Британский исследователь в области кибербезопасности рассказал Би-би-си, как он, по его словам, "отчасти случайно" приостановил распространение программы-вымогателя, которая 12 мая заблокировала десятки тысяч компьютеров по всему миру.
Двадцатидвухлетний блогер, известный в интернете как MalwareTech, сделал свое открытие в пятницу вечером, когда анализировал код вредоносной программы.
Он заметил, что программное обеспечение пытается связаться с необычным веб-адресом - iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com - но этот адрес не был связан с вебсайтом, потому что ни за кем не числился.
Всякий раз, когда вредоносная программа пыталась установить связь с загадочным вебсайтом, возникала ошибка и вирус начинал действовать, нанося ущерб.
В качестве эксперимента MalwareTech решил потратить 10 долларов 69 центов и зарегистрировал на себя указанный вебадрес. На правах владельца веб-адреса он обрел доступ к аналитическим данным и получил представление о масштабах сетевого вымогательства.
Но это открытие оказалось не единственным - вскоре он обнаружил, что после регистрации веб-адреса распространение вредоносной программы прекратилось.
Правообладатель иллюстрацииGETTY IMAGESImage captionМенее чем за сутки вредоносная программа WannaCry заразила десятки тысяч компьютеров по всему миру
"Отчасти это была случайность", - рассказал MalwareTech в интервью Би-би-си после продолжавшегося всю ночь расследования, за время которого он, по его словам, "глаз не сомкнул.
Сначала эксперт предположил, что создатель вредоносной программы дал ей команду на самоуничтожение - это один из способов остановить распространение вируса, если что-то вдруг пошло не так. В данном случае нештатной ситуацией могла стать регистрация таинственного веб-адреса.
Но теперь MalwareTech считает, что вредоносная программа не самоуничтожилась, а "испугалась" так называемой виртуальной машины - защищенной платформы, используемой в том числе для обнаружения вирусов и считывания их программного кода.
Реальный компьютер не может получить доступ к бессмысленному адресу iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com, - в отличие от виртуальной машины, которая способна имитировать подключение к нему как к подлинному вебсайту.
В последнее время создатели вредоносных программ встраивают в них специальный код проверки - не является ли машина, в которую они попали, виртуальной. Если да, то вирус не активируется, чтобы не быть уничтоженным.
"Вредоносная программа немедленно прекращает работу, чтобы предотвратить дальнейший анализ, - пишет MalwareTech в своем блоге. - Из-за моей регистрации все эти вирусы решили, что попали в виртуальную машину, и вышли из системы. [...] Таким образом, мы непреднамеренно предотвратили распространение программы-вымогателя".
Исследователя, который замедлил распространение вредоносной программы, назвали "случайным героем".
"По-моему, это правильное определение", - сказал он в разговоре с Би-би-си.
Хотя регистрация веб-адреса, по-видимому, остановила распространение одного штамма вируса, это не значит, что с источником вымогательства покончено.
Все файлы, которые были зашифрованы с помощью WannaCry, по-прежнему остаются "в заложниках".
Эксперты также предупреждают о возможном появлении новых, более совершенных модификаций WannaCry.
"Этот вариант вируса вряд ли будет распространяться дальше, однако почти наверняка появятся его копии", - считает исследователь по кибербезопасности Трой Хант.
"Мы остановили этот вирус, но придет еще один, и так просто мы его уже не остановим", - пишет MalwareTech.
"Тут крутятся большие деньги, им [хакерам] нет причин останавливаться. Не так уж много усилий надо, чтобы изменить код и начать все заново", - добавляет "случайный герой".
bbc.com
13:46
13:37
12:22
11:14
15:35
12:09
16:39
16:28
14:35
13:24
13:06
12:33
11:53
11:28
11:08
13:25
13:21
12:52
12:38
12:09
09:27
19:06
18:03
16:46
16:29
15:14
14:23
14:13
11:38
11:16
09:02
15:06
14:38
14:19
13:37
13:15
15:36
13:44
13:18
13:02
11:42
10:23
10:08
10:00
11:09
10:43
10:19
16:49
14:53
13:52
| Вс | Пн | Вт | Ср | Чт | Пт | Сб | |
| 1 | 2 | 3 | 4 | ||||
| 5 | 6 | 7 | 8 | 9 | 10 | 11 | |
| 12 | 13 | 14 | 15 | 16 | 17 | 18 | |
| 19 | 20 | 21 | 22 | 23 | 24 | 25 | |
| 26 | 27 | 28 | 29 | 30 | 31 | ||
16:17
10:00
12:58
15:39
09:49
13:25
14:04
12:51
15:28
12:39
13:24
13:02
12:39
15:08
11:15
14:33
12:26
11:23
13:25
15:19
14:27
15:16
12:13
15:14
14:44
13:25
11:06
13:12
11:13
14:15
11:26
09:35
11:41
10:37
10:55
12:28
12:13
12:51
11:35
10:45
16:51
10:21
14:27
12:37
11:23
13:03
10:47
13:03
13:15
14:58
