Arşivden: WannaCry — Bir cuma günü dünya neden fidye ekranına baktı?

Hey hey, yıl 2017, Mayıs'ın on ikisi, günlerden cuma. İngiltere'de bir hastanenin kayıt masasında ekran kırmızıya dönüyor: dosyalarınız şifrelendi, 300 dolar değerinde bitcoin gönderin. Aynı saatlerde İspanya'da bir telekom şirketinde, Almanya'da tren istasyonlarının tabelalarında, Fransa'da bir otomobil fabrikasında aynı pencere açılıyor. Kimse bir e-postaya tıklamamış; program kapıyı kendisi buluyor, kendisi açıyor, komşuya da kendisi geçiyor.

Akşam olduğunda adı her dilde aynı söyleniyordu: WannaCry. Bir fidye yazılımıydı ama alışılmış olanlardan farkı vardı; solucan gibi yayılıyordu.

Ne oldu?

WannaCry, Windows'un dosya paylaşım protokolü SMBv1'deki bir açığı kullanıyordu. Microsoft bu açığı 14 Mart 2017'de MS17-010 bülteniyle kapatmıştı; yani patch, salgından yaklaşık iki ay önce hazırdı. Nisan ayında Shadow Brokers adlı grup, bu açığı kullanan ve EternalBlue adıyla bilinen exploit'i internete bıraktı. Microsoft Başkanı Brad Smith, salgından iki gün sonra yazdığı yazıda exploit'in ABD Ulusal Güvenlik Ajansı'ndan çalındığını belirtti ve devletlerin zafiyet biriktirmesini eleştirdi.

Gerisi basit bir aritmetikti: patch'i kurmamış ya da artık destek almayan Windows sürümlerini çalıştıran her makine, ağdaki bir sonrakine kapı oluyordu. Europol'ün o günlerde verdiği sayıya göre salgın en az 150 ülkede 200 binden fazla bilgisayara ulaştı.

En görünür yara İngiltere'nin sağlık sistemi NHS'te açıldı. İngiltere Ulusal Denetim Ofisi'nin soruşturma raporuna göre İngiltere'deki 236 sağlık kuruluşundan en az 81'i etkilendi, tahminen 19 bin randevu iptal edildi. Rapor iki şeyi daha kayda geçirdi: NHS kuruluşları fidye ödemedi ve etkilenen kuruluşların hepsi patch'siz ya da desteği bitmiş Windows kullanıyordu.

Nasıl durduruldu?

Hikâyenin en çok anlatılan sahnesi burası. İngiltere'de MalwareTech takma adıyla yazan araştırmacı Marcus Hutchins, zararlının kodunda anlamsız görünen uzun bir alan adına bağlanma denemesi fark etti. Alan adı kayıtlı değildi; birkaç dolara kaydetti. Kendi anlatımına göre amacı salgının yayılımını izlemekti. Meğer zararlı, o adrese ulaşabildiğinde çalışmayı bırakacak şekilde yazılmıştı. Alan adı yanıt vermeye başlayınca yeni bulaşmaların büyük bölümü şifreleme aşamasına geçmedi.

Buna "kill switch" dendi. Tedavi değildi; şifrelenen dosyalar geri gelmedi, alan adına erişemeyen kapalı ağlardaki makineler korunmadı. Ama salgının hızı kesildi ve savunanlara patch kurmak için zaman kaldı. Microsoft aynı günlerde olağan dışı bir adım attı: desteği yıllar önce bitmiş Windows XP gibi sürümler için de acil patch yayımladı.

Peki kim yaptı? ABD ve İngiltere, Aralık 2017'de saldırıyı resmen Kuzey Kore'ye atfetti. ABD Adalet Bakanlığı Eylül 2018'de, aralarında WannaCry'ın da bulunduğu bir dizi saldırı nedeniyle Kuzey Kore bağlantılı bir programcı hakkındaki suçlamaları açıkladı. Kuzey Kore bu suçlamaları reddetti.

Bugüne mirası

WannaCry'ın bıraktığı ilk miras bir kelime: patch penceresi. Açığın duyurulmasıyla istismarı arasındaki süre 2017'de iki aydı ve o iki ay bile yetmedi. Bugün tablo daha sert. Bu hafta sitede okuduğunuz Windows SignDrop zero-day haberinde bir araştırmacının iddiasına göre exploit, ortada patch yokken herkese açık paylaşıldı; iddia doğrulanmış değil, ama savunanın elinde kuracak bir güncelleme bile olmayan günlerin geldiğini hatırlatıyor. 2017'nin dersi "patch'i kur" idi; bugünün dersi "patch gelene kadar neyi kapatacağını bil."

İkinci miras, fidye yazılımının yalnızca dosya değil hizmet durdurduğunun anlaşılması. NHS'teki iptal edilen randevular ile bugün Santos Limanı'nda sistemlerin yedekten ayağa kaldırılması aynı cümlenin iki ucu: şifrelenen şey veri, duran şey hayat.

Üçüncüsü, eskiyen sistemlerin borcu. Desteği bitmiş işletim sistemi, faizi işleyen bir borç gibidir; WannaCry o borcun bir cuma günü topluca tahsil edilmesiydi.

Arşivden not

WannaCry'dan geriye üç satır kaldı. Patch çıktığı gün saat işlemeye başlar; iki ay uzun bir süre değildir. Ağdaki en eski makine, ağın gerçek güvenlik seviyesidir. Ve bazen dünyayı bir kahraman değil, merakla atılmış küçük bir adım kurtarır; ama buna güvenerek plan yapılmaz. Dokuz yıl geçti; ekranın rengi değişti, cuma günleri değişmedi.

Kaynaklar

• Microsoft Security Bulletin MS17-010 (14 Mart 2017)
• UK National Audit Office — Investigation: WannaCry cyber attack and the NHS (2017)
• Brad Smith, Microsoft — The need for urgent collective action to keep people safe online (14 Mayıs 2017)
• MalwareTech — How to Accidentally Stop a Global Cyber Attacks (13 Mayıs 2017)
• ABD Adalet Bakanlığı — Kuzey Kore bağlantılı programcı hakkındaki suçlamalar (6 Eylül 2018)