{"data":{"case":{"actions":{"de":["Installiere **MS17-010** oder ein späteres Windows-Update; unter Windows XP, Windows 8 oder Server 2003 installiere den Notfall-Patch vom Mai 2017, denn diese Versionen bekommen keine regulären Updates mehr.","Schalte **SMB Version 1** ab, das alte Protokoll für die Dateifreigabe, das der Wurm nutzte.","Blockiere Port 445 am Übergang deines Netzwerks zum Internet, damit niemand von außen die Windows-Dateifreigabe erreicht."],"en":["Install **MS17-010** or any later Windows update; on Windows XP, Windows 8 or Server 2003, install the emergency patch of May 2017, since these versions no longer get regular updates.","Switch off **SMB version 1**, the old file-sharing protocol the worm used.","Block port 445 at the edge of your network, so that no one can reach Windows file sharing from the internet."]},"criteria":{"damage":{"de":"In England wurden etwa 19.494 Termine abgesagt, und fünf Krankenhaus-Trusts mussten Rettungswagen umleiten; die Kosten für den NHS werden auf etwa 92 Millionen Pfund geschätzt (National Audit Office; britisches Gesundheitsministerium).","en":"In England, about 19,494 appointments were cancelled and five hospital trusts had to divert ambulances; the cost to the NHS is estimated at about GBP 92 million (National Audit Office; Department of Health and Social Care).","met":true},"exploitation":{"de":"WannaCry war ein Wurm: Jeder infizierte Computer suchte in seinem Netzwerk und im Internet nach neuen Opfern und infizierte sie selbstständig (Cisco Talos).","en":"WannaCry was a worm: every infected computer searched its network and the internet for new victims and infected them on its own (Cisco Talos).","met":true},"reach":{"de":"Mehr als 200.000 Computer in mindestens 100 Ländern waren betroffen (britischer Rechnungshof, National Audit Office).","en":"More than 200,000 computers in at least 100 countries were affected (UK National Audit Office).","met":true},"response":{"de":"Microsoft veröffentlichte Notfall-Patches für Windows XP, Windows 8 und Windows Server 2003, die es nicht mehr unterstützte, und NHS England rief eine nationale Großschadenslage aus (Microsoft; National Audit Office).","en":"Microsoft released emergency patches for Windows XP, Windows 8 and Windows Server 2003, which it no longer supported, and NHS England declared a national major incident (Microsoft; National Audit Office).","met":true}},"cves":["CVE-2017-0144"],"cvss":8.8,"cvss_version":"3.1","dates":[{"date":"2017-03-14","key":"patched"},{"date":"2017-04-14","de":"Die Shadow Brokers veröffentlichen EternalBlue, ein der NSA gestohlenes Angriffswerkzeug","en":"The Shadow Brokers publish EternalBlue, an attack tool stolen from the NSA"},{"date":"2017-05-12","key":"outbreak"},{"date":"2017-05-12","de":"Am Abend aktiviert ein britischer Sicherheitsforscher den Kill-Switch","en":"In the evening, a UK security researcher activates the kill switch"},{"date":"2017-05-13","de":"Notfall-Patches für Windows XP, Windows 8 und Windows Server 2003","en":"Emergency patches for Windows XP, Windows 8 and Windows Server 2003"},{"date":"2017-05-19","de":"NHS England erklärt die nationale Großschadenslage für beendet","en":"NHS England stands down the national major incident"}],"de":{"credit":"Von Microsoft nicht genannt; das Angriffswerkzeug EternalBlue wurde dem US-Geheimdienst NSA gestohlen","fixed":"MS17-010 (14. März 2017); Notfall-Patches für Windows XP, Windows 8 und Windows Server 2003 (13. Mai 2017)","product":"Windows-Computer mit dem alten Dateifreigabe-Protokoll SMBv1","summary":"Ein Ransomware-Wurm traf mit einem geleakten NSA-Werkzeug und einer Windows-Lücke mehr als 200.000 Computer und störte Krankenhäuser in England."