WannaCry

WannaCry war am 12. Mai 2017 zwischen 08:00 UTC und 17:08 UTC aktiv. Innerhalb weniger Stunden infizierte es mehr als 230.000 Computer in rund 150 Ländern.
Betroffen waren unter anderem:

• Der britische National Health Service (NHS)
• Telefónica (Spanien)
• Iberdrola und Gas Natural
• Zahlreiche Finanzinstitute

WannaCry war ein sogenannter „Cryptowurm“ – also eine Kombination aus Ransomware und selbstständiger Netzwerkverbreitung. Es benötigte keine Benutzerinteraktion, sondern scannte automatisch offene SMB-Ports und griff ungepatchte Systeme an.

14. März 2017: Microsoft veröffentlicht das Sicherheitsupdate MS17-010 zur Behebung der EternalBlue-Schwachstelle

12. Mai 2017: Beginn des globalen Angriffs – Dateien werden verschlüsselt, 300 USD in Bitcoin werden gefordert

Wenige Stunden später: Sicherheitsforscher Marcus Hutchins entdeckt eine unregistrierte Domain im Code und aktiviert den „Kill Switch“

Patch-Verbreitung: Systeme werden aktualisiert, auch ältere Versionen wie Windows XP erhalten Updates

Neue Varianten: Nach dem Kill Switch entstehen neue Versionen ohne diese Funktion, jedoch mit geringerer Verbreitung

WannaCry verursachte massive Schäden in kritischen Bereichen:

• Ausfälle im Gesundheitswesen
• Stillstand industrieller Produktion
• Hohe wirtschaftliche Verluste

Schätzungen zufolge wurden zwischen 141.000 und 230.000 Geräte in 150 Ländern infiziert.
Zu den bekanntesten Opfern zählen:

• NHS-Krankenhäuser (ca. 70.000 Geräte)
• Renault-Nissan
• Energie- und Telekommunikationsunternehmen

• Selbstverbreitung: Kombination aus Exploit und Ransomware
• Fehlende Updates: Viele Systeme hatten den Patch MS17-010 nicht installiert
• Kill Switch: Der Angriff wurde zufällig gestoppt – ohne diesen wäre der Schaden noch größer gewesen

Empfohlene Maßnahmen von Panda Security:

• Systeme und Software stets aktuell halten
• Sicherheitslösungen wie Panda Dome einsetzen (Echtzeitschutz, Exploit-Erkennung, Ransomware-Schutz)
• Regelmäßige Backups durchführen
• Firewall aktivieren und Zugriff auf Port 445 einschränken
• Mitarbeiterschulungen zu Cybersecurity durchführen