[Segurança] Perguntas e Respostas (FAQ) sobre o ransomware WannaCry

Como o meu post sobre o ransomware WannaCry está ficando grande, resolvi resumir as principais dúvidas sobre ele aqui.

O que é o WannaCry?

O WannaCry (ou Wcry, WannaCryptor, Win32/WannaCrypt) é um ransomware, um tipo de código malicioso que "sequestra" computadores para exigir um dinheiro em troca de devolver o acesso ao seu dono.  Veja um vídeo sobre o Ransonware WannaCryptor.

Como ele consegue infectar os computadoes?

O WannaCry explora uma vulnerabilidade do sistema operacional Windows, identificada como MS17-010, que permite execução remota de um código através de uma vulnerabilidade no serviço Server Message Block (SMBv1). Para explorar essa falha e invadir os computadores, o WannaCry usa um exploit chamado EternalBlue, que vazou da NSA.
Uma vez infectada a máquina, ele encripta os arquivos e mostra uma tela na qual exige um resgate de 300 dólares, a serem pagos em bitcoins em, no máximo, 7 dias (o valor do "sequestro" aumenta para US$ 600 após as primeiras 72 horas).

Os dois vídeos abaixo (um e dois) mostram o WannaCry funcionando.

Como o WannaCry se espalha?

Após infectar sua vítima, o ransomware procura outras máquinas na rede local e na Internet e utiliza o protocolo SMB para infectar estas máquinas. Para se espalhar pela Internet, ele usa um gerador de números aleatórios para criar endereços IP randômicos.

Porque ele se espalha tão rapidamente?

O WannaCry é um ransomware que se comporta como um "worm" (verme), infectando novas vítimas automaticamente, sem necessidade de intervenção do usuário. Ele procura computadores na rede e utiliza um exploit para infectar qualquer computador vulnerável que encontre.

É verdade que conseguiram parar a onda de ataques do WannaCry?

Sim. Alguns pesquisadores registraram um domínio que constava no código do malware. Ao fazer isso, perceberam que ele consulta o dominio ao infectar uma máquina e, se o malware consegue acessar o dominio, ele interrompe a infecção. Esse "kill switch" ("botão de desligar", numa tradução livre) não salva a vida de quem já está infectado e com seus dados criptografados, mas dificulta que o malware se espalhe.

Devo bloquear esse domínio que o WannaCry acessa?

NÃO!!!!! Se você bloquear (em seu Firewall, por exemplo) o domínio que o WannaCry tenta acessar (www[.]iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea[.]com), você vai impedir que ele se "desligue". Ou seja, se o WannaCry estiver na sua rede e não conseguir acessar este domínio, ele vai infectar as máquinas vulneráveis.
A melhor estratégia é monitorar e alarmar toda vez que algum computador da sua rede tentar acessar este domínio: isso vai indicar que o ransomware está ativo e tentando se espalhar na sua rede.

É verdade que descobriram a senha que desencripta os arquivos?

NÃO!!!!! Alguns pesquisadores encontraram a senha "WNcry@2o17" dentro do código do WannaCrypt, mas ela não é usada para criptografar os arquivos. Ela é usada pelo ransomwae para baixar seu payload através de um arquivo Zip protegido com essa senha.
O WannaCry utiliza o algoritmo de criptografia AES para criptografar os arquivos da vítima, e usa uma chave de criptografia protegida por outra criptografa, mais forte ainda, com o algoritmo RSA e uma chave de 2048 bits.

Como Prevenir e evitar ser invadido?

Neste meu post (de 2014), eu cito algumas ações preventivas que as empresas deveriam tomar contra ransomwares. As principais recomendações são as seguintes:

• O mais importante: mantenham seus computadores Windows atualizados. O patch está dsponível no site da Microsoft desde Março deste ano e liberou um patch emergencial para versões antigas do Wundows (Windows XP, Windows Server 2003 e Windows 8);
• A Microsoft também publicou um artigo com orientações para os usuários do Windows sobre como evitar o ataque;
• Avalie a possibilidade de desabilitar o protocolo SMB (a Microsoft recomenda fazer isso só emergencialmente);
• Bloquear o tráfego SMB nos Firewalls de borda (que protegem a conexão com a Internet e outras redes externas). Eles devem bloquear tráfego de entrada e saída nas portas 137 e 138 UDP e as portas TCP 139 e 445;
• Bloquear o acesso das máquinas internas de sua rede para IPs externos associados a rede TOR;
• Manter seu antivírus atualizado;
• Manter backup atualizado de seus dados.

