15 maja 2017

W piątek 12 maja komputery na całym świecie uległy atakowi wirusa Trojan.Encoder.11432, znanego również jako WannaCry, WannaCryptor, WanaCrypt0r, WCrypt, WCRY i WNCRY. Ofiarami zostały organizacje rządowe, korporacje i użytkownicy prywatni. Użytkownicy oprogramowania Dr.Web byli i nadal pozostają bezpieczni.

Najwcześniejsza modyfikacja trojana znana Dr.Web (Wanna Decryptor 1.0) była przeanalizowana przez laboratorium Doctor Web 27 marca 2017 o 07:20 i została dodana do baz wirusów o 11:51 tego samego dnia.

Trojan.Encoder.11432, znany również jako WannaCry, rozpoczął swoje aktywne rozpowszechnianie się w piątek wieczorem, a przez weekend zainfekował komputery w wielu dużych organizacjach na całym świecie.

Doctor Web pozyskał jego próbkę 12 maja o 10:45 i dodał ją do baz wirusów Dr.Web.

Przed dodaniem go do bazy, Dr.Web określił tego trojana jako BACKDOOR.Trojan.

Trojan sam z siebie to wielokomponentowy enkoder nazwany jako Trojan.Encoder.11432. Zawiera on następujące cztery komponenty: robaka sieciowego, program typu dropper dla enkodera, enkoder i autorski program deszyfrujący.

Trojan.Encoder.11432 szyfruje pliki na zainfekowanym komputerze i żąda okupu za ich odszyfrowanie. Pieniądze muszą być przesłane na określone „konta” e-wallet w kryptowalucie Bitcoin.

Masowe rozpowszechnianie się trojana jest spowodowane przez podatność w protokole SMB. Wszystkie systemy operacyjne Windows starsze niż Windows 10 są podmiotami tej podatności. Trojan.Encoder.11432 nie stanowi żadnego zagrożenia dla naszych użytkowników już od początkowego momentu jego rozpowszechniania.

Aby wyeliminować szanse na to, aby Twoje komputery zostały zainfekowane przez tego trojana, rekomendujemy przedsięwzięcie następujących kroków:

• Zainstaluj aktualizację MS17-010 dla Twojego systemu operacyjnego, dostępną pod adresem technet.microsoft.com/en-us/library/security/ms17-010.aspx i wszystkie bieżące aktualizacje bezpieczeństwa;
• Zaktualizuj antywirusa;
• Zamknij porty używane do ataku (139, 445) z użyciem firewalla;
• Wyłącz atakowaną i podatną usługę systemu operacyjnego;
• Zabroń instalowania i uruchamiania nowego oprogramowania (pliki wykonywalne);
• Usuń nadmierne uprawnienia użytkowników (prawa na uruchamianie i instalowanie nowego oprogramowania);
• Usuń niepotrzebne usługi z systemu;
• Zabroń dostępu do sieci Tor.