Anatomy of a Global Cyber Catastrophe: Kako je WannaCry Paralisao Svet u 24 Sata

Dana 12. maja 2017. godine, svet se suočio sa jednim od najrazornijih kibernetičkih napada u istoriji internet tehnologija. U rasponu od samo nekoliko sati, rancomver (ransomware) poznat pod nazivom WannaCry (takođe poznat i kao WannaDecryptor, WCRY ili WNCRY) zarazio je preko 200.000 računara u više od 150 zemalja.

Za razliku od klasičnih računarskih virusa koji zahtevaju da korisnik klikne na sumnjivi link ili preuzme štetni prilog iz e-pošte, WannaCry je posedovao sposobnost samostalnog širenja kroz mreže poput mrežnog crva (worm). Njegove žrtve nisu bili samo pojedinci – napad je paralisao ključne infrastrukture: britanske bolnice, globalne logističke gigante, železnice, telekomunikacione kompanije i vladine institucije.

Ovaj članak donosi detaljnu analizu porekla, mehanizma delovanja, posledica i lekcija koje je svet naučio iz WannaCry epidemije.

1. Poreklo i Pozadina Napada

Da bi se razumeo siloviti zamah WannaCry napada, neophodno je analizirati dva ključna faktora koji su prethodili njegovom izbijanju: curenje tajnog oružja američke Agencije za nacionalnu bezbednost (NSA) i nemar organizacija u održavanju bezbednosti računarskih sistema.

Exploiti NSA i Shadow Brokers

U avgustu 2016. godine, hakerska grupa poznata kao The Shadow Brokers počela je sa objavljivanjem poverljivih alata i hakeraških oprema ukradenih od jedinice Equation Group (koja se povezuje sa NSA). U aprilu 2017. godine, ova grupa je javno objavila paket alata pod nazivom “Lost in Translation”.

Među objavljenim datotekama nalazio se i EternalBlue – izuzetno moćan exploit koji je iskorišćavao ranjivost u Microsoft-ovom protokolu za deljenje fajlova i štampača: Server Message Block v1 (SMBv1). Ova ranjivost pod oznakom CVE-2017-0144 omogućavala je napadačima da udaljeno izvrše zlonamerni kod na bilo kom nepokrivenom Windows računaru priključenom na mrežu ili internet, bez ikakve potrebe za autentifikacijom ili interakcijom korisnika.

Zastareli sistemi i “MS17-010”

Microsoft je uočio ozbiljnost ove ranjivosti i 14. marta 2017. godine – dva meseca pre WannaCry napada – izdao bezbednosnu zakrpu pod nazivom MS17-010.

Međutim, hiljade organizacija širom sveta nisu primenile ovu zakrpu na vreme. Razlozi su bili mnogobrojni:

Korišćenje zastarelih i nepodržanih operativnih sistema (poput Windows XP i Windows Server 2003) za koje zakrpe prvobitno nisu ni izdate.

Spori i kompleksni procesi ažuriranja u velikim korporativnim i zdravstvenim sistemima.

Nepostojanje adekvatne politike segmentacije mreže i bezbednosne svesti.

[ Ranjivost u SMBv1 ] ──> [ NSA kreira EternalBlue ] ──> [ Shadow Brokers objavljuju exploit ]

                                                                     │

[ Neažurirani Windows sistemi ] <── [ WannaCry spaja Exploit + Ransomware ]

2. Kako je WannaCry Funkcionisao?

WannaCry nije bio običan rancomver – bio je to mrežni crv opremljen modulom za enkripciju.

Faze Infekcije i Širenja

Infiltracija i skeniranje: Nakon što bi zarazio jedan računar na mreži, WannaCry bi počeo agresivno da skenira lokalnu mrežu (LAN), kao i slučajne IP adrese na internetu, tražeći otvorene portove 445 (port koji koristi SMB protokol).

Eksploatacija (EternalBlue): Kada bi pronašao ranjiv sistem, iskoristio bi EternalBlue exploit za ubacivanje backdoor programa nazvanog DoublePulsar.

Izvršavanje koda: Putem DoublePulsar-a, na ciljani sistem bi se instalirao i izvršio sam zlonamerni softver WannaCry.