O vídeo abaixo, da TrendMicro, resume um pouco como se prevenir do ataque do WannaCry.

Como descobrir que o WannaCry infectou algum computador na minha empresa?

Já foram identificados vários indicadores do ataque (IOC) que podem ser usados na rede ou nos computadores:

• Hash (SHA256) dos códigos executáveis (esta é a lista original, pois já apareceram centenas de variações, com hashs distintos:
  • 09a46b3e1be080745a6d8d88d6b5bd351b1c7586ae0dc94d0c238ee36421cafa
  • 24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c
  • 2584e1521065e45ec3c17767c065429038fc6291c091097ea8b22c8a502c41dd
  • 2ca2d550e603d74dedda03156023135b38da3630cb014e3d00b1263358c5f00d
  • 4a468603fdcb7a2eb5770705898cf9ef37aade532a7964642ecd705a74794b79
• Hash (MD5) dos códigos executáveis, segundo a Kaspersky (esta é a lista original, pois já apareceram centenas de variações, com hashs distintos):
• 4fef5e34143e646dbf9907c4374276f5
• 5bef35496fcbdbe841c82f4d1ab8b7c2
• 775a0631fb8229b2aa3d7621427085ad
• 7bf2b57f2a205768755c07f238fb32cc
• 7f7ccaa16fb15eb1c7399d422f8363e8
• 8495400f199ac77853c53b5a3f278f3e
• 84c82835a5d21bbcf75a61706d8ab549
• 86721e64ffbd69aa6944b9672bcabb6d
• 8dd63adb68ef053e044a5a2f46e0d2cd
• b0ad5902366f860f85b892867e5b1e87
• d6114ba5f10ad67a4131ab72531f02da
• db349b97c37d22f5ea1d1841e3c89eb4
• e372d07207b4da75b3434584cd9f3450
• f529f4556a5126bba499c26d67892240
• Após infectar a máquina, o ransomware tenta acessar o seguinte website:
• www[.]iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea[.]com
• Já foi encontrada uma variante que usa um domínio diferente:
  ifferfsodp9ifjaposdfjhgosurijfaewrwergwea[.]com
• Para tentar se espalhar, o WannaCry escaneia IPs da rede local e IPs válidos na Internet buscando pela porta TCP/445
• Extensão de arquivo associadas ao ransonware: .WNCRY
• Ao se instalar, ele cria o arquivo %SystemRoot%\tasksche.exe
• Ao se instalar, ele cria o serviço mssecsvc2.0
• Ele cria ou altera as seguintes chaves de registro no Windows:
• HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\\ = “\tasksche.exe”
• HKLM\SOFTWARE\WanaCrypt0r\\wd = “”
• HKCU\Control Panel\Desktop\Wallpaper: “\@WanaDecryptor@.bmp”
• Ele cria diversos arquivos no computador da vítima, incluindo os seguintes:
• @Please_Read_Me@.txt
• r.wnry
• s.wnry
• t.wnry
• taskdl.exe
• taskse.exe
• 00000000.eky
• 00000000.res
• 00000000.pky
• @WanaDecryptor@.exe
• m.vbs
• @WanaDecryptor@.exe.lnk

Que tipos de arquivo ele encripta na máquina infectada?

