Wanna Cry crittografa i file su unità di rete?

Sì, WannaCry punta alle unità di rete e ai supporti rimovibili, secondo Talos Intelligence :

The file tasksche.exe [a WannaCry component] checks for disk drives, including network shares and removable storage devices mapped to a letter, such as 'C:/', 'D:/' etc. The malware then checks for files with a file extension as listed in the appendix and encrypts these using 2048-bit RSA encryption.

Questo è particolarmente preoccupante perché, secondo l'analisi tecnica di Endgame Inc , il malware garantisce anche autorizzazioni complete per Everyone su file che è in grado di fare in modo che possano avere gravi conseguenze nel caso di condivisioni di Active Directory.

La risposta breve è "È possibile".

È importante capire le circostanze in cui ciò è possibile:

1: se le unità di rete condivise esistono su un server vulnerabile e il server stesso è infetto

2: se il contesto utente in cui è in esecuzione l'infezione ha una connessione stabilita con una risorsa di rete, viene autenticato al momento dell'infezione e autorizzato a modificarlo. Ad esempio, un cryptomalware eseguito nel contesto di "SYSTEM" - senza sfruttare una vulnerabilità - non dovrebbe essere in grado di apportare modifiche a una condivisione di rete che richiede l'autenticazione, a condizione che un altro utente con permessi di scrittura non sia già autenticato attivamente.

3: Se i file condivisi sono mal implementati. Ad esempio, un metodo molto antefatto e pericoloso che ho visto in uso diffuso è il lancio di uno script nella cartella di avvio di un computer che si connette e autentica a una condivisione di file. In linea di massima, in Windows (e principalmente altrove), le attività automatiche dovrebbero essere eseguite solo nel contesto di una sessione autenticata e non dovrebbero mai essere avviate da uno script che contiene credenziali hardcoded

Una buona regola empirica da considerare quando si pensa al cryptomalware o veramente a qualsiasi malware: se una determinata macchina o sessione sta indicizzando i file per una ricerca rapida su una risorsa, esiste almeno un rischio di divulgazione o distruzione da parte di una minaccia funziona su quella macchina o sessione.