Il demone WannaCry, il verme che piangeva in Bitcoin

Leggenda

Il 12 maggio 2017 si diffuse da solo usando EternalBlue, l'exploit attribuito alla NSA e diffuso dagli Shadow Brokers, e in pochi giorni colpì oltre 200.000 computer in 150 paesi, compresi gli ospedali del servizio sanitario britannico. La sua corsa si fermò quando un ricercatore registrò un dominio che faceva da interruttore. Stati Uniti e Regno Unito lo attribuirono alla Corea del Nord.

Esorcismo

Si esorcizza applicando le patch (MS17-010 era uscita due mesi prima) e disattivando SMBv1. La porta 445 non va mai esposta su Internet, e i backup offline salvano il resto.

Scheda tecnica

Noto anche come: WanaCry, WanaCrypt0r, WCry
Girone: III girone · Ransomware ed estorsione · I girone · Vermi · V girone · Spionaggio di Stato
Prima apparizione: 2017
Stato: Dormiente
Armi (CVE sfruttati): Sant'EternalBlue, fuggito dall'arsenale
Opere: La grande piaga di WannaCry · Il miracolo del dominio di MalwareTech

A ransomware worm released on 12 May 2017 that spread automatically via EternalBlue, the exploit attributed to the NSA and leaked by the Shadow Brokers, infecting over 200,000 computers in 150 countries including NHS hospitals. Spread was halted when a researcher registered its kill-switch domain. The US and UK attributed it to North Korea's Lazarus Group.

Fonti: attack.mitre.org · attack.mitre.org · justice.gov · Riferimento MITRE ATT&CK S0366