全球WannaCry勒索病毒爆发背后的技术漏洞

全球WannaCry勒索病毒爆发背后的技术漏洞

转载文章请注明作者和二维码及全文信息。

5月12日晚,新型“蠕虫式”勒索病毒软件 WannaCry 在全球爆发,攻击各国政府,学校,医院等网络。我国众多行业大规模受到感染,其中教育网受损最为严重,攻击造成大量教学系统瘫痪。国内部分高校学生反映电脑被病毒攻击,被攻击的文档将被加密。

全球WannaCry勒索病毒爆发背后的技术漏洞

据统计,病毒是全国性的。5月13 日凌晨 1 时许,记者从山东大学官方微博看到,微博中发布了一条"关于防范 ONION 勒索软件病毒攻击的紧急通知 "。

全球WannaCry勒索病毒爆发背后的技术漏洞

金山毒霸安全中心监测到Onion/ wncry敲诈者蠕虫病毒在全国大范围内出现爆发传播趋势,并发布紧急预防措施。

全球WannaCry勒索病毒爆发背后的技术漏洞

全球WannaCry勒索病毒爆发背后的技术漏洞

全球WannaCry勒索病毒爆发背后的技术漏洞

全球WannaCry勒索病毒爆发背后的技术漏洞

针对境外黑客组织Shadow Brokers爆出微软高危方程式漏洞,天翼云也发出Windows高危漏洞通知,强调WannaCry等攻击者可以利用工具对通过135、137、139、445、3389端口获取Windows系统的操作权限,为保证您的数据及业务安全,强烈建议您用户进行安全整改,以保证您的服务器安全。

全球WannaCry勒索病毒爆发背后的技术漏洞

全球WannaCry勒索病毒爆发背后的技术漏洞

全球WannaCry勒索病毒爆发背后的技术漏洞

全球WannaCry勒索病毒爆发背后的技术漏洞

WannaCry 事件描述

经过分析,WannaCry 勒索软件是不法分子通过改造之前泄露的NSA黑客武器库中“永恒之蓝”攻击程序发起的网络攻击事件,利用了微软基于445 端口传播扩散的 SMB 漏洞MS17-010,微软已在今年3月份发布了该漏洞的补丁。

Win7以上所有版本目前已有补丁,但是Win7以下的Windows XP/2003目前没有补丁。对于开放445 SMB服务端口的终端和服务器,确认是否安装了MS17-010补丁,如没有安装则受威胁影响。

Windows系统一旦被WannaCry病毒感染后,会弹出一下对话框,攻击者需要支付比特币来恢复文件。

全球WannaCry勒索病毒爆发背后的技术漏洞

目前,国内多个政府网和教育网大量出现WannaCry勒索软件感染情况,一旦磁盘文件被病毒加密,只有支付高额赎金才能解密恢复文件,目前技术还无法解密该勒索软件加密的文件。

WannaCry 漏洞介绍

这种攻击应该是利用了微软系统的一个漏洞。该漏洞其实最早是美国国安局发现的,他们还给漏洞取名为EternalBlue(永恒之蓝)。

Microsoft 服务器消息块 (SMB) 协议是 Microsoft Windows 中使用的一项 Microsoft 网络文件共享协议。在大部分 windows 系统中都是默认开启的,用于在计算机间共享文件、打印机等。Windows SMB远程提权漏洞,NSA 泄露工具EternalBlue利用 SMB可以攻击开放了445 端口的 Windows 系统并提升至系统权限。

攻击者与TCP协议的445端口建立请求连接,获得指定局域网内的各种共享信息,并对文件施行加密等破坏性攻击。深信服安全云早在一个月前已更新微软SMB漏洞检测方案,并提供了安全应对方案。

全球WannaCry勒索病毒爆发背后的技术漏洞

在刚刚结束的RSA2017大会上,勒索软件的防御依然是一个热门话题,RSA大会专门安排了一天的勒索软件专题研讨。尽管勒索软件有愈演愈烈的趋势,危害也越来越大,但是无论个人用户还是企业用户,很多人并不是完全的了解勒索软件,重视程度也不够,甚至还没有找到正确的防御方式。这个系列的软文,希望在以往针对勒索软件防御分析的基础上,能够进一步深度分析勒索软件,探讨勒索软件防御的最佳实践。

什么是勒索软件

首先需要明确的是,勒索软件是一种典型的恶意代码,当电脑被感染了这种恶意代码之后,电脑中的某些文件被加密处理,比如Office文档、图片、视频文件等,造成使用者无法访问这些文件。由于勒索软件是通过对文件进行加密达到勒索金钱的目的,因此又称为加密勒索软件。