Enkripcija podataka: Zlonamerni softver bi potom skenirao sve lokalne i mrežne diskove, tražeći preko 170 različitih tipova fajlova (dokumenata, slika, arhiva, baza podataka) i šifrovao ih koristeći kombinaciju RSA-2048 i AES-128 enkripcije.

Zahtev za otkupninu: Svim šifrovanim fajlovima dodavana je ekstenzija .WNCRY. Na radnoj površini žrtve pojavljivao bi se prozor sa porukom i satom koji odbrojava vreme.

Poruka o otkupnini: Napadači su tražili iznos od 300 američkih dolara u Bitcoin-u po računaru. Ukoliko se otkup ne plati u roku od tri dana, iznos se duplirao na 600 dolara. Nakon sedam dana, napadači su pretili trajnim brisanjem svih podataka.

3. Globalne Posledice i Najveće Žrtve

Brzina kojom se WannaCry širio iznenadila je bezbednosne stručnjake širom sveta. U roku od samo 24 sata od prvog registrovanog slučaja, šteta je bila merena milijardama dolara.

Britanski zdravstveni sistem (NHS)

Jedna od najteže pogođenih institucija bila je Nacionalna zdravstvena služba Ujedinjenog Kraljevstva (NHS). Preko 80 zdravstvenih ustanova (bolnica, klinika i ordinacija) pretrpelo je blokadu računarskih sistema.

Računari na odeljenjima za hitne slučajeve otkazali su poslušnost.

Pacijenti su preusmeravani u druge bolnice.

Otkazano je više od 19.000 operacija i pregleda.

Zdravstveni radnici su bili prinuđeni da pređu na ogradni rad sa papirima i olovkama.

Globalne korporacije i javni sektor

Napad nije zaobišao ni najveće svetske gigante:

Telefónica (Španija): Telekomunikacioni gigant morao je da naloži zaposlenima da isključe sve računare i mrežu.

FedEx (SAD): Podružnica TNT Express pretrpela je ogromne gubitke i zastoje u isporuci pošiljki koji su trajali nedeljama.

Deutsche Bahn (Nemačka): Mrežni ekrani na železničkim stanicama širom Nemačke prikazivali su poruku o šifrovanim fajlovima umesto reda vožnje.

Renault (Francuska): Kompanija je morala privremeno da zaustavi proizvodnju u nekoliko fabrika kako bi sprečila širenje virusa.

Ministarstvo unutrašnjih poslova Rusije: Više od 1.000 računara u policijskim stanicama bilo je van funkcije.

4. Neočekivani Spasilac: “Kill Switch” i Marcus Hutchins

Dok je epidemija pretila da u potpunosti parališe globalnu infrastrukturu, usledio je preokret zahvaljujući tada 22-godišnjem britanskom istraživaču bezbednosti po imenu Marcus Hutchins (poznatom pod online nadimkom MalwareTech).

Otkriće sigurnosnog prekidača

Analizirajući kod koda WannaCry virusa u izolovano okruženju (sandbox), Hutchins je primetio neobičnu funkciju. Pre nego što bi započeo proces enkripcije, virus bi pokušao da pošalje zahtev ka specifičnoj, nepostojećoj web adresi:

[www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com](https://www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com)

Ukoliko domen nije postojao, virus bi nastavio sa širenjem i enkripcijom. Međutim, ukoliko bi domen bio aktivan i vraćao odgovor, WannaCry bi automatski prekinuo svoje izvršavanje.

Ova funkcija je bila ugrađena kao takozvani Kill Switch – mehanizam koji su autori zlonamernog koda verovatno ostavili kako bi spričili analizu u bezbednosnim laboratorijama ili lakše kontrolisali širenje virusa.

[ Start WannaCry ] ──> Skenira domen (iuqerfsodp…)

                             │

            ┌────────────────┴────────────────┐

            ▼                                 ▼

    [ Domen Nepostoji ]               [ Domen Aktivan ]

            │                                 │

            ▼                                 ▼

   Nastavi Enkripciju                Prekini Rad (STOP)

Registracija domena koja je spasila milione

Ne znajući unapred šta će se dogoditi, Hutchins je kupio taj neobični domen za svega 10,69 američkih dolara kako bi pratio saobraćaj i kretanje botneta.

