WannaCry (також відомий як WCry, WCrypt, WannaCrypt, WNCRY, і WanaCrypt0r 2.0) — комп'ютерний вірус, що вражає операційну систему Microsoft Windows шляхом шифрування файлів. Вірус атакував урядові та комерційні установи з 12 травня 2017 року. Одними з перших були атаковані комп'ютери Іспанії, згодом вірус поширився на інші країни. Від вірусу також постраждали комп'ютери приватних осіб. Використовується як засіб здирництва.
Станом на 17 червня 2017 року інфіковано комп'ютери 150 країн, кількість інфікованих комп'ютерів перевищила 500 000. Вимога переказати гроші перекладена 28 мовами світу.
Метод атаки Вірус атакує комп'ютери під управлінням ОС Microsoft Windows шляхом шифрування файлів користувача, після чого виводить повідомлення про перетворення файлів з пропозицією протягом 3 днів здійснити оплату ключа дешифрування в біткойнах в еквіваленті суми $300 для розблокування даних. Якщо потрібна сума не надійде, то сума автоматично буде збільшена вдвічі. На 7 день вірус знищить дані.
Повідомлення виводиться мовою держави, де розташовується ПК: у Великій Британії — англійською, в Іспанії — іспанською. Розмір викупу скрізь однаковий. Заражено десятки тисяч комп'ютерів у всьому світі.Як вірусом-здирником заражаються комп'ютери по всьому світу. Карта , ТСН, 12 травня 2017
Атака стала можливою через відому вразливість ОС Windows під назвою Microsoft Security Bulletin MS17-010 (EternalBlue) Компанія Майкрософт, виробник ОС Microsoft Windows рекомендувала оновити свою ОС. Про ранні версії WannaCrypt було відомо ще в лютому 2017 року. Майкрософт 14 березня випустила оновлення, що нейтралізує вразливість. Сама вразливість використовувалася Агентством національної безпеки США. Хакери опублікували кілька готових інструментів АНБ у вільному доступі. Майкрософт пішла на нестандартний крок і вирішила випустити патч також для Windows XP, Windows 8 і Windows Server 2003, які вже не підтримуються компанією і тому не отримували оновлень безпеки. Станом на 13 травня патч є для таких версій: Windows Vista, Windows Server 2008, Windows 7, Windows Server 2008 R2, Windows 8.1, Windows Server 2012, Windows 10 і Windows Server 2016, також доступні оновлення ядер для інших версій ОС.
Вірус змінює розширення інфікованого файлу на «.WNCRY». Зашифровані файли також містять на початку файлу рядок «WANACRY!».
За повідомленням компанії Avast Antivirus (виробника антивірусу), її антивірус ловить всі модифікації вірусу, однак вони радять оновити й Windows.
У Великій Британії інфікування комп'ютерів в лікарнях стало можливим через те, що близько 1000 ПК дотепер використовують стару версію Windows XP.
Перебіг подій 12 травня 2017 року вірус Wannacrypt поширився світом. Атаки зазнали багато країн, але найбільше інфікованих комп'ютерів у кількох — в Україні, Росії, Тайвані, Британії, Іспанії, Німеччині.
Спочатку були атаковані ПК в Іспанії, компанії Telefónica, Gas Natural, Iberdrola, що займається постачанням електрики, Centro Nacional de Inteligencia, банк Santander і філія консалтингової компанії KPMG. Атаки розпочалися вдень 12 травня
У Великій Британії було інфіковано комп'ютери в лікарнях (NHS trusts), а в Іспанії — іспанська телекомунікаційна компанія «Telefónica», одна з найбільших телефонних компаній у світі (четверта за кількістю абонентів). У Росії були атаковані міністерства, Сбербанк і МегаФон.У Росії масштабний вірус-вимагач атакував комп'ютери міністерств, «Сбербанку» та «Мегафона» , ТСН, 13 травня 2016 У Німеччині були інфіковані комп'ютери Deutsche Bahn.
Увечері 13 травня видання Медуза повідомило, що зловмисники встигли заробити близько 6000 дол.
МВС Росії спочатку спростовувало зараження своїх ПК вірусом, хоча пізніше підтвердило. Ірина Вовк, офіційний представник МВС Росії заявила: «Серверні ресурси МВС Росії не піддавалися зараженню завдяки використанню інших операційних систем і вітчизняних серверів з російським процесором „Ельбрус“». Кількість заражених ПК склала близько 1000, що становить близько 1 % всіх комп'ютерів МВС. В деяких областях РФ мережа МВС тимчасово не працювала.
Станом на 13:20 13 травня, за даними сайту MalwareTech botnet tracker,WCRYPT , MalwareTech botnet tracker інфіковано 131 233 комп'ютерів у всьому світі, з них онлайн — 1145.
Вдень 13 травня французький автовиробник Renault оголосив, що зупинив роботу своїх заводів, щоб перевірити свої ПК.Renault остановил несколько заводов после кибератаки , gazeta.ru, 13 травня 2016 Інший автозавод — Nissan Motor Manufacturing UK (Тайн і Вір, Англія) також зупинив виробництво через вірус.
По обіді 13 травня англійський програміст Маркус Хатчінс зареєстрував домен iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com , до якого звертається вірус і таким чином заблокував його роботу.
Атрибуція атаки
Спочатку відповідальними за хакерську атаку британське видання The Telegraph назвало угрупування Shadow Brokers, пов'язану з російськими урядовими структурами.
Проте вже в червні 2017 року британський Національний центр з кібербезпеки () поклав відповідальність за атаку на КНДР. В грудні того ж року уряд Сполучених Штатів оприлюднив власні висновки, згідно яких відповідальність лежить на угрупуванні Lazarus Group, за яким стоїть уряд КНДР.
Див. також Хакерські атаки на Україну (2017) EternalBlue Пак Чин Хьок
Примітки
Посилання Ransom: Win32/Wannacrypt.A!rsm at Microsoft Malware Protection Center