Het is voorlopig nog onduidelijk wie achter deze aanvallen zit en wat de initiële infectievector is.

Transcriptie

1 WannaCry TLP: WHITE

2 1 CONTEXT Op vrijdag 12/05/2017 is een besmetting met een variant van het WannaCrypt (f Wanna/WaCry) vastgesteld bij verschillende grte bedrijven in Spanje. Krt daarna heeft dezelfde ransmware tt 48 gezndheidsrganisaties in het V.K. getrffen, waarna het zich heeft verspreid in meer dan 150 landen ver de hele wereld (er wrdt pgemerkt dat verspreid niet betekent besmet ). Ransmware is een srt kwaadaardige sftware, ntwrpen m de tegang tt cmputerbestanden te blkkeren dr ze te versleutelen. Hackers vragen dan een sm geld m de bestanden te herstellen (zie vrig verslag van CERT.be[1]). Eenmaal de bestanden besmet zijn, kan het slachtffer maar weinig den: fwel betalen, de bestanden herstellen vanuit een back-up f de versleutelde infrmatie kwijt zijn. Het is vrlpig ng nduidelijk wie achter deze aanvallen zit en wat de initiële infectievectr is. Waarm is deze campagne gevaarlijk? Eenmaal een testel van een bedrijfsnetwerk besmet is, verspreidt de malware zich via een explit (kwetsbaarheid) die eerder gebruikt werd dr de NSA en recent publiek werd gemaakt dr de Shadw Brkers. Deze kwetsbaarheid is in maart gepatcht dr Micrsft, maar aangezien het m een recente patch gaat, wrdt verndersteld dat veel cmputer kwetsbaar zijn. Met andere wrden, zdra de ransmware één testel in het netwerkt heeft besmet, zal het zich zeer snel binnen dat netwerk verspreiden znder tussenkmst van de gebruikers. Deze malware bestaat uit twee elementen; het eerste verspreidt de malware ( drpper ), en het tweede is de malware zelf. Mmenteel kunnen nderzekers de uitvering van de malware stppen, maar de enige manier m de drpper te stppen is de Micrsft security update MS installeren. Verschillende antivirussen hebben de ransmware-handtekening al pgenmen in hun databank. WannaCry - 16 May 2017 TLP: White 2

3 2 AANBEVELINGEN He kunt u zich wapenen tegen WannaCry? Om zich te verdedigen tegen WannaCry dient rekening te wrden gehuden met de vlgende essentiële aanbevelingen: De eindgebruikers bewust maken m de initiële besmetting via phishing te vrkmen. Er met vrzichtig wrden mgesprngen met mails die links en bijlagen bevatten. Zrg ervr dat de Micrsft security patch (MS17-010)[2] is geïnstalleerd in heel uw rganisatie (k p het interne netwerk) m de verspreiding van de malware via de SMB-explit te vrkmen. Micrsft heeft k een patch uitgebracht vr niet-ndersteunde versies, zals XP en Windws Server Zrg ervr dat de SMB-diensten van Windws services (gewnlijk TCPprt 445) niet rechtstreeks in verbinding staan met het internet. Daarnaast kunnen uw systeembeheerders dit prtcl k cntrleren. Zrg ervr dat recente back-ups ffline beschikbaar zijn en gemakkelijk hersteld kunnen wrden. White-list de vlgende dmeinnamen zdanig dat de kill-switch [3] werkt: iuqerfsdp9ifjapsdfjhgsurijfaewrwergwea.cm ifferfsdp9ifjapsdfjhgsurijfaewrwergwea.cm Bvendien is de kill-switch niet bewust van een prxy. Dit betekent dat lkale DNS recrds ndig zijn. Dit heft niet te verwijzen naar het internet, maar kan reslven naar elke bereikbare server die verbindingen accepteert p TCP 80 [4]. Wat te den in geval van een besmetting? Alle geïnfecteerde hsts van het netwerk isleren. De ransmware van het geïnfecteerde systeem verwijderen. Het systeem vlledig pnieuw installeren indien ndig. Je bestanden terugzetten vanuit je back-ups. Indien je geen back-ups hebt, kan je een kpie van de versleutelde bestanden bewaren vr wanneer er een ntsleuteltl beschikbaar zu wrden [5]. De besmetting melden aan de lkale plitie en aan CERT.be. WannaCry - 16 May 2017 TLP: White 3

4 Gede praktijken Zrg ervr dat je altijd ver de nieuwste versie van de sftware beschikt. Blijf eindgebruikers regelmatig bewustmaken van phishing en veiligheidsrisic s. Implementeer interne netwerksegmentering m de schade te beperken in geval van gevaar. U kunt meer tips vinden p de vlgende websites: Cert.be Safenweb.be Nmreransm.rg WannaCry - 16 May 2017 TLP: White 4

5 3 FAQ S Q: Wat is de impact van de cyberaanval? A: Vlgens de recentste verslagen zijn meer dan cmputers in meer dan 150 landen geïnfecteerd. Het gaat k m verheidsinstellingen en kleine en grte bedrijven. In België lijkt de impact relatief klein te zijn. Deskundigen waarschuwen dat deze cyberaanval als een wake-up call met wrden gezien. Anders zullen we kwetsbaar blijven vr cyberaanvallen. Q: Welke besturingssystemen liggen nder vuur? A: De WannaCry-campagne heeft het mmenteel enkel gemunt p besturingssystemen die p Windws 8 en lager draaien. Q: Met ik betalen? Het wrdt niet aangeraden m lsgeld te betalen. Er bestaat geen garantie dat je files na de betaling pnieuw tegankelijk zullen zijn. Als je betaalt, betekent dat k dat je een criminele rganisatie steunt die cybercriminelen stimuleert m hun illegale activiteiten vrt te zetten. Bvendien is het mgelijk dat de malware na de betaling p je cmputersysteem blijft staan. Q: Waar meld ik dat mijn systeem geïnfecteerd is? A: Een slachtffer van ransmware kan het incident altijd melden aan de lkale plitie en aan CERT.be via het adres <cert@cert.be>. WannaCry - 16 May 2017 TLP: White 5

6 4 BRONNEN [1] [2] [4] [5] Nmreransm.rg [3] WannaCry - 16 May 2017 TLP: White 6