«Это самая массовая атака в истории»

Кто стоит за заразившим весь мир и проникнувшим в сети МВД вирусом-вымогателем

Фото: Евгений Биятов / РИА Новости

В пятницу, 12 мая, вирус-вымогатель WanaCrypt0r 2.0 заразил десятки тысяч компьютеров по всему миру. Сначала он парализовал работу британских больниц и испанских компаний, а затем добрался до России, атаковав региональные управления МВД и Следственного комитета. Пока эксперты пытаются оценить истинный масштаб бедствия, «Лента.ру» выясняла, кто может стоять за разработкой зловредной программы.

Весь мир у его ног

У отслеживающих новые вирусы и уязвимости специалистов из MalwareHunterTeam наверняка выдалось горяченькое утро. Еще в четыре часа ночи они оставили паническое сообщение о том, что «по сети с дьявольской скоростью распространяется новый вредонос WanaCrypt0r 2.0».

И были правы как никогда — всего за пару часов вымогатель атаковал десятки стран. Начав с Испании и Португалии, где он парализовал работу крупного оператора связи Telefonica и прошелся по газовой компании Gas Natural, оператору электросетей Iberdrola и банку Iberica, малварь переметнулся на внутренние сети британских больниц, потом был зафиксирован в Сингапуре, на Тайване и в Китае, а после распространился по всему миру, добравшись даже до Австралии и Латинской Америки.

Один из специалистов отметил, что заражению подверглись десятки тысяч компьютеров в 74 странах мира и это число продолжает возрастать. Другой подчеркнул, что мир, возможно, стал свидетелем крупнейшей вирусной атаки в истории.

В России первое сообщение о WanaCrypt0r появилось на портале «Пикабу» — его автор утверждал, что шифровальщик поразил сеть МВД. В министерстве сначала заявили, что у них ведутся некие «технические работы на внутреннем контуре», но потом признали факт атаки, хотя и опровергли заражение серверов вирусом.

Случаи заражения в региональных управлениях МВД и Следственного комитета признал и источник «Ленты.ру» в силовых структурах. Правда, он не уточнил, были ли при этом затронуты внутренние сети ведомств. Он также не смог подтвердить слухи о том, что некие хакеры более часа скачивали информацию из федеральной информационной системы регистрации (ФИСМ), куда вносятся все данные автовладельцев и машин, и связаны ли эти злоумышленники с распространением WanaCrypt0r.

Жертвой вымогателя стал и мобильный оператор «Мегафон». Представитель компании Петр Лидов-Петровский в разговоре с «Лентой.ру» объяснил, что компьютеры в компании подверглись массовому заражению, поскольку связаны между собой внутренней сетью. В результате перестала работать техподдержка, ведь операторы не могли воспользоваться компьютерами и принять звонки, а в салонах «Мегафона» возникли проблемы с обслуживанием клиентов.

Плати, не скупись

Специалисты по кибербезопасности в один голос утверждают, что по своей сути WanaCrypt0r 2.0 — весьма стандартный троян-вымогатель. Попав на компьютер жертвы, он шифрует все данные на жестком диске и требует отправить злоумышленникам 300 долларов в биткоинах. На размышление отводится три дня, после чего сумма выкупа увеличивается вдвое, а через неделю файлы останутся зашифрованными навсегда.

Тем не менее сразу несколько экспертов отмечают отлично проработанный и весьма «дружелюбный» интерфейс вредоноса с поддержкой десятков языков, в том числе английского, русского, испанского, китайского и даже румынского.

Еще одна любопытная особенность заключается в том, что вирус заражает только компьютеры на Windows. Эксперты полагают, что в группе максимального риска находятся пользователи, не установившие последние обновления операционной системы.

Многие юзеры отмечали, что за несколько дней до того, как вирус зашифровал все имеющиеся на компьютерах файлы, система либо бесконтрольно перезапускалась, либо требовала перезагрузить компьютер из-за некой критической ошибки, заботливо напоминая юзерам о необходимости сохранить все важные рабочие файлы.

Пострадавшие также сообщили, что антивирусы не способны обнаружить WanaCrypt0r 2.0, на полный цикл зашифровки у него уходит около четырех часов, но в окне процессов сторонних программ не наблюдается. Некоторые попытались отформатировать жесткий диск или переустановить Windows, но через некоторое время на экране вновь появлялось сообщение с требованием заплатить выкуп.