全球WannaCry勒索病毒爆发背后的技术漏洞

在上图中,一种名为CryptolLocker的勒索软件某些权威,已经将电脑上的文件完成了加密,并提醒受害者,唯一的解密方式,就是通过付费来获取解密的密钥,而且必须在规定时间付费,否则将销毁密钥。

勒索软件作为恶意代码的一种类型,已经存在很多年了,恶意代码通常是在系统后台偷偷地运行,比如窃取数据或者进行远程控制,使用者很难发觉,也没有发生明显的后果,很多时候都不去理睬。然而,勒索软件的出现,直接造成了文件被加密,无法访问和使用,受害者遇到了这种情况,必须想办法来解决。

加密勒索软件如何工作

加密勒索软件的传播有多种方式,最常见的是利用了社会工程的攻击方法,即通过钓鱼邮件包含恶意代码,或者利用网站的钓鱼链接,那么当用户点击了邮件包含的恶意代码,或者钓鱼链接后,恶意代码利用电脑系统本身存在的漏洞,侵入系统,并在后台开始运行。我们通过下面的示意图,简单描述了勒索软件的传播过程。

  • 1. 攻击者利用社会工程的方法,含有勒索软件或钓鱼链接的邮件发送到用户的邮箱,或者在某些网站通过挂马的方式,诱骗用户点击。

  • 2. 用户运行恶意文件或点击钓鱼链接后,勒索程序将利用终端系统存在的漏洞,在终端安装并运行,并且有可能向C&C主机发起连接请求。

  • 3. 恶意程序连接到C&C主机后,基于受害者终端的特定信息生成RSA密钥对,并将RSA公钥下载到终端上。

  • 4. 勒索软件在后台检索文件,同时生成一个AES密钥,对检索到的文件进行加密处理;加密完成后,用RSA的公钥再将AES密钥进行加密,并保存到文件中。

  • 5. 攻击者发出勒索信息,以各种方式通知用户支付赎金。

勒索软件在对文件进行查找和加密进行过程中,用户往往没有感知,只有当文件无法访问后才发现,很多文件已经被加密,已经无法访问了。通常攻击者会通过邮件或者替换墙纸的方式,通知受害者来支付赎金。

全球WannaCry勒索病毒爆发背后的技术漏洞

值得一提,有些攻击者还提供了加密原理的知识介绍,告知受害者,如果文件被加密后,唯一的解决方式,就是要拿到密钥才能解密,通过这种方式去促使受害者尽快支付赎金,才可以拿到密钥来解密文件。

加密勒索软件演变

勒索软件的历史,最早可以追溯到1989年,当时出现了一种被称为PCCyborg的恶意代码,对电脑的文件名称或文件夹进行加密,或者隐藏文件夹,造成用户无法访问文件,必须支付189美元的赎金后,才能够被解密。

全球WannaCry勒索病毒爆发背后的技术漏洞

我们看到,随着时间推移,各种各样的加密勒索软件不断出现,就如最新的WannaCry及其变种,伴随着勒索软件防御技术的发展,攻击者从加密技术到勒索金钱的支付方式,也在不断开发更加复杂的勒索软件。

加密勒索软件使用的加密方式,从最初的对称加密方式,发展到非对称加密,现在更多的采取了混合加密的方式,并且加密强度也越来越高。例如,2013年出现的Cryptolocker,2016年出现的Locky都采用了混合加密的方式,密钥长度达到了2048位。从加密原理来讲,除非拿到密钥,否则无法实现解密。

为了逃避追踪,攻击者从2008年开始采用数字货币的方式来索取赎金,比如比特币,这样做的目的,就是利用比特币难以追溯的特性,逃避执法部门的追踪,而且比特币方便支付,便于受害者快速支付赎金。

加密勒索软件的攻击对象也在发生变化,从原来的以个人为攻击目标,开始逐渐转向企业。攻击者这样做的目的是,由于企业的数据的重要性,一旦被加密成功,企业迫于自身业务运营的压力,通常会更快的支付勒索金钱,而且数额也更大。根据公开报道,在北美地区有学校、医院等机构感染了勒索软件后,迫于业务运营的压力,不得不支付了数万美元的勒索金。

根据思科Talos威胁情报中心的数据(数据和部分图片、内容来源“思科网络通信”),影响范围最大的勒索软件Locky的感染者每天高达90000个,平均有2.9%的受害者支付了赎金,金额在0.5到1比特币。根据某些权威机构的估算,2016年的勒索软件产业达到了10亿美元的规模。请搜索“ICT_Architect”加入微信公众号“架构师技术联盟”获取更多精彩内容。

  • 28
    点赞
  • 9
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 25
    评论

“相关推荐”对你有帮助么?

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 25
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

架构师技术联盟(Hardy)

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付:¥1
获取中
扫码支付

您的余额不足,请更换扫码支付或充值

打赏作者

实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值