هشدار! باج افزار Wannacrypt در ایران و راه کار مقابله با آن

مرکز ماهر تاکنون بیش از 200 قربانی آلوده به باج افزار Wannacrypt را در فضای سایبری ایران شناسایی کرده است. این باج افزار از چند روز پیش با قابلیت خودانتشاری در سراسر جهان شیوع پیدا کرد.

مرکز ماهر، 200 قربانی آلوده به باج افزار Wannacrypt را در ایران شناسایی و اقدامات لازم را برای رفع مشکلات به وجود آمده انجام داده است. پیش از این در خبرها داشتیم که حملات سایبری بی‌سابقه‌ای تحت عنوان Wannacrypt با سوءاستفاده از اطلاعات افشا شده توسط ویکی لیکس در مورد جاسوسی‌های سیا در بیش از 99 کشور جهان رخ داده و مشکلات زیادی را به وجود آورده است.

این ویروس کامپیوتری در روزهای اخیر با سرعت زیادی در حال آلوده کردن سیستم‌های رایانه‌ای کشورهای مختلف جهان بوده و تاکنون حدود 75 هزار کامپیوتر در 99 کشور مورد هدف قرار گرفته‌اند. راشاتودی در گزارشی اعلام کرده بود که ویروس مذکور با آلوده کردن فایل‌های کامپیوتری از کاربر باج‌خواهی می‌کند و درخواست بیت کوین ارائه می‌دهد.

طبق اعلام شرکت امنیتی آواست، از ساعت هفت صبح روز جمعه به وقت گرینویچ، فعالیت این ویروس در سیستم‌های رایانه‌ای سراسر جهان افزایش پیدا کرده و در عرض چند ساعت بالغ بر 75 هزار حمله سایبری شناسایی شده است. باج افزار Wannacrypt در ایران نیز بیش از 200 قربانی گرفته و بیشتر آلودگی‌های ناشی از این ویروس در حوزه پزشکی و سلامت شناسایی شده‌اند. تیم‌های امداد و نجات مرکز ماهر (مراکز آپا) در استان‌های کشورمان، اقدامات لازم جهت رفع آلودگی و پاکسازی این ویروس‌ها را آغاز کرده‌اند.

بر اساس گزارش‌های منتشر شده، این حمله سایبری را می‌توان بزرگ‌ترین حمله آلوده‌کننده به باج افزار دانست و به نام‌های مختلفی چون Wannacryptor، Wana Drcrypt.r ، Wannacry و WCRY نیز شناخته می‌شود. این باج افزار مانند سایر باج افزارها، مانع از دسترسی کاربر به کامپیوتر و فایل‌ها شده و برای بازگرداندن دسترسی از کاربر باج‌خواهی می‌کند.

نحوه فعالیت باج افزار Wannacrypt

باج افزار WannaCrypt برای پخش شدن از کد اکسپلویت متعلق به آژانس امنیت ملی آمریکا به نام EternalBlue استفاده می‌کند که چندی پیش توسط گروه Shadowbrokers منتشر شد. این کد اکسپلویت از یک آسیب‌پذیری در سرویس SMB سیستم عامل ویندوز با شناسه MS17-010 بهره می‌برد. شرکت مایکروسافت اکنون این آسیب‌پذیری را برطرف کرده اما سیستم‌هایی که به‌روزرسانی مربوط به آن را دریافت نکرده‌اند در خطر آلوده شدن به این باج افزار هستند.

این باج افزار داده‌ها را رمز کرده و سپس درخواست 300 دلار در قالب بیت‌کوین  در قبال رمز گشایی آن و اجازه دسترسی صاحبان اطلاعات را می‌کند. سپس عنوان می‌کند که اگر تا 3 روز مبلغ پرداخت نگردد میزان درخواستی آنها دوبرابر خواهد شد و اگر مبلغ تا 7 روز پرداخت نگردد، داده‌های رمز شده حذف خواهند شد.

این باج افزار همچنین یک فایل با نام !Please Read Me!.txt به جا می‌گذارد که شامل متنی است که اعلام می‌کند که چه اتفاقی افتاده و باج ‌درخواستی به چه صورت باید پرداخت شود.

با توجه به فعالیت Wannacrypt در ایران لازم است برای پیشگیری از آلودگی به آن، مدیران شبکه به سرعت جهت به‌روزرسانی سیستم عامل ویندوز و تهیه کپی پشتیبان از اطلاعات مهم خود اقدام کنند. مرکز ماهر اعلام کرده که به زودی اطلاعات بیشتری را در این رابطه منتشر خواهد کرد.

اقدامات لازم برای مقابله با باج افزارها

سید هادی سجادی، معاون امنیت فضای تولید و تبادل اطلاعات سازمان فناوری اطلاعات نیز در خصوص رواج باج افزار اخیر در فضای سایبری کشور بیان کرد:

منشا این باج افزار، آسیب‌پذیری موجود در سیستم عامل ویندوز است که قبلا توسط مایکروسافت مرتفع شده اما بسیاری از کاربران، آپدیت‌های مربوط را دریافت نمی‌کنند و با این مشکل مواجه می‌شوند. کاربران معمولی و سازمان‌ها باید به‌روزرسانی‌های ویندوز را جدی بگیرند و در این میان مدیران سازمان‌ها و شبکه‌ها نقش بسیار مهمی دارند تا پروتکل SMB را ببندند.

وی همچنین تاکید کرد که اگر سیستمی آلوده شود دیگر توان انجام کاری وجود ندارد و تنها باید باج را پرداخت کرد؛ بنابراین بهترین راهکار، انجام اقدامات پیش‌گیرانه است. باز نکردن ایمیل‌های مشکوک و به‌روزرسانی آنتی ویروس از دیگر اقدامات لازم برای جلوگیری از حملات سایبری به شمار می‌رود.

راهکار ها و ملاحظات امنیتی

برای جلوگیری از آلوده شدن به این باج افزار سریعا یکی از کارهای زیر را انجام دهید:

1) با توجه به اين كه اين باج افزار از ضعف امنيتی مذكور برای نفوذ به سيستم ها استفاده می كند، لازم است كه وصله امنيتی MS17-010 در ارتباط با بروزرسانی Security Update for Microsoft Windows SMB Server از سايت Microsoft برداشته و بر روی سيستم ها نصب شود و راه اندازی گردد.

2) در صورتی كه انجام بروزرسانی زمان بر باشد لازم است فورا با غير فعال كردن موقت SMB تا زمان بروزرسانی از آلودگی سيستم به اين باج افزار جلوگيری نمود.

3) همچنين با توجه به اين كه آسيب پذيری های متعددی از طريق پروتكل SMB ايجاد می گردد پيشنهاد می شود تا اقدام های لازم برای ايمن سازی اين پروتكل همچون غير فعال كردن SMB v1.0 و استفاده از SMB Encryprion يا SMB Signing در نسخه های جديدتر، بستن Administrative shareها و جلوگيری از Null Session Enumeration، استفاده از Firewall و بستن پورت های مربوط به NetBIOS over TCP/IP و ساير روش های مرتبط استفاده نمود.