WannaCry (2017): Da en 22-årig sikkerhedsforsker stoppede et globalt cyberangreb for 10 dollars

1. Fra lækket NSA-værktøj til global ransomware-orm

For at forstå, hvordan WannaCry kunne opstå, skal man skrue tiden tilbage til den amerikanske efterretningstjeneste NSA.

NSA's eksperter havde år tidligere fundet en alvorlig programmeringsfejl (CVE-2017-0144) i Windows' ældre protokol til deling af filer og printere over lokale netværk, kaldet SMBv1 (Server Message Block). I stedet for at rapportere hullet til Microsoft, så det kunne blive lukket, valgte NSA at holde sårbarheden hemmelig og udvikle et exploit ved navn EternalBlue til egne efterretningsoperationer.

I begyndelsen af 2017 blev NSA's værktøjer imidlertid stjålet af en gruppe kaldet The Shadow Brokers, som i april 2017 lagde EternalBlue frit ud på internettet, så enhver kunne hente det.

Da NSA opdagede lækket, orienterede de Microsoft, som allerede den 14. marts 2017 – næsten to måneder før WannaCry – udsendte sikkerhedsopdateringen MS17-010. Problemet var, at hundredtusindvis af hospitaler, fabrikker og virksomheder verden over enten udskød deres Windows-opdateringer eller stadig kørte det udgåede Windows XP, som Microsoft var stoppet med at understøtte tre år tidligere.

2. Da hospitaler måtte aflyse operationer og gribe til papir og blyant

Den nordkoreanske hackergruppe Lazarus Group tog hurtigt det lækkede NSA-værktøj i brug og kombinerede det med deres egen ransomware.

Det ændrede angrebets karakter markant. Så snart én ubeskyttet computer i en organisation blev ramt, scannede WannaCry automatisk både det lokale netværk og tilfældige IP-adresser ude på internettet for andre maskiner med åben SMB-port og inficerede dem uden brugerens indblanding.

Hårdest ramt i Europa blev det britiske sundhedsvæsen (NHS), hvor omkring en tredjedel af hospitalerne og 8 % af lægeklinikkerne blev påvirket:

• Tusindvis af operationer og ambulante undersøgelser måtte aflyses med kort varsel.
• Medicinsk udstyr som MR-scannere, røntgenmaskiner og blodanalyse-apparater (der ofte blev styret af en ældre, uopdateret Windows-computer) kunne ikke benyttes.
• Ambulancer måtte flere steder omdirigeres til andre sygehuse, mens personale midlertidigt måtte registrere prøvesvar og patientnotater på papir.

Det danske sundhedsvæsen gik stort set fri af angrebet, fordi regionerne allerede havde installeret marts-opdateringen og lukket for de sårbare porte mod internettet.

3. Et uregistreret domæne til 10,69 dollars stoppede spredningen

Mens angrebet spredte sig fredag eftermiddag, sad den 22-årige selvlærte sikkerhedsforsker Marcus Hutchins (kendt på nettet som MalwareTech) hjemme hos sine forældre i kystbyen Ilfracombe i det sydvestlige England. Han havde egentlig ferie den uge, men da han så meldinger om de låste hospitaler, hentede han en kopi af WannaCry ned i et isoleret testmiljø (en såkaldt sandbox) for at se, hvordan programmet opførte sig.

Her lagde han mærke til en usædvanlig detalje i koden: Det første, WannaCry gjorde på en ny computer – inden den begyndte at kryptere filer – var at forsøge at kontakte en lang, tilfældig webadresse:

iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com

Logikken i koden var simpel:

• Hvis webadressen ikke fandtes (hvilket den ikke gjorde fredag morgen), gik WannaCry i gang med at kryptere computerens filer og sprede sig videre.
• Hvis webadressen derimod svarede, afsluttede WannaCry sig selv uden at kryptere filerne.

Hvorfor havde bagmændene bygget sådan et tjek ind? Forklaringen handler om måden, sikkerhedsanalytikere tester skadevare på. Når et ukendt program undersøges, startes det ofte i en lukket "sandkasse" (sandbox) uden rigtig internetforbindelse. For at få skadevaren til at afsløre sin funktion svarer mange sandkasser automatisk positivt på enhver webadresse, programmet forsøger at kontakte.

Udviklernes tanke var derfor: "Hvis vi spørger efter et tilfældigt domæne, som ikke er registreret i virkeligheden, og vi alligevel får svar, kører programmet sandsynligvis i en analytikers sandkasse – og så afbryder vi."

Men udviklerne bag WannaCry havde begået en afgørende fejl: De havde indkodet det samme faste domænenavn i alle kopier af WannaCry – og da domænet ikke eksisterede, kunne enhver købe det.

Marcus Hutchins vidste i første omgang slet ikke, at webadressen fungerede som en stopknap. Han så blot, at domænet var ledigt, og købte det for 10,69 dollars (ca. 75 kr.), fordi det er normal praksis blandt sikkerhedsforskere at opsamle trafik fra inficerede maskiner for at måle, hvor i verden et angreb har ramt. Først da tusindvis af computere i sekundet begyndte at kontakte hans nyindkøbte domæne – og kolleger kort efter skrev til ham, at nye computere pludselig ikke længere blev låst – gik det op for ham, at han netop havde aktiveret skadevarens egen nødstopknap.

4. Perspektivering: De 3 vigtigste lektier fra WannaCry

Opdagelsen af nødstoppet reddede især mange arbejdspladser i USA, hvor arbejdsdagen endnu ikke var begyndt fredag morgen. Samtidig efterlod WannaCry tre vigtige lektier, som stadig er aktuelle:

• Forskellen på "Zero-Day" og "N-Day" – opdateringer gør forskellen: Mange antager, at store cyberangreb altid udnytter ukendte Zero-Day-sårbarheder. I praksis udnytter langt de fleste angreb såkaldte N-Day-sårbarheder: Kendte fejl, hvor producenten allerede har udgivet en patch, men hvor systemerne endnu ikke er blevet opdateret.
• Udgåede styresystemer (End-of-Life) udgør en høj risiko: Mange af de organisationer, der blev hårdest ramt i 2017, kørte stadig Windows XP, som ikke længere modtog almindelige sikkerhedsopdateringer (Microsoft valgte ekstraordinært at udsende en nød-patch til Windows XP under krisen). Af samme grund bør man i dag altid skifte væk fra udgåede versioner af Windows og macOS.
• Det kunne ikke betale sig at betale løsepenge: Da sikkerhedsforskere fulgte de tre Bitcoin-adresser, som WannaCry-ofrene blev bedt om at betale til, viste det sig, at bagmændene ikke havde noget automatisk system til at registrere, hvem der havde betalt. Kun lidt over 300 ofre verden over betalte løsesummen (i alt ca. 130.000 dollars), og næsten ingen af dem fik deres filer låst op.