},"disclosed":"2017-05-12","en":{"credit":"Not named by Microsoft; the attack tool EternalBlue was stolen from the US NSA","fixed":"MS17-010 (March 14, 2017); emergency patches for Windows XP, Windows 8 and Windows Server 2003 (May 13, 2017)","product":"Windows computers with the old file-sharing protocol SMBv1","summary":"A ransomware worm used a leaked NSA tool and a Windows flaw to hit more than 200,000 computers, and it disrupted hospitals in England."},"figures":[{"de":"Computer in mindestens 100 Ländern getroffen","en":"computers hit in at least 100 countries","value":"200,000+"},{"de":"abgesagte NHS-Termine in England, nach Schätzung von NHS England","en":"NHS appointments cancelled in England, by NHS England's estimate","value":"19,494"},{"de":"Millionen Pfund: die geschätzten Kosten für den NHS","en":"million British pounds: the estimated cost to the NHS","value":"92"},{"de":"Lösegeldzahlungen weltweit bis zum 2. Oktober 2017, zusammen rund 86.000 US-Dollar wert","en":"ransom payments worldwide by October 2, 2017, worth about USD 86,000","value":"238"}],"kev":"2022-02-10","key":"wannacry","name":"WannaCry","product":"Microsoft Windows (SMBv1)","sources":[{"de":"Microsoft-Sicherheitsbulletin MS17-010","title":"Microsoft security bulletin MS17-010","url":"https://learn.microsoft.com/en-us/security-updates/securitybulletins/2017/ms17-010"},{"de":"Microsoft: die geleakten Angriffswerkzeuge und das Update, das sie unschädlich macht (April 2017)","title":"Microsoft: the leaked attack tools and the update that fixes them (April 2017)","url":"https://www.microsoft.com/en-us/msrc/blog/2017/04/protecting-customers-and-evaluating-risk"},{"de":"Microsoft: Hinweise für Kunden und Notfall-Patches zu WannaCrypt (Mai 2017)","title":"Microsoft: customer guidance and emergency patches for WannaCrypt (May 2017)","url":"https://www.microsoft.com/en-us/msrc/blog/2017/05/customer-guidance-for-wannacrypt-attacks"},{"de":"Microsoft: Die Exploits wurden der NSA gestohlen (Mai 2017)","title":"Microsoft: the exploits were stolen from the NSA (May 2017)","url":"https://blogs.microsoft.com/on-the-issues/2017/05/14/need-urgent-collective-action-keep-people-safe-online-lessons-last-weeks-cyberattack/"},{"de":"NVD: CVE-2017-0144","title":"NVD: CVE-2017-0144","url":"https://nvd.nist.gov/vuln/detail/CVE-2017-0144"},{"de":"Britischer Rechnungshof: Untersuchung zu WannaCry und dem NHS","title":"UK National Audit Office: investigation into WannaCry and the NHS","url":"https://www.nao.org.uk/reports/investigation-wannacry-cyber-attack-and-the-nhs/"},{"de":"Britischer Rechnungshof: vollständiger Bericht zu WannaCry und dem NHS (PDF)","title":"UK National Audit Office: full report on WannaCry and the NHS (PDF)","url":"https://www.nao.org.uk/wp-content/uploads/2017/10/Investigation-WannaCry-cyber-attack-and-the-NHS.pdf"},{"de":"Britisches Gesundheitsministerium: Fortschrittsbericht zur Cyber-Resilienz, mit der Kostenschätzung (PDF)","title":"UK Department of Health and Social Care: progress update on cyber resilience, with the cost estimate (PDF)","url":"https://assets.publishing.service.gov.uk/government/uploads/system/uploads/attachment_data/file/747464/securing-cyber-resilience-in-health-and-care-september-2018-update.pdf"},{"de":"Bitcoin-Analyse