WannaCry: Der Ransomware-Wurm, der den NHS traf

Am 12. Mai 2017 verbreitete sich ein Wurm namens WannaCry auf mehr als 200.000 Computer in mindestens 100 Ländern. Ein Wurm kopiert sich selbstständig von Computer zu Computer. Dieser war zugleich Ransomware, die Dateien sperrt und Geld für ihre Freigabe verlangt. Er nutzte eine Sicherheitslücke in der Windows-Dateifreigabe, die Microsoft zwei Monate zuvor geschlossen hatte. In England störte er tagelang den staatlichen Gesundheitsdienst National Health Service (NHS).

So funktionierte der Angriff

Windows-Computer teilen Dateien und Drucker über ein Netzwerkprotokoll namens SMB. Seine erste Version, SMBv1, hatte mehrere Fehler bei der Verarbeitung bestimmter Anfragen. Der Fehler, den WannaCry nutzte, ist eine falsch berechnete Größe. Ein präpariertes Netzwerkpaket lässt einen Puffer überlaufen, einen reservierten Speicherbereich im Windows-Kernel, dem Kern des Systems. Wer Port 445 erreicht, die Netzwerktür für die Dateifreigabe, kann Code mit den höchsten Rechten ausführen. In der Praxis ist dafür kein Passwort nötig.

Das Angriffswerkzeug für diese Lücke, EternalBlue, stammte laut Microsoft aus Werkzeugen, die dem US-Geheimdienst National Security Agency (NSA) gestohlen worden waren. Eine Gruppe, die sich Shadow Brokers nennt, veröffentlichte es am 14. April 2017 zusammen mit weiteren Werkzeugen. Microsoft bestätigte, dass sein Sicherheitsupdate MS17-010 vom 14. März die Lücken hinter allen diesen Werkzeugen bereits schloss.

WannaCry packte EternalBlue und DoublePulsar in einen Wurm. DoublePulsar ist eine Hintertür, die Angreifern einen versteckten Weg zurück in den Computer offenhält. Jeder infizierte Computer durchsuchte sein eigenes Netzwerk und zufällige Internetadressen nach einem offenen Port 445 und kopierte den Wurm dorthin. Auf jedem neuen Opfer verschlüsselte er die Dateien, jede mit einem eigenen Schlüssel. Diese Schlüssel sperrte er mit einem Schloss, das nur die Angreifer öffnen konnten. Die Erpressernachricht verlangte 300 US-Dollar in Bitcoin, nach drei Tagen 600 Dollar, und drohte, die Dateien nach sieben Tagen zu löschen.

Als Erstes versuchte der Wurm, eine lange Webadresse zu erreichen, die niemand registriert hatte. Gelang das, hielt er an. Diese Prüfung wurde später zu seinem Ausschalter.

Reichweite und Schaden

Der britische Rechnungshof National Audit Office (NAO), der die öffentlichen Ausgaben prüft, zählte mehr als 200.000 betroffene Computer in mindestens 100 Ländern.

In England waren 34 NHS-Trusts infiziert und von ihren Geräten ausgesperrt. Trusts sind die Einrichtungen, die Krankenhäuser und andere Gesundheitsdienste betreiben. Bei 46 weiteren kam es zu Störungen, ohne dass sie infiziert waren. Zusammen waren das mindestens 80 von 236 Trusts. Außerdem waren 603 Einrichtungen der Grundversorgung und andere NHS-Organisationen infiziert, darunter 595 Hausarztpraxen. Der Wurm infizierte auch 1.220 Diagnosegeräte, 1 % aller solchen Geräte des NHS. Fünf Krankenhaus-Trusts mussten Rettungswagen in andere Krankenhäuser umleiten.

NHS England erfasste in der ersten Woche 6.912 abgesagte Termine und schätzte die Gesamtzahl auf etwa 19.494.

Das britische Gesundheitsministerium (Department of Health and Social Care) schätzt die Kosten für den NHS auf etwa 92 Millionen Pfund. Davon entfielen 19 Millionen Pfund auf ausgefallene Patientenversorgung und 73 Millionen Pfund auf IT-Kosten. Der größte Teil, 72 Millionen Pfund, entstand nach dem Angriff.

Keine NHS-Einrichtung zahlte das Lösegeld. Auch weltweit zahlten nur wenige Opfer. Eine Analyse der drei Bitcoin-Adressen des Wurms zählte bis zum 2. Oktober 2017 insgesamt 238 Lösegeldzahlungen. Sie waren zu den damaligen Kursen etwa 86.000 US-Dollar wert.

Der Fix und die Reaktion

Microsoft hatte die Lücke am 14. März 2017 mit dem Sicherheitsupdate MS17-010 geschlossen, das für alle unterstützten Windows-Versionen als kritisch eingestuft war. Jede infizierte NHS-Einrichtung hatte ein ungepatchtes oder nicht mehr unterstütztes Windows verwendet, stellte der Rechnungshof fest.

Am Abend des 12. Mai registrierte ein britischer Sicherheitsforscher die Webadresse, die der Wurm prüfte. Damit aktivierte er den Kill-Switch. Von da an sperrten neue Infektionen keine Geräte mehr. NHS England hatte an diesem Tag um 16 Uhr eine nationale Großschadenslage ausgerufen und erklärte sie am 19. Mai für beendet. Bis zum Abend des 14. Mai hatten 3.486 Hausarztpraxen (44 %) die nötigen Patches installiert.

Am 13. Mai veröffentlichte Microsoft Notfall-Patches für Windows XP, Windows 8 und Windows Server 2003, Versionen, die das Unternehmen nicht mehr unterstützte.

Die NVD, die US-amerikanische National Vulnerability Database, bewertet die Lücke mit 8,8 von 10. Die Bewertung nimmt an, dass der Angreifer ein einfaches Benutzerkonto braucht. Laut Microsoft kann auch ein Angreifer ohne Konto die Lücke ausnutzen.

Wie es weiterging

Etwa sechs Wochen später half dieselbe Windows-Lücke, NotPetya zu verbreiten, das Unternehmen in der Ukraine und 64 weiteren Ländern traf.