Допомога впоратися з атаками програм-вимагачів

Корпорація Майкрософт щойно випустила виправлення для Windows XP, Windows 8 і деяких серверних платформ, які спочатку не були включені в оновлення MS17-010.

Крім того, ми також бачили новий варіант WannaCry, який не використовує оригінальний перемикач «killswitch». Зараз дослідники підозрюють, що цей механізм насправді є спробою обійти механізм динамічного аналізу, який автоматично відповідає на запити GET, щоб уникнути виявлення.

Оригінальний опис:

Програма-вимагач, що самовідтворюється, під назвою Wanna, WannaCry або Wcr знищує комп’ютери по всьому світу. Початкова інформація показала, що початкове поширення в більшості компаній відбулося традиційними методами, в основному електронною поштою та PDF-файлами з ботнету Necurs. WannaCry унікальний тим, що він може швидко поширюватися мережами з підтримкою SMBv1, починаючи з першого пацієнта.

Цей не-сертифікований інструмент дистанційного -коду-виконання SMBv1 був випущений організацією «Shadow Broker» 14 квітня 2017 року. Його неофіційно називають «Eternal Blue», і Microsoft активно згадувала про нього в бюлетені безпеки MS17-010 від 14 березня.

Подивіться на загальнодоступний приклад «Eternal Blue» нижче, і дайте нам зрозуміти, чому це програмне забезпечення-вимагач може ефективно поширюватися; його можна поширити в уразливій компанії без будь-яких дій з боку зловмисників.

Після того, як корпорація Майкрософт випустила відповідний патч (MS17-010), багато користувачів досі не розгорнули його.

Незважаючи на те, що програмне забезпечення-вимагач викликає серйозне занепокоєння, клієнти, які прийняли рішення безпеки Juniper, можуть бути відносно більш спокійними, а їхнє середовище захищене. Давайте розглянемо функції WannaCry та доступні інструменти, щоб запобігти його виникненню.

По-перше, клієнти, які розгорнули наше розширене хмарне рішення SkyATP для захисту від зловмисного програмного забезпечення, ймовірно, будуть захищені на кількох рівнях:

Завдяки безпеці SkyATP та інтелектуальним оновленню інформації зв’язок між користувачем і ботнетом Necurs автоматично скорочується; внутрішній доступ може бути скасований брандмауером Juniper SRX;

Якщо ви не використовуєте наведену вище мережеву-інформацію про безпеку для захисту від оновлень, функція захисту-зловмисного програмного забезпечення SkyATP може здійснюватися за допомогою надійного багато-сегментного конвеєра виявлення (включно з виявленням-на основі сигнатур, статичним аналізом машинного навчання та механізмом динамічного аналізу-шахраїв на основі пісочниці) Identify WannaCry. До цього часу (12 травня) ми проаналізували 24 незалежні випадки, усі з яких були виявлені та зафіксовані протягом 30 секунд;

Базуючись на наведеному вище механізмі реалізації, передбачається, що навіть якщо SkyATP не блокує початкове завантаження файлу, як тільки SkyATP розпізнає, що файл є зловмисним, він може передати цю інформацію на пристрої SRX різних підприємств, тим самим ізолюючи зловмисник на рівні мережі. програмне забезпечення.