der Lösegeldzahlungen an WannaCry und NotPetya (Computers \u0026 Security, 2018)","title":"Bitcoin analysis of WannaCry and NotPetya ransom payments (Computers \u0026 Security, 2018)","url":"https://arxiv.org/pdf/1804.01341"},{"de":"Cisco Talos: Analyse von WannaCry (Anbieterdaten)","title":"Cisco Talos: WannaCry analysis (vendor data)","url":"https://blog.talosintelligence.com/2017/05/wannacry.html"}],"vector":"CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H","year":2017}},"description":"Ein Wurm sperrte mit einem geleakten NSA-Werkzeug und einer Windows-Lücke über 200.000 Computer. Wie er sich verbreitete, was er den NHS kostete, der Fix.","language":"de","latest_measurement":"2026-10-23","method":"latency-v3","method_page":"https://crackthe.net/de/methode/","source":"https://crackthe.net/","text":"Am 12. Mai 2017 verbreitete sich ein Wurm namens WannaCry auf mehr als 200.000 Computer in mindestens 100 Ländern. Ein Wurm kopiert sich selbstständig von Computer zu Computer; dieser war zugleich Ransomware, die Dateien sperrt und Geld verlangt, um sie wieder freizugeben. Er nutzte eine Sicherheitslücke in der Windows-Dateifreigabe, die Microsoft zwei Monate zuvor geschlossen hatte, und störte in England tagelang den staatlichen Gesundheitsdienst National Health Service (NHS).\nSo funktionierte der Angriff Windows-Computer teilen Dateien und Drucker über ein Netzwerkprotokoll namens SMB. Seine erste Version, SMBv1, hatte mehrere Fehler bei der Verarbeitung bestimmter Anfragen. Der Fehler, den WannaCry nutzte, ist eine falsch berechnete Größe: Ein präpariertes Netzwerkpaket lässt einen Puffer überlaufen, einen reservierten Speicherbereich im Windows-Kernel, dem Kern des Systems. Wer Port 445 erreicht, die Netzwerktür für die Dateifreigabe, kann Code mit den höchsten Rechten ausführen. In der Praxis ist dafür kein Passwort nötig.\nDas Angriffswerkzeug für diese Lücke, EternalBlue, stammte laut Microsoft aus Werkzeugen, die dem US-Geheimdienst National Security Agency (NSA) gestohlen worden waren. Eine Gruppe, die sich Shadow Brokers nennt, veröffentlichte es am 14. April 2017 zusammen mit weiteren Werkzeugen. Microsoft bestätigte, dass sein Sicherheitsupdate MS17-010 vom 14. März die Lücken hinter allen diesen Werkzeugen bereits schloss.\nWannaCry packte EternalBlue und DoublePulsar, eine Hintertür, die Angreifern einen versteckten Weg zurück in den Computer offenhält, in einen Wurm. Jeder infizierte Computer durchsuchte sein eigenes Netzwerk und zufällige Internetadressen nach einem offenen Port 445 und kopierte den Wurm dorthin. Auf jedem neuen Opfer verschlüsselte er die Dateien, jede mit einem eigenen Schlüssel, und sperrte diese Schlüssel mit einem Schloss, das nur die Angreifer öffnen konnten. Die Erpressernachricht verlangte 300 US-Dollar in Bitcoin, nach drei Tagen 600 Dollar, und drohte, die Dateien nach sieben Tagen zu löschen.\nInfizierter Computerdurchsucht sein Netzwerk und das Internet nach Port 445 SMB Version 1ein präpariertes Paket lässt einen Puffer im Kernel überlaufen Neues OpferDateien verschlüsselt, 300 US-Dollar gefordert Nächste Rundedas neue Opfer sucht nun ebenfalls Niemand musste etwas anklicken: Ein offener Port 445 und ein fehlendes Update reichten. Bevor er etwas anderes tat, versuchte der Wurm, eine lange Webadresse zu erreichen, die niemand registriert hatte, und hielt an, wenn das gelang. Diese Prüfung wurde später zu seinem Ausschalter.