De WannaCry-ransomware die vorige week vrijdag met verspreiden begon heeft wereldwijd ruim 400.000 unieke ip-adressen besmet. Dat meldde de Britse onderzoeker met het alias MalwareTech vandaag via Twitter. De onderzoeker registreerde het domein waarmee de ransomware verbinding maakt.

In het geval de ransomware met het domein verbinding kan maken wordt er een killswitch actief die verdere verspreiding en het versleutelen van bestanden voorkomt. Waarschijnlijk hebben de ontwikkelaars deze killswitch toegevoegd om analyse door onderzoekers te bemoeilijken. Inmiddels hebben 417.000 unieke ip-adressen die WannaCry infecteerde met het domein verbinding gemaakt, waardoor verdere schade werd voorkomen.

Doordat er meerdere besmette systemen achter een ip-adres kunnen zitten is het lastig om iets over het totale aantal besmettingen te zeggen. Daarnaast zijn er ook omgevingen waar de ransomware het domein niet kon bereiken en systemen zodoende geïnfecteerd raakten. WannaCry zou inmiddels wel meer systemen dan de beruchte CryptoLocker-ransomware hebben besmet. De CryptoWall-ransomware staat met 830.000 infecties te boek als een van de meest succesvolle ransomware ooit.

Inmiddels staat het "WannaCry-domein" ook in de Top 1 miljoen lijst van Alexa en Umbrella, aldus beveiligingsbedrijf Netresec. MalwareTech kreeg van hackerplatform HackerOne een beloning van 10.000 dollar voor zijn optreden. Het geld dat de onderzoeker ontving wil hij verdelen onder goede doelen en het aanschaffen van securityboeken voor studenten die ze zelf niet kunnen veroorloven.

Volgens sommige beveiligingsbedrijven is de ransomware mogelijk ontwikkeld door dezelfde groep aanvallers die eerder Sony en allerlei Zuid-Koreaanse banken en televisiebedrijven aanviel. De groep zou mogelijk in opdracht van Noord-Korea opereren, maar de Noord-Koreaanse VN-ambassadeur liet tijdens een persconferentie weten dat het land niets met de ransomware-aanval te maken heeft, zo meldt Reuters.