“永恒之蓝”来龙去脉

最新统计数据显示，勒索病毒自5月12日首次爆发至今，全球已经有超过20万PC收到感染，而如今事情正在变得更糟。

稍早，英国安全人员研究发现黑客在勒索病毒当中注入了一个“自毁开关”，当病毒ping到一个特殊域名时便会自动停置攻击，进入蛰伏状态。

当时分析人员认为，这是黑客担心事态完全失去控制而为自己留的一条后路。

但同时也有预测观点称，当黑客发现自己的后路被安全人员用掉了之后，可能会修改病毒代码，从而发起新一轮攻击。

不幸的是，这种预测应验了。

研究人员在刚刚过去的这个周末已经发现，黑客偷偷对勒索病毒的代码进行了修改，许多病毒样本的“自毁开关”被设计ping到与已知域名不同的新域名，或者干脆取消了“自毁开关”设置。

安全人员表示，黑客的这种做法非常危险，恐怕很多人在周一上班打开电脑时就会发现自己也中招了。

我们先来回顾下本次事件的相关背景：

2007年，美国国家安全局NSA开始实施棱镜计划，全面监视互联网。

2013年6月，前中情局雇员爱德华斯诺登对媒体披露棱镜计划，并指出美国政府支持的黑客对全球多个国家进行了黑客攻击。

2016年一个叫做“影子破坏者”的黑客组织公开拍卖美国国家安全局使用的部分攻击工具，其中包含了微软操作系统的一个漏洞（代号是永恒之蓝），虽然微软公司在今年三月份的时候发布补丁修复了这个漏洞，但因为大量低版本的Windows操作系统并不在微软的服务范围之内，所以仍然有数量巨大的用户处于未受保护的状态。随着时间的推移，原本的准军方武器，落入了黑色产业链的手上，并把它制作成为勒索病毒，这就是本次事件的前因后果。

下面我们来初步分析下本次事件的影响：

本次勒索病毒的覆盖范围非常广，从医院到学校到企业，甚至包括了部分政府敏感部门，遍布世界各地，可以说是近十年来影响最大的一次信息安全事件。本次勒索病毒的性质也很恶劣，并不像过去以传递制作者理念和思想为核心的传播型病毒，或者以炫耀技术为目的的破坏型病毒，而是采用加密技术将用户的重要资料加密劫持，从而讹诈用户赎金的商业病毒。

本次事件尚未完全结束，因为事件爆发的时间是周末，有很多办公电脑处于关机状态，明天周一上班后如果相应的管理人员不能及时采取安全防护措施，还会有一次延迟的爆发。

被“影子破坏者”曝光的NSA漏洞并不只有“永恒之蓝”一个，甚至可以预想到还有更多的军用级网络武器尚未被曝光，而这种准军事攻击工具民用化黑产化的模式一旦传播开来，未来很可能会出现更多的大规模信息安全事件。

“永恒之蓝”分析及应对方案

经过分析，这是一起勒索软件与高危漏洞相结合的恶性蠕虫传播事件，其严重性不亚于当年的“冲击波”病毒。勒索软件为最新的“wannacry”的家族，目前尚无法对加密后的文件进行解密，中招后只能重装系统或向黑客支付赎金解决。此次“wannacry”勒索蠕虫疯狂传播的原因是借助了前不久泄露的Equation Group（方程式组织）的“EternalBlue（永恒之蓝）”漏洞利用工具的代码。该工具利用了微软今年3月份修补的MS17-010 SMB协议远程代码执行漏洞，该漏洞可影响主流的绝大部分Windows操作系统版本。

漏洞影响范围：

MS17-010漏洞主要影响以下操作系统：Windows 2000，Windows 2003，Windows XP，Windows Vista，Windows7，Windows8，Windows10，Windows2008，Windows2012。