Ele procura todo o computador por qualquer arquivo com as seguintes extensões: .123, .jpeg , .rb , .602 , .jpg , .rtf , .doc , .js , .sch , .3dm , .jsp , .sh , .3ds , .key , .sldm , .3g2 , .lay , .sldm , .3gp , .lay6 , .sldx , .7z , .ldf , .slk , .accdb , .m3u , .sln , .aes , .m4u , .snt , .ai , .max , .sql , .ARC , .mdb , .sqlite3 , .asc , .mdf , .sqlitedb , .asf , .mid , .stc , .asm , .mkv , .std , .asp , .mml , .sti , .avi , .mov , .stw , .backup , .mp3 , .suo , .bak , .mp4 , .svg , .bat , .mpeg , .swf , .bmp , .mpg , .sxc , .brd , .msg , .sxd , .bz2 , .myd , .sxi , .c , .myi , .sxm , .cgm , .nef , .sxw , .class , .odb , .tar , .cmd , .odg , .tbk , .cpp , .odp , .tgz , .crt , .ods , .tif , .cs , .odt , .tiff , .csr , .onetoc2 , .txt , .csv , .ost , .uop , .db , .otg , .uot , .dbf , .otp , .vb , .dch , .ots , .vbs , .der” , .ott , .vcd , .dif , .p12 , .vdi , .dip , .PAQ , .vmdk , .djvu , .pas , .vmx , .docb , .pdf , .vob , .docm , .pem , .vsd , .docx , .pfx , .vsdx , .dot , .php , .wav , .dotm , .pl , .wb2 , .dotx , .png , .wk1 , .dwg , .pot , .wks , .edb , .potm , .wma , .eml , .potx , .wmv , .fla , .ppam , .xlc , .flv , .pps , .xlm , .frm , .ppsm , .xls , .gif , .ppsx , .xlsb , .gpg , .ppt , .xlsm , .gz , .pptm , .xlsx , .h , .pptx , .xlt , .hwp , .ps1 , .xltm , .ibd , .psd , .xltx , .iso , .pst , .xlw , .jar , .rar , .zip , .java , .raw

Como identificar se o WannaCry está tentando se espalhar pela minha rede?

Para tentar se espalhar, o WannaCry escaneia IPs da rede local e IPs válidos na Internet buscando pela porta TCP/445. Monitore quantidades excessivas deste tráfego e, principalmente, tentativas de sair para a Internet nesta porta.
Além disso, você pode monitorar tentativas de acesso ao domínio que ele usa como "kill stitch": www[.]iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea[.]com

Tem assinatura do ataque para conseguir identificá-lo em um SNORT?

Sim, a IBM disponibilizou uma assinatura para o SNORT.

Tem assinatura do ataque para conseguir identificá-lo na ferramenta Netwitness da RSA?

Sim, é possível identificar facilmente o WannaCry através da Suite Netwitness. Pode-se bloquear os hashs conhecidos através do Netwitness Endpoint e também aplicar o segunte filtro no Netwitness Packets:

threat.source=rsa-firstwatch && threat.category=ransomware && threat.desc=wannacry

Adianta tentar bloquear os IPs dos servidores que o WannaCry tenta se comunicar?

Algumas empresas divulgaram uma lista de endereços IP dos servidores de controle do WannaCry. Eu acredito que não adianta bloquesr estes IPs, pois como ele usa a rede TOR para se comunicar com os seus servidores, ele pode usar qualquer endereço IP de entrada na rede TOR, que são IPs que variam frequentemente.

Adianta desligar a minha rede e meus computadores?

Há notícias de empresas que optaram por preventivamente destivar sua rede e desligar seus computadores para tentar conter ou evitar a infecção. Para ser sincero, não acho que elas estão erradas, pois isso evitaria a contaminação. Mas o mais importante mesmo é atualizar seus servidores e desktops Windows.
Você deve fazer uma parada emergencial programada no ambiente: primeiro desligar os dispositivos de redes dos usuários (rede física e Wifi) e começar atualizando os servidores. Depois vai religando as redes dos usuários parcialmente e força a atualização das máquinas conforme elas voltam ao ar.

O que fazer se os arquivos foram criptografados pelo WannaCry.

Tenha calma e não pague o resgate! Verifique quando vocês fizeram backup pela última vez e dê uma olhada no site do seu fabricante de antivírus e no site www.nomoreransom.org, para ver se há novas dicas ou ferramentas para recuperar seus arquivos.
NÃO baixe programas da Internet que prometem apagar o ransomware, a menos que sejam de fonte confiável.

Devo pagar o resgate para recuperar os arquivos criptografados pelo WannaCry.