Специалисты напоминают, что обычно вирусы-вымогатели прячутся в текстовых файлах или PDF-документах и распространяются по почте. Так же считает глава компании по расследованию киберпреступлений Group IB Илья Сачков. По его словам, такие вредоносы чаще всего распространяются через электронные письма, но многие пострадавшие отмечали, что в последнее время не заходили в почту и не открывали сомнительные вложения.

Сачков также предположил, что хакеры вряд ли заразили компьютеры по политическим мотивам. «Это легкий способ монетизации, и он часто используется злоумышленниками в целях обогащения», — подытожил специалист.

Кто стоит за вымогателем

Пока специалисты не знают, что за хакерская группировка разработала WanaCrypt0r 2.0 и провела столь масштабную атаку. Злоумышленники явно воспользовались тем, что многие пользователи не установили последние обновления Windows. Это хорошо заметно на примере серьезно пострадавшего от вируса Китая — как известно, жители Поднебесной питают особую любовь к не получающим апдейты пиратским операционкам.

Зато кое-что известно о самом вирусе. Первые жалобы на WannaCry появлялись еще в феврале 2017 года, но не имели массового характера. В блоге Kaspersky Lab уточняется, что WanaCrypt0r 2.0 — это новая версия WannaCry, использующая уязвимость под кодовым названием EthernalBlue.

Она подробно описана в документах хакерской группировки Shadowbrokers, которая в середине апреля выложила в открытый доступ инструменты сотрудников американского Агентства национальной безопасности. А это значит, что в руки создателей вируса могло попасть в том числе и подробное описание уязвимостей корпорации Microsoft, которые кропотливо собирали для себя американские спецслужбы.

Ряд специалистов утверждает, что хакеры используют и упомянутый в документах АНБ зловред DoublePulsar. Он использует EthernalBlue для проникновения в систему, до предела нагружая ядро Windows и позволяя загрузить на устройство новые вирусы.

Более того, некоторые эксперты отмечают, что EthernalBlue и DoublePulsar якобы были выявлены и разработаны сотрудниками АНБ, а с помощью последнего неизвестные в конце апреля заразили 36 тысяч компьютеров по всему миру. Однако Microsoft еще в марте утверждала, что устранила все описанные в документах АНБ уязвимости в новой версии Windows.

Роль уязвимостей АНБ в работе WanaCrypt0r 2.0 пока еще не подтверждена окончательно. Тем не менее бывший сотрудник американских спецслужб Эдвард Сноуден в своем Twitter уже упрекнул сотрудников спецслужбы в том, что из-за их маниакального желания следить за всем миром и оплошности с утечкой данных страдают вполне реальные люди. Например, сотни пациентов больниц.

Обсудить
Пришли к успеху
Американская секта порабощала женщин, клеймила их и мучила диетами
Шпион, разлогинься
Мировые корпорации породили свои ЦРУ и КГБ, но проиграли интернету
Шам на крови
Что скрывает павшая столица «Исламского государства»
Пиво и сигареты
Тайная жизнь Северной Кореи
Иссам ЗахреддинХалифат убери
Сирийский терминатор три года косил джихадистов, но взорвался в день победы
Новый пират
Пьяный москвич угнал теплоход и пошел на абордаж
Твой папа педофил
Российские женщины все чаще обвиняют мужей в изнасиловании детей
Векселя исчезают в полдень
В Москве расследуют бесследное исчезновение ценных бумаг на 40 миллионов рублей
Король Сильвестр
Новгородский тракторист стал властелином преступной Москвы
«Замуж за американца не хочу»
История москвички, переехавшей в Лос-Анджелес и ставшей продюсером
Доброе утро, Вьетнам!
Еще одна азиатская страна сошла с ума по караоке
«Ее повел на костер собственный брат»
В отрезанной от мира деревне устроили охоту на ведьм
Жируха
В лондонской канализации нашли мерзкое нечто
Дайте грязи: конкуренты вседорожному хэтчу Kia Rio X-Line
Renault Sandero Stepway, Lada Vesta SW Cross и другие приподнятые бюджетники
Как через Instagram продают машины за миллионы
Соцсети, молодеющие покупатели и другие причуды современного рынка суперкаров
Семиместность не порок
Как из пятиместной Mazda CX-5 получился семиместный кроссовер CX-9
Тест: зачем машине эта штуковина?
Попробуйте угадать, зачем инженеры это придумали
Братва помнит
Чем украшают могилы криминальных авторитетов
Интим предлагать
Секс стал способом решения квартирного вопроса
«Я тупо решила, что теперь ем одну гречку»
Одинокая мать год сидела на крупе, чтобы накопить на квартиру
Раз, два, взяли!
Жилье в Крыму пока еще можно купить за копейки