由于EternalBlue的利用代码主要针对WindowsXP以及Windows7，2008，因此此次事件对于Windows XP、Windows 7，Windows2008的影响更为严重。上述Win7及以上操作系统只要打开了445端口且没有安装MS17-010的机器则确认会受到影响。

WindowsXP/2003操作系统没有补丁，只要开启了445端口则确认受到影响。

该勒索软件采用包括英语、简体中文、繁体中文等28种语言进行“本地化”。会将自身复制到每个文件夹下，[email protected]@.exe”。同时衍生大量语言配置等文件，该勒索软件AES和RSA加密算法，加密的文件以“WANACRY!”开头。

解决方案

◆ 做好重要文件的备份工作（非本地备份）。

◆ 开启系统防火墙。

◆ 利用系统防火墙高级设置阻止向445端口进行连接（该操作会影响使用445端口的服务）。

◆ 打开系统自动更新，并检测更新进行安装。

◆ 停止使用Windows XP、Windows 2003等微软已不再提供安全更新的操作系统。

◆ 如无需使用共享服务建议关闭该服务。

已部署端点安全的终端应急解决方案

◆ 如果用户已经部署终端管理类产品，如北信源，天珣、联软等

◆ 通过终端管理软件进行内网打补丁。

◆ 通过主机防火墙关闭入栈流量。主机防火墙关闭到445出栈流量。

◆ 开启文件审计，只允许word.exe，explore.exe等对文件访问。

◆ 升级病毒库。

网络应急解决方案

◆ 在边界出口交换路由防火墙设备禁止外网对内网135/137/139/445端口的连接。

◆在内网核心主干交换路由防火墙设备禁止135/137/139/445端口的连接。

◆ 如果有部署入侵防御等防护系统则尽快检查漏洞库升级，开启防御策略。

◆ 发布通知重点留意邮件、移动存储介质等传播渠道，做好重点检查防护工作。

已中毒用户

◆ 断开网络连接，阻止进一步扩散。

◆ 优先检查未感染主机的漏洞状况（可直接联系启明星辰，提供免费检测工具使用），做好漏洞加固工作后方可恢复网络连接。

◆ 已经感染终端，根据终端数据类型决定处置方式，如果重新安装系统则建议完全格式化硬盘、使用新操作系统、完善操作系统补丁、通过检查确认无相关漏洞后再恢复网络连接。

内部排查应急方案

◆ 若用户已部署漏洞扫描类产品，可联系厂商获得最新漏洞库的支持。

◆ 未部署相关产品的用户，可联系厂商获得产品试用应急。

无法关闭服务端口的应急解决方案

◆ 若用户已部署UTM/IPS入侵防御类产品，可联系厂商获得最新事件库的支持。

◆ 未部署相关产品的用户，可联系厂商获得产品试用应急。

详细分析

当系统被此次“wannacry”勒索蠕虫入侵后，在自我“蠕虫式”传播的同时，会使用“AES+RSA”算法加密文件,所有被加密文件都被添加了“WNCRY”的扩展名后缀。

具体的，“wannacry”病毒运行后，会检查参数个数，当小于2时，创建并启动服务mssecsvc2.0，服务参数是-m security，服务镜像为其自身。之后释放wanacrypt0r，并运行。

当参数大于等于2，也即它认为是以服务启动时，执行蠕虫传播功能。蠕虫功能会开启两个线程，一个负责扫描本地网络：

另一个线程负责扫描整个互联网，IP随机生成：

当扫描到有问题的主机时，会使用NSA工具的DoublePulsar paload将其传播过去（相关分析见http://m.venustech.com.cn/NewsInfo/4/45762.Html）, DoublePulsar可以将一个动态库植入，因此该蠕虫传播的也是一个动态库。

动态库有x86、x64两个版本。功能简单，只有一个导出函数PlayGame，运行后会直接加载资源节”W”，资源节”W”便为蠕虫自身，保存为C:mssecsvc.exe，并运行。