NÃO!!! É concenso entre os profissionais de segurança que o resgate não deve ser pago!
Os principais motivos são que não há garantia nenhuma que você conseguirá ter acesso aos seus dados (pois pode acontecer do ciber criminoso não te dar a senha ou que esta senha não vá funcionar) e, além disso, fazendo assim você estará motivando o ciber criminoso a continuar prejudicando as pessoas.
O ideal é aguardar até que as empresas de segurança consigam descobrir como recuperar os arquivos. Converse com seu fornecedor de solução de antivírus.
Mas, cá entre nós, provavelmente o desespero vai bater e você ficará tentado(a) a pagar o resgate.

É possível recuperar os arquivos criptografados pelo WannaCry?

TALVEZ!!!
Desde a quinta-feira, dia 18/5, surgiram algumas ferramentas que permitem recuperar os arquivos encriptados, sem necessidade de pagar os ciber criminosos:

• Wannakey - primeira ferramenta que surgiu, diz funcionar em Windows XP;
• WanaKiwi - consegue recuperar os primos em Windows XP, 2003 (x86), Vista, 2008, 2008 R2 e Windows 7.

O principal problema é que estas ferramentas só funcionam se o computador não foi desligado nem reinicializado desde o momento em que foi infectado. Isso porque elas recuperam informações que são mantidas em memória.

Além disso, pesquisadores da Kaspersky anunciaram que descobriram algumas falhas no código do WannaCry que permite recuperar os arquivos originais:

• Arquivos em folders "importantes" (como as pastas "Desktop" e "Documents") não podem ser recuperados, pois o WannaCry sobrescreve eles antes de apagá-los;
• Arquivos em outras pastas nas pastas nos discos do sistema operacional são movidos para a pasta escondida "%TEMP%\%d.WNCRYT" (aonde %d representa um número) e depois apagadas, mas de forma que qualquer ferramenta de recuperação de arquivos pode conseguir recuperá-los;
• Arquivos em discos que não são do sistema são movidos para a pasta “$RECYCLE” e configurados como "hidden+system". Devido a um bug, as vezes os arquivos originais podem ser recuperados por uma ferramenta de recuperação de arquivos;
• Arquivos com restrição de acesso "ready-only" não são removidos, apenas escondidos no sistema operacional usando a flag de "hidden". Uma busca simples pode encontrá-los.

Quanto dinheiro já foi arrecadado pelos criadores do WannaCry?

Alguns pesquisadores criaram um site para monitorar quanto foi enviado para os criadores do WannaCry (monitorando 3 das carteiras de bitcoins deles): http://howmuchwannacrypaidthehacker.com

Esse ataque pode ser considerado um ato de "cyber guerra"?

NÃO!!! Isso não tem nada a ver com guerra cibernética, que é o conflito entre países ou ideologias. O WannaCry é um ransomware com objetivo de ganhar dinheiro através da extorsão. É um caso de crime cibernético.

Esse ataque foi direcionado a empresas de Telecom?

NÃO!!! Esse é um ransonware que tenta atacar qualquer computador vulnerável que ele encontre na Internet e na rede local. Há relatos de todo tipo de empresa sendo atacada em todo o mundo: banos, hospitais, escolas, empresas de telecom, etc. Não há um alvo específico!
Obviamente as grandes empresas (bancos, teles) são as mais afetadas pois costumam ter grande quantidade de computadores, e algumas vezes falham em mantê-los atualizados.

Qual é a principal lição que deveria ser aprendda com esse ataque?

Que devemos manter nossos sistemas sempre atualizados, aplicando os patches o mais rápido possível.

Há novas versões do WannaCry?

Sim, com certeza. Além de centenas de variantes, versões com assinatura MD5 diferente, já se fala do WannaCry 2.0, que não teria um "kill switch" (um domínio associado que faria parar a propagação dele). E vamos ver muitos malwares novos surgindo nos próximos dias, usando técnicas similares. Isso ocorre porque o código-fonte relacionado ao exploit utilizado tornou-se público. Logo, qualquer outro ciber criminoso pode adaptá-lo para seu malware.

Tem algum comentário ou meme que posso usar para trollar a galera?

Já tem várias piadinhas circulando por aí. Seguem algumas:

• Use servidores Linux em vez de Windows.

O site Data Breach Today publicou uma FAQ bem interessante.

Nota: Post atualizado em 05/06.