\nReichweite und Schaden Der britische Rechnungshof National Audit Office (NAO), der die öffentlichen Ausgaben prüft, zählte mehr als 200.000 betroffene Computer in mindestens 100 Ländern. Sein Bericht über den NHS zeigt, was der Wurm in einer einzigen großen Organisation anrichtete.\nIn England waren 34 NHS-Trusts, die Einrichtungen, die Krankenhäuser und andere Gesundheitsdienste betreiben, infiziert und von ihren Geräten ausgesperrt; bei 46 weiteren kam es zu Störungen, ohne dass sie infiziert waren: zusammen mindestens 80 von 236 Trusts. Außerdem waren 603 Einrichtungen der Grundversorgung und andere NHS-Organisationen infiziert, darunter 595 Hausarztpraxen. Der Wurm infizierte zudem 1.220 Diagnosegeräte, 1 % aller solchen Geräte des NHS. Fünf Krankenhaus-Trusts mussten Rettungswagen in andere Krankenhäuser umleiten.\nNHS England erfasste in der ersten Woche 6.912 abgesagte Termine und schätzte die Gesamtzahl auf etwa 19.494.\nWegen WannaCry abgesagte NHS-Termine Von NHS England erfasst, 12. bis 18. Mai6.912 Geschätzt insgesamt19.494 Quelle: britischer Rechnungshof (National Audit Office). Die Gesamtzahl ist eine Schätzung auf Grundlage der erfassten Absagen.\nDas britische Gesundheitsministerium (Department of Health and Social Care) schätzt die Kosten für den NHS auf etwa 92 Millionen Pfund: 19 Millionen Pfund für ausgefallene Patientenversorgung und 73 Millionen Pfund an IT-Kosten. Der größte Teil, 72 Millionen Pfund, entstand nach dem Angriff.\nKeine NHS-Einrichtung zahlte das Lösegeld. Auch weltweit zahlten nur wenige Opfer: Eine Analyse der drei Bitcoin-Adressen des Wurms zählte bis zum 2. Oktober 2017 238 Lösegeldzahlungen im Wert von etwa 86.000 US-Dollar zu den damaligen Kursen.\nLösegeldzahlungen an WannaCry, 12. Mai bis 2. Oktober 2017 Zahlungen von 300 US-Dollar192 Zahlungen von 600 US-Dollar46 Quelle: Analyse von Bitcoin-Zahlungen, Computers \u0026amp; Security, 2018. Zusammen 47,17 Bitcoin im Wert von 86.076,76 US-Dollar zu Tagesdurchschnittskursen.\nDer Fix und die Reaktion Microsoft hatte die Lücke am 14. März 2017 mit dem Sicherheitsupdate MS17-010 geschlossen, das für alle unterstützten Windows-Versionen als kritisch eingestuft war. Jede infizierte NHS-Einrichtung hatte ein ungepatchtes oder nicht mehr unterstütztes Windows verwendet, stellte der Rechnungshof fest.\nAm Abend des 12. Mai aktivierte ein britischer Sicherheitsforscher den Kill-Switch, indem er die Webadresse registrierte, die der Wurm prüfte. Von da an sperrten neue Infektionen keine Geräte mehr. NHS England hatte an diesem Tag um 16 Uhr eine nationale Großschadenslage ausgerufen und erklärte sie am 19. Mai für beendet. Bis zum Abend des 14. Mai hatten 3.486 Hausarztpraxen (44 %) die nötigen Patches installiert.\nAm 13. Mai veröffentlichte Microsoft Notfall-Patches für Windows XP, Windows 8 und Windows Server 2003, Versionen, die das Unternehmen nicht mehr unterstützte.\nDie NVD, die US-amerikanische National Vulnerability Database, bewertet die Lücke mit 8,8 von 10. Die Bewertung nimmt an, dass der Angreifer ein einfaches Benutzerkonto braucht; laut Microsoft kann auch ein Angreifer ohne Konto die Lücke ausnutzen.\nWie es weiterging Etwa sechs Wochen später half dieselbe Windows-Lücke, NotPetya zu verbreiten, das Unternehmen in der Ukraine und 64 weiteren Ländern traf.","title":"WannaCry: Der Ransomware-Wurm, der den NHS traf","url":"https://crackthe.net/de/schwachstellen/wannacry/"}