes dva a možná dokonce až tři řádky, končící na tři tečky...}

Svět uznal nároky Beneše. Československo vyhrálo spor s Polskem o Javorinu

v diskusi je 42 příspěvků

12. března 2024

Před 100 lety se Československo dočkalo mezinárodního uznání ve sporu s Polskem o Javorinu....

Tato novinka ve vyhledávání Googlu lidi pěkně vytáčí. Máme řešení

v diskusi je 153 příspěvků

12. března 2024  10:45

Jedna z novinek, kterou přineslo evropské Nařízení o digitálních trzích, je změna v tom, jak Google...

{NADPIS reklamního článku dlouhý přes dva řádky}

{POPISEK reklamního článku, také dlouhý přes dva a možná dokonce až tři řádky, končící na tři tečky...}

Od Amazonu po Voyo. Velký test streamovacích služeb našel obří rozdíly

v diskusi je 42 příspěvků

19. března 2024

Premium V jedné můžete vybírat z dvou set filmů a seriálů, ve druhé z osmi tisíc. V jedné je speciální...

VIDEO: Střílej po mně! Kameraman natočil téměř celý útok v centru Prahy

Premium Ve čtvrtek zemřelo rukou střelce Davida K. 14 obětí, 25 lidí je zraněných, z toho deset lidí těžce. Jedním z prvních na...

Máma ji dala do pasťáku, je na pervitinu a šlape. Elišku čekají Vánoce na ulici

Premium Noční Smíchov. Na zádech růžový batoh, v ruce svítící balónek, vánoční LED svíčky na baterky kolem krku. Vypadá na...

Test světlých lahvových ležáků: I dobré pivo zestárne v obchodě mnohem rychleji

Premium Ležáky z hypermarketů zklamaly. Jestli si chcete pochutnat, běžte do hospody. Sudová piva totiž dopadla před časem...

Kuličková myš, VHS a další technologické skvosty nedávné minulosti

v diskusi je 16 příspěvků

19. března 2024

S některými bylo možné se běžně setkat ještě před deseti lety, jiné je možné koupit a používat...

Od Amazonu po Voyo. Velký test streamovacích služeb našel obří rozdíly

v diskusi je 42 příspěvků

19. března 2024

Premium V jedné můžete vybírat z dvou set filmů a seriálů, ve druhé z osmi tisíc. V jedné je speciální...

Zemřel astronaut Stafford, který si ve vesmíru „podal“ ruku s Leonovem

v diskusi nejsou příspěvky

18. března 2024  19:10

Ve věku 93 let po dlouhé nemoci zemřel někdejší astronaut Thomas Stafford, který byl zapojený do...

Apple přidá do svých zařízení generativní AI, využije k tomu Google

v diskusi je 1 příspěvek

18. března 2024  13:34

Apple jako jedna z mála technologických společností nezachytil příchod vlny generativní umělé...

Nutný výchovný pohlavek, souhlasí Bouček i Havlová s přerušením projevu na Lvu

Moderátor Libor Bouček ostře zareagoval na kauzu ohledně délky proslovu režisérky Darji Kaščejevové na předávání cen...

Švábi, vši a nevychované děti. Výměna manželek skončila už po pěti dnech

Nová Výměna manželek trvala jen pět dní, přesto přinesla spoustu vyhrocených situací. Martina ze Znojma se pokoušela...

Vyzkoušeli jsme podvod z Aliexpressu. Může vás přijít draho, i po letech

Nakoupili jsme na Aliexpressu a pěkně se spálili. Jednu USB paměť, dvě externí SSD a jeden externí HDD. Ve třech...

Chtěli, abych se vyspala s Baldwinem kvůli jeho výkonu, říká Sharon Stone

Herečka Sharon Stone (66) jmenovala producenta, který jí řekl, aby se vyspala s hercem Williamem Baldwinem (61). Měla...

Byla to láska na první pohled, říká hvězda Gilmorek o manželství s modelkou

Milo Ventimiglia (46), představitel Jesse ze seriálu Gilmorova děvčata nebo Jacka Pearsona ze seriálu Tohle jsme my, je...