WannaCry
WannaCry (ook bekend als WannaCrypt of WanaCrypt0r 2.0) is een van de meest verwoestende cyberaanvallen uit de geschiedenis van het internet. Op 12 mei 2017 verspreidde deze ransomware zich in een razend tempo over meer dan 150 landen. Het gijzelde complete bedrijfssystemen, legde ziekenhuizen in het Verenigd Koninkrijk plat en trof multinationals, spoorwegen en overheden. De aanval toonde genadeloos aan hoe kwetsbaar organisaties zijn wanneer basisbeveiliging en software-updates worden verwaarloosd.
Inhoudsopgave
De fatale combinatie van ransomware en een worm
Wat WannaCry zo gevaarlijk en uitzonderlijk maakte, was het zelfvermenigvuldigende karakter. De meeste ransomware vereist dat een medewerker eerst op een schadelijke link of e-mailbijlage klikt. WannaCry werkte echter als een worm:
- EternalBlue-exploit: De malware maakte misbruik van een ernstig beveiligingslek in het SMBv1-protocol van Microsoft Windows (een exploit die oorspronkelijk was ontwikkeld door de Amerikaanse inlichtingendienst NSA en later werd gelekt).
- Autonome verspreiding: Zodra één computer binnen een lokaal netwerk geïnfecteerd raakte, scande de worm automatisch het netwerk en het publieke internet op andere kwetsbare systemen om zichzelf zonder enige menselijke interactie verder te verspreiden.
Gijzeling en losgeld: Geïnfecteerde computers kregen een rode pop-up te zien waarin werd gemeld dat alle bestanden waren versleuteld. Slachtoffers moesten binnen enkele dagen 300 tot 600 dollar aan Bitcoin betalen om weer toegang te krijgen.
De toevallige noodrem: de ‘Kill Switch’
De razendsnelle verspreiding van WannaCry kwam enkele dagen na de uitbraak onverwacht tot stilstand dankzij de Britse cybersecurity-onderzoeker Marcus Hutchins. Hij ontdekte in de code van de malware een niet-geregistreerde domeinnaam waar de software vóór elke versleuteling contact mee probeerde te maken. Toen Hutchins dit domein voor enkele tientjes registreerde, bleek dit te fungeren als een ingebouwde ‘kill switch’: de malware stopte direct met het versleutelen van nieuwe systemen.
Waarom WannaCry nog altijd actueel is voor moderne organisaties
De lessen van WannaCry vormen nog steeds de basis voor modern risicobeheer en IT-beveiliging. Opvallend was dat Microsoft al twee maanden vóór de uitbraak een beveiligingspatch (MS17-010) had uitgebracht om het lek te dichten. Veel organisaties hadden deze updates echter niet geïnstalleerd of draaiden op verouderde, niet-ondersteunde besturingssystemen zoals Windows XP. De aanval onderstreepte dat cybersecurity geen eenmalig project is, maar een continu proces van proactief patchbeheer, strikte netwerksegmentatie en betrouwbare back-upstrategieën.
Veelgestelde vragen
In veruit de meeste gevallen niet. Het betalingssysteem van WannaCry was technisch slecht ontworpen; de criminelen konden vrijwel onmogelijk achterhalen welke betaling bij welk specifiek slachtoffer hoorde. Beveiligingsexperts raden daarom altijd af om losgeld te betalen.
Op basis van digitaal sporenonderzoek hebben inlichtingendiensten uit onder meer de Verenigde Staten en het Verenigd Koninkrijk de aanval officieel toegeschreven aan de Lazarus Group, een cybercollectief met sterke banden met de Noord-Koreaanse overheid.
Reguliere ransomware verspreidt zich meestal via phishing of gerichte diefstal van inloggegevens en blijft beperkt tot de getroffen machine of account. WannaCry bevatte worm-functionaliteit (EternalBlue), waardoor het zichzelf volledig automatisch via het netwerk naar andere kwetsbare computers kopieerde.
Door beveiligingsupdates en patches direct door te voeren, verouderde protocollen en besturingssystemen uit te faseren, netwerken te segmenteren, offline back-ups aan te houden en medewerkers te trainen in security awareness.
Thijn de Haas CTO & Senior developer
Gerelateerde begrippen
- App
- Array
- Blockchain
- C++
- Content Management Systeem
- Continuous Integration
- Data-encryptie
- Depth-First Search
- Express.js
- Graphical User Interface
- Legacy applicatie
- Malware
- Nginx
- Polymorphism
- Prototypes
- Quality Assurance
- Redis
- Repository
- Sender Policy Framework
- Unit testing
- Web Application Firewall
- Webhooks
- Wi-Fi Protected Access
- ZIP
