當前位置：係統粉 > IT資訊 > 業界資訊 > “永恒之藍”來龍去脈

“永恒之藍”來龍去脈

時間：2017-05-14 來源：互聯網瀏覽量：

最新統計數據顯示，勒索病毒自5月12日首次爆發至今，全球已經有超過20萬PC收到感染，而如今事情正在變得更糟。

稍早，英國安全人員研究發現黑客在勒索病毒當中注入了一個“自毀開關”，當病毒ping到一個特殊域名時便會自動停置攻擊，進入蟄伏狀態。

當時分析人員認為，這是黑客擔心事態完全失去控製而為自己留的一條後路。

但同時也有預測觀點稱，當黑客發現自己的後路被安全人員用掉了之後，可能會修改病毒代碼，從而發起新一輪攻擊。

不幸的是，這種預測應驗了。

研究人員在剛剛過去的這個周末已經發現，黑客偷偷對勒索病毒的代碼進行了修改，許多病毒樣本的“自毀開關”被設計ping到與已知域名不同的新域名，或者幹脆取消了“自毀開關”設置。

安全人員表示，黑客的這種做法非常危險，恐怕很多人在周一上班打開電腦時就會發現自己也中招了。

我們先來回顧下本次事件的相關背景：

2007年，美國國家安全局NSA開始實施棱鏡計劃，全麵監視互聯網。

2013年6月，前中情局雇員愛德華斯諾登對媒體披露棱鏡計劃，並指出美國政府支持的黑客對全球多個國家進行了黑客攻擊。

2016年一個叫做“影子破壞者”的黑客組織公開拍賣美國國家安全局使用的部分攻擊工具，其中包含了微軟操作係統的一個漏洞（代號是永恒之藍），雖然微軟公司在今年三月份的時候發布補丁修複了這個漏洞，但因為大量低版本的Windows操作係統並不在微軟的服務範圍之內，所以仍然有數量巨大的用戶處於未受保護的狀態。隨著時間的推移，原本的準軍方武器，落入了黑色產業鏈的手上，並把它製作成為勒索病毒，這就是本次事件的前因後果。

下麵我們來初步分析下本次事件的影響：

本次勒索病毒的覆蓋範圍非常廣，從醫院到學校到企業，甚至包括了部分政府敏感部門，遍布世界各地，可以說是近十年來影響最大的一次信息安全事件。本次勒索病毒的性質也很惡劣，並不像過去以傳遞製作者理念和思想為核心的傳播型病毒，或者以炫耀技術為目的的破壞型病毒，而是采用加密技術將用戶的重要資料加密劫持，從而訛詐用戶贖金的商業病毒。

本次事件尚未完全結束，因為事件爆發的時間是周末，有很多辦公電腦處於關機狀態，明天周一上班後如果相應的管理人員不能及時采取安全防護措施，還會有一次延遲的爆發。

被“影子破壞者”曝光的NSA漏洞並不隻有“永恒之藍”一個，甚至可以預想到還有更多的軍用級網絡武器尚未被曝光，而這種準軍事攻擊工具民用化黑產化的模式一旦傳播開來，未來很可能會出現更多的大規模信息安全事件。

“永恒之藍”分析及應對方案

經過分析，這是一起勒索軟件與高危漏洞相結合的惡性蠕蟲傳播事件，其嚴重性不亞於當年的“衝擊波”病毒。勒索軟件為最新的“wannacry”的家族，目前尚無法對加密後的文件進行解密，中招後隻能重裝係統或向黑客支付贖金解決。此次“wannacry”勒索蠕蟲瘋狂傳播的原因是借助了前不久泄露的Equation Group（方程式組織）的“EternalBlue（永恒之藍）”漏洞利用工具的代碼。該工具利用了微軟今年3月份修補的MS17-010 SMB協議遠程代碼執行漏洞，該漏洞可影響主流的絕大部分Windows操作係統版本。

漏洞影響範圍：

MS17-010漏洞主要影響以下操作係統：Windows 2000，Windows 2003，Windows XP，Windows Vista，Windows7，Windows8，Windows10，Windows2008，Windows2012。

由於EternalBlue的利用代碼主要針對WindowsXP以及Windows7，2008，因此此次事件對於Windows XP、Windows 7，Windows2008的影響更為嚴重。上述Win7及以上操作係統隻要打開了445端口且沒有安裝MS17-010的機器則確認會受到影響。

WindowsXP/2003操作係統沒有補丁，隻要開啟了445端口則確認受到影響。

該勒索軟件采用包括英語、簡體中文、繁體中文等28種語言進行“本地化”。會將自身複製到每個文件夾下，[email protected]@.exe”。同時衍生大量語言配置等文件，該勒索軟件AES和RSA加密算法，加密的文件以“WANACRY!”開頭。

解決方案

◆ 做好重要文件的備份工作（非本地備份）。

◆ 開啟係統防火牆。

◆ 利用係統防火牆高級設置阻止向445端口進行連接（該操作會影響使用445端口的服務）。

◆ 打開係統自動更新，並檢測更新進行安裝。

◆ 停止使用Windows XP、Windows 2003等微軟已不再提供安全更新的操作係統。

◆ 如無需使用共享服務建議關閉該服務。