WannaCry: Die Ransomware, die Krankenhäuser traf

Was ist diese Bedrohung?

WannaCry ist ein Ransomware-Wurm, der Dateiverschlüsselung mit einem selbstverbreitenden Mechanismus kombinierte und einen der verheerendsten Cyberangriffe der Geschichte verursachte. Im Gegensatz zu herkömmlicher Ransomware, die einen Klick des Opfers erfordert, verbreitete sich WannaCry automatisch über Netzwerke, indem es eine Windows-Sicherheitslücke ausnutzte.

So funktionierte es

Der Exploit:

WannaCry nutzte EternalBlue (CVE-2017-0144), ein Hacking-Tool der US-amerikanischen NSA, das im April 2017 von der Gruppe Shadow Brokers gestohlen und veröffentlicht wurde. EternalBlue nutzte eine kritische Schwachstelle im Windows-SMB-Protokoll aus.

Microsoft hatte den Patch (MS17-010) zwei Monate vor dem WannaCry-Angriff, im März 2017, veröffentlicht. Organisationen, die ihn nicht angewendet hatten, waren vollständig verwundbar.

Der Angriff (12. Mai 2017):

WannaCry scannte das Internet nach Windows-Rechnern mit offenem Port 445 (SMB).

EternalBlue ermöglichte Zugriff ohne jede Benutzerinteraktion.

Eine Backdoor (DoublePulsar, ebenfalls ein NSA-Tool) wurde installiert, dann die Ransomware-Nutzlast eingeschleust.

Alle Dateien wurden mit AES-128 verschlüsselt. Es wurde ein Lösegeld von 300–600 Dollar in Bitcoin mit 3-Tage-Frist gefordert.

Innerhalb von Stunden verbreitete sich WannaCry lateral über interne Netzwerke.

Der Kill-Switch:

Sicherheitsforscher Marcus Hutchins (MalwareTech), damals 22 Jahre alt, registrierte eine unregistrierte Domain, die die Malware prüfte, für 10,69 Dollar — dies aktivierte versehentlich einen integrierten Kill-Switch und verlangsamte die Ausbreitung erheblich.

Reale Auswirkungen

Britischer NHS: 80 von 236 NHS-Trusts infiziert. Schätzungsweise 19.000 Arzttermine abgesagt, darunter Krebsbehandlungen. Gesamtkosten: geschätzte 92 Millionen Pfund.

Deutsche Bahn: Abfahrtstafeln und Ticketautomaten zeigten Lösegeld-Nachrichten statt Zuginfos.

Telefónica (Spanien): Große interne Systeme gestört.

Renault (Frankreich): Produktion in mehreren Werken eingestellt.

Russisches Innenministerium: Über 1.000 Computer betroffen.

Globaler Gesamtschaden: Geschätzte 4–8 Milliarden Dollar in 150 Ländern.

Zuschreibung: Die US-, britische und australische Regierung schrieben WannaCry im Dezember 2017 formal der nordkoreanischen Lazarus Group zu.

Noch aktiv: WannaCry-Varianten ohne Kill-Switch infizieren noch heute ungepatchte Windows-XP- und Windows-7-Systeme.

Warum es heute noch relevant ist

Ungepatchte Systeme sind Waffen, die gegen Sie verwendet werden. Der Patch war 2 Monate verfügbar.

Ein ungepatchter Rechner kann ein gesamtes Netzwerk lahmlegen. Krankenhäuser mussten Patienten abweisen.

Staatliche Cyberwaffen landen in kriminellen Händen. EternalBlue war ein NSA-Tool, das gegen zivile Infrastruktur eingesetzt wurde.

Warnsignale

Dateien werden plötzlich mit der Endung .WCRY oder .WNCRY umbenannt.

Eine Lösegeld-Notiz erscheint auf dem Bildschirm.

Mehrere Netzwerkcomputer fallen gleichzeitig aus.

Windows-Ereignisprotokolle zeigen massenhaft SMB-Verbindungsversuche von internen IPs.