WannaCry: Der Ransomware-Wurm, der den NHS traf

Am 12. Mai 2017 verbreitete sich ein Wurm namens WannaCry auf mehr als 200.000 Computer in mindestens 100 Ländern. Ein Wurm kopiert sich selbstständig von Computer zu Computer; dieser war zugleich Ransomware, die Dateien sperrt und Geld verlangt, um sie wieder freizugeben. Er nutzte eine Sicherheitslücke in der Windows-Dateifreigabe, die Microsoft zwei Monate zuvor geschlossen hatte, und störte in England tagelang den staatlichen Gesundheitsdienst National Health Service (NHS).

So funktionierte der Angriff

Windows-Computer teilen Dateien und Drucker über ein Netzwerkprotokoll namens SMB. Seine erste Version, SMBv1, hatte mehrere Fehler bei der Verarbeitung bestimmter Anfragen. Der Fehler, den WannaCry nutzte, ist eine falsch berechnete Größe: Ein präpariertes Netzwerkpaket lässt einen Puffer überlaufen, einen reservierten Speicherbereich im Windows-Kernel, dem Kern des Systems. Wer Port 445 erreicht, die Netzwerktür für die Dateifreigabe, kann Code mit den höchsten Rechten ausführen. In der Praxis ist dafür kein Passwort nötig.

Das Angriffswerkzeug für diese Lücke, EternalBlue, stammte laut Microsoft aus Werkzeugen, die dem US-Geheimdienst National Security Agency (NSA) gestohlen worden waren. Eine Gruppe, die sich Shadow Brokers nennt, veröffentlichte es am 14. April 2017 zusammen mit weiteren Werkzeugen. Microsoft bestätigte, dass sein Sicherheitsupdate MS17-010 vom 14. März die Lücken hinter allen diesen Werkzeugen bereits schloss.

WannaCry packte EternalBlue und DoublePulsar, eine Hintertür, die Angreifern einen versteckten Weg zurück in den Computer offenhält, in einen Wurm. Jeder infizierte Computer durchsuchte sein eigenes Netzwerk und zufällige Internetadressen nach einem offenen Port 445 und kopierte den Wurm dorthin. Auf jedem neuen Opfer verschlüsselte er die Dateien, jede mit einem eigenen Schlüssel, und sperrte diese Schlüssel mit einem Schloss, das nur die Angreifer öffnen konnten. Die Erpressernachricht verlangte 300 US-Dollar in Bitcoin, nach drei Tagen 600 Dollar, und drohte, die Dateien nach sieben Tagen zu löschen.

Bevor er etwas anderes tat, versuchte der Wurm, eine lange Webadresse zu erreichen, die niemand registriert hatte, und hielt an, wenn das gelang. Diese Prüfung wurde später zu seinem Ausschalter.

Reichweite und Schaden

Der britische Rechnungshof National Audit Office (NAO), der die öffentlichen Ausgaben prüft, zählte mehr als 200.000 betroffene Computer in mindestens 100 Ländern. Sein Bericht über den NHS zeigt, was der Wurm in einer einzigen großen Organisation anrichtete.

In England waren 34 NHS-Trusts, die Einrichtungen, die Krankenhäuser und andere Gesundheitsdienste betreiben, infiziert und von ihren Geräten ausgesperrt; bei 46 weiteren kam es zu Störungen, ohne dass sie infiziert waren: zusammen mindestens 80 von 236 Trusts. Außerdem waren 603 Einrichtungen der Grundversorgung und andere NHS-Organisationen infiziert, darunter 595 Hausarztpraxen. Der Wurm infizierte zudem 1.220 Diagnosegeräte, 1 % aller solchen Geräte des NHS. Fünf Krankenhaus-Trusts mussten Rettungswagen in andere Krankenhäuser umleiten.

NHS England erfasste in der ersten Woche 6.912 abgesagte Termine und schätzte die Gesamtzahl auf etwa 19.494.

Das britische Gesundheitsministerium (Department of Health and Social Care) schätzt die Kosten für den NHS auf etwa 92 Millionen Pfund: 19 Millionen Pfund für ausgefallene Patientenversorgung und 73 Millionen Pfund an IT-Kosten. Der größte Teil, 72 Millionen Pfund, entstand nach dem Angriff.

Keine NHS-Einrichtung zahlte das Lösegeld. Auch weltweit zahlten nur wenige Opfer: Eine Analyse der drei Bitcoin-Adressen des Wurms zählte bis zum 2. Oktober 2017 238 Lösegeldzahlungen im Wert von etwa 86.000 US-Dollar zu den damaligen Kursen.

Der Fix und die Reaktion

Microsoft hatte die Lücke am 14. März 2017 mit dem Sicherheitsupdate MS17-010 geschlossen, das für alle unterstützten Windows-Versionen als kritisch eingestuft war. Jede infizierte NHS-Einrichtung hatte ein ungepatchtes oder nicht mehr unterstütztes Windows verwendet, stellte der Rechnungshof fest.

Am Abend des 12. Mai aktivierte ein britischer Sicherheitsforscher den Kill-Switch, indem er die Webadresse registrierte, die der Wurm prüfte. Von da an sperrten neue Infektionen keine Geräte mehr. NHS England hatte an diesem Tag um 16 Uhr eine nationale Großschadenslage ausgerufen und erklärte sie am 19. Mai für beendet. Bis zum Abend des 14. Mai hatten 3.486 Hausarztpraxen (44 %) die nötigen Patches installiert.

Am 13. Mai veröffentlichte Microsoft Notfall-Patches für Windows XP, Windows 8 und Windows Server 2003, Versionen, die das Unternehmen nicht mehr unterstützte.

Die NVD, die US-amerikanische National Vulnerability Database, bewertet die Lücke mit 8,8 von 10. Die Bewertung nimmt an, dass der Angreifer ein einfaches Benutzerkonto braucht; laut Microsoft kann auch ein Angreifer ohne Konto die Lücke ausnutzen.

Wie es weiterging

Etwa sechs Wochen später half dieselbe Windows-Lücke, NotPetya zu verbreiten, das Unternehmen in der Ukraine und 64 weiteren Ländern traf.