U trenutku kada je domen postao aktivan na internetu, stotine hiljada WannaCry instanci širom sveta dobile su potvrdan odgovor i momentalno obustavile dalju enkripciju i širenje. Ovaj jednostavan čin spasio je stotine hiljada računara (naročito u SAD, gde se napad tek razvijao zbog vremenske zone).

5. Ko je Stajao Iza Napada?

U mesecima nakon napada, vodeće svetske agencije za sajber-bezbednost, uključujući FBI, britanski National Cyber Security Centre (NCSC) i privatne kompanije poput Symantec-a i Kaspersky-og, sprovele su opsežnu forenzičku istragu.

Povezanost sa Lazarus Group

Analiza koda pokazala je značajna preklapanja u strukturi i algoritmima između WannaCry-ja i ranijih zlonamernih softvera koje je koristila hakerska grupa Lazarus Group – državnički sponzorisana hakerska organizacija povezana sa vladom Severne Koreje.

Lazarus Group je prethodno optužena za velike kibernetičke incidente, uključujući:

Napad na Sony Pictures 2014. godine.

Pljačku Centralne banke Bangladeša 2016. godine (krađa 81 milion dolara).

U decembru 2017. godine, vlade Sjedinjenih Američkih Država, Velike Britanije i Australije zvanično su optužile Severnu Koreju za organizovanje i izvođenje WannaCry napada. Uprkos finansijskim zahtevima u Bitcoin-u, analitičari veruju da je primarni cilj napada bio izazivanje opšteg haosa i prikupljanje deviznih sredstava za režim pod sankcijama, mada su sami napadači od otkupnina uspešnije sakupili tek oko 140.000 dolara.

6. Lekcije i Dugoročni Uticaj na Sajber-Bezbednost

WannaCry je poslužio kao dramatičan poziv na buđenje celokupnoj globalnoj IT zajednici. Iz korena je promenio način na koji organizacije posmatraju digitalnu bezbednost.

Ključne pouke:

Značaj upravljanja zakrpama (Patch Management): Epidemija je dokazala da kašnjenje u instalaciji kritičnih bezbednosnih ažuriranja može imati katastrofalne posledice. Da su organizacije primenile patch koji je Microsoft izdao dva meseca ranije, šteta bi bila minimalna.

Opasnost od zastarelih sistema (Legacy Systems): Korišćenje operativnih sistema kojima je istekla zvanična podrška predstavlja ogroman rizik. Zbog razmera napada, Microsoft je bio primoran na presedan – izdao je vanredne bezbednosne zakrpe čak i za penzionisani Windows XP.

Segmentacija mreže: Organizacije koje su imale pravilno konfigurisane požarne zidove (firewalls) i izolovanu internu mrežu uspele su da ograniče širenje crva na samo par uređaja.

Strategija rezervnih kopija (Backup 3-2-1): Redovno kreiranje rezervnih kopija podataka koje se čuvaju van mreže (offline backup) pokazalo se kao jedina sigurna odbrana od gubitka podataka u slučaju uspešne enkripcije.

Zaključak

Napad WannaCry iz 2017. godine ostaje prekretnica u modernoj istoriji sajber-ratovanja i računarske bezbednosti. Pokazao je koliko je savremeni svet duboko zavisan od digitalne infrastrukture i koliko brzo ta infrastruktura može biti narušena ukoliko se zanemare osnovni principi higijene mreže.

Spoj vojnog oružja procurilog iz obaveštajnih službi (EternalBlue) i pohlepe sajber-kriminalaca stvorio je savršenu oluju koja je za svega nekoliko sati nanela štetu procenjenu na nekoliko milijardi dolara. Iako je sticajem okolnosti zaustavljen uvođenjem Kill Switch-a, WannaCry je trajno promenio svest o pretnjama u digitalnom prostoru – podsećajući nas da u svetu povezanih mreža, bezbednost zavisi od najslabije karike u sistemu.