Wanna Cry? - resources.trendmicro.com - Q2 - EMEA... · • Namen: WannaCrypt, Wcrypt,...

Copyright 2016 Trend Micro Inc.1

Wanna Cry?Informationen zur aktuellen Ransomware Angriffswelle

Timo WegeTechnical Consultant

Stefan RehbergTechnical Consultant


Agenda• Was ist da eigentlich los? (Presse Überblick)• Fakten zum Krypto-Trojaner• …technisch betrachtet

• Wo und wie hilft Trend Micro?


Presse


Qualität? Quantität!• Hardcoded Bitcoin Adressen zur Zahlung des

Lösegeldes– Keine Möglichkeit die Entschlüsselung zu automatisieren– Nachvollziehbarkeit der Transaktionen

• Großer Footprint (~3MB)• Killswitch zur Deaktivierung der Malware

– 2 mal hardcoded URL verwendet, statt generierter URL


Fakten und Infos• Namen: WannaCrypt, Wcrypt,

Wana Decrypt0r 2.0, WCry2, WannaCry2, Wana Cryptor

• Lösegeldforderung liegt anfangs bei 300 Dollar (via Bitcoin)

– verdoppelt sich nach drei Tagen

• Nach sieben Tagen wird der Encryption Key gelöscht


Fakten und Infos

• Ca. 28 verschiedene Sprachen

• „Check Payment Button“ gibt eine zufällige Antwort von vieren.

• AV Test zählte bis dato 147 Varianten der Malware (Montag morgen)


Fakten und Infos• Ca. 230.000 Infektionen (Stand Montag Abend)

• Ca. 150 Länder meldeten Infektionen

• Keine zielgerichtete Attacke

• Lösegeldzahlungen liegen bei etwa 30.000-55.000$ in Summe (heise.de, CISCO)

– Bitcoin Adressen sind bekannt, etwa 130 Zahlungen gingen ein (Montag Mittag)– Vergleich „Angler Ransomware Kampagne“ 2015, brachte ca. 60 Millionen Dollar

• Schaden ist dennoch immens


Technische Informationen


Yet another Ransomware?• Entglorifizieren: Wana Cryptor ist ‚nur‘ ein

Krypto-Trojaner

• Erstinfektion via SPAM, MS17-010

• Speziell: Nach Infektion automatische Replikation im Netz (Wurm Verhalten)


Infektionsweg• Eternal Blue, Double Pulsar (MS17-010 Bulletin)

– SMB Protokoll wird zumFilesharing genutzt

– Opfer muss nur eine Dateifreigabe anbieten

• Seit 14. März existieren Patches

• Bekannt geworden durch„NSA / Shadow Brokers Leak“(April 2017)

Quelle: https://twitter.com/_supernothing/status/863687990823968768?s=09


Einfallstor• SPAM Email

– Embedded URL im Message Body– Dropbox Link (SSL)– Attachment (Word Dokument)

• SMB Lücke (MS17-010 Bulletin)

• Vermutlich via Remote Desktop Protocol (?)– Vgl. CRYSIS Ransomware September 2016

• http://blog.trendmicro.com/trendlabs-security-intelligence/brute-force-rdp-attacks-plant-crysis-ransomware/

– Brute Force oder Vulnerability(?)


Weiterverbreitung über „Eternal Blue“ MS17-010

• Betroffen– Windows Vista Windows XP– Windows 7 Windows 8– Windows 8.1– Windows 10

– Server 2008 & Server 2008 R2 Server 2003– Server 2012 & Server 2012 R2– Server 2016


Infektionskette


Schädling ‚tarnt‘ sich als Service


Betroffene Dateitypen• .lay6• .sqlite3• .sqlitedb• .accdb• .java• .class• .mpeg• .djvu• .tiff• .backup• .xlsx

• .vmdk• .sldm• .sldx• .potm• .potx• .ppam• .ppsx• .ppsm• .pptm• .xltm• .pptx

• .xltx• .xlsb• .xlsm• .dotx• .dotm• .docm• .docb• .jpeg• .onetoc2• .vsdx• .docx

Insgesamt 176 extensions


Killswitch?• Experte findet am Samstag ‚versehentlich‘ Killswitch

• Kann sich der Trojaner auf eine URL verbinden, dann stoppt er seine Ausführung iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com

• Registrierung der Domain sorgte für Stopp der Verbreitung

• Schnell kamen neue Varianten


Hilfemaßnahmen• Bitte die empfohlenen Sicherheitspatches von Microsoft installieren Microsoft

Security Bulletin MS17-010

• Microsoft Patch für unsupported Versions (Windows XP, Windows 8, Windows Vista, Server 2003, Server 2008) http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012598

• Backup einrichten und testen (3-2-1 Regel)– 3 Kopien– 2 auf unterschiedlichen Medien / inkl. Medienbruch– 1 außer Haus

• Blocken von SMB Ports am Perimeter [UDP 137, 138 und TCP 139, 445] und/oder Deaktivierung von SMBv1. https://support.microsoft.com/en-us/help/2696547

https://technet.microsoft.com/library/security/MS17-010

http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012598

https://support.microsoft.com/en-us/help/2696547


Was ist mit schlafenden Maschinen?


Was, wenn eine schlafende Maschine geweckt wird?


Wie hilft Trend Micro?


Schutz seit Stunde Null• Predictive Machine

Learning erkennt die Malware (Stunde Null)

• Smart Scan Agent Pattern13.399.00 und Official Pattern Release (conventional) 13.401.00


Ransomware Protection zieht den doppelten Boden ein

Stunde Null


Deep Security DPI und Vulnerability Protection• Regeln

– 1008224– 1008228– 1008225– 1008227

• schirmen MS17-010 ab!

• Stunde Null


Trend Micro TippingPoint• Blockiert die Verbindung zu den

C&C Servern und verhindert die Ausnutzung der „Eternal Blue“ Schwachstelle

• Ideal für Produktionsbereiche

• Stunde Null


Endpoint Application Control• Lockdown des Systems• Verhindern der Ausführung

unbekannter Anwendungen

• Stunde Null


Deep Discovery Inspector zur Erkennung• Regel 2383 erkennt den Exploit• Sandbox analysiert das Sample


Empfehlungen an Bestandskunden/Partner• Haben Sie die Updates noch nicht installiert? Fangen Sie am besten JETZT mit dem Rollout an. Das Webinar ist gleich vorbei ;-)

• Aktivierung der Anti-Ransomware Features im OfficeScan und WorryFree. Details zu den Funktionen und wie sie zu konfigurieren sind findet Ihr hier:https://success.trendmicro.com/solution/1112223

• Smart Scan Agent Pattern 13.399.00 und Official Pattern Release (conventional) 13.401.00 erkennen die (derzeit bekannten) Bedrohungen

• Trend Micro Web Reputation Service verhindert den Kontakt zu bekannten Command und Control Servern

• Trend Micro Deep Security und Vulnerability Protection (vorher Intrusion Defense Firewall oder IDF) verhindern die Ausnutzung der entsprechenden Schwachstelle. Dazu müssen die IPS Rules 1008224, 1008228, 1008225, 1008227 auf den Systemen aktiviert werden.

• Trend Micro Deep Discovery Inspector erkennt den Exploit durch Aktivierung der Regel DDI Rule 2383

• Trend Micro Tipping Point stellt ebenfalls Filter, die Command und Control Kommunikation und das Ausnutzen der Schwachstelle verhindern, zur Verfügung.

https://success.trendmicro.com/solution/1112223


Empfehlung an (noch) nicht Kunden• Machine Learning

Assessment Tool

https://www.trendmicro.com/product_trials/service/index/us/164


Q & A


Vielen Dank!

Wanna Cry? - resources.trendmicro.com - Q2 - EMEA... · • Namen: WannaCrypt, Wcrypt,...

Documents

Transcript of Wanna Cry? - resources.trendmicro.com - Q2 - EMEA... · • Namen: WannaCrypt, Wcrypt,...