当前位置：系统粉 > IT资讯 > 业界资讯 > “永恒之蓝”来龙去脉

“永恒之蓝”来龙去脉

时间：2017-05-14 来源：互联网浏览量：

最新统计数据显示，勒索病毒自5月12日首次爆发至今，全球已经有超过20万PC收到感染，而如今事情正在变得更糟。

稍早，英国安全人员研究发现黑客在勒索病毒当中注入了一个“自毁开关”，当病毒ping到一个特殊域名时便会自动停置攻击，进入蛰伏状态。

当时分析人员认为，这是黑客担心事态完全失去控制而为自己留的一条后路。

但同时也有预测观点称，当黑客发现自己的后路被安全人员用掉了之后，可能会修改病毒代码，从而发起新一轮攻击。

不幸的是，这种预测应验了。

研究人员在刚刚过去的这个周末已经发现，黑客偷偷对勒索病毒的代码进行了修改，许多病毒样本的“自毁开关”被设计ping到与已知域名不同的新域名，或者干脆取消了“自毁开关”设置。

安全人员表示，黑客的这种做法非常危险，恐怕很多人在周一上班打开电脑时就会发现自己也中招了。

我们先来回顾下本次事件的相关背景：

2007年，美国国家安全局NSA开始实施棱镜计划，全面监视互联网。

2013年6月，前中情局雇员爱德华斯诺登对媒体披露棱镜计划，并指出美国政府支持的黑客对全球多个国家进行了黑客攻击。

2016年一个叫做“影子破坏者”的黑客组织公开拍卖美国国家安全局使用的部分攻击工具，其中包含了微软操作系统的一个漏洞（代号是永恒之蓝），虽然微软公司在今年三月份的时候发布补丁修复了这个漏洞，但因为大量低版本的Windows操作系统并不在微软的服务范围之内，所以仍然有数量巨大的用户处于未受保护的状态。随着时间的推移，原本的准军方武器，落入了黑色产业链的手上，并把它制作成为勒索病毒，这就是本次事件的前因后果。

下面我们来初步分析下本次事件的影响：

本次勒索病毒的覆盖范围非常广，从医院到学校到企业，甚至包括了部分政府敏感部门，遍布世界各地，可以说是近十年来影响最大的一次信息安全事件。本次勒索病毒的性质也很恶劣，并不像过去以传递制作者理念和思想为核心的传播型病毒，或者以炫耀技术为目的的破坏型病毒，而是采用加密技术将用户的重要资料加密劫持，从而讹诈用户赎金的商业病毒。

本次事件尚未完全结束，因为事件爆发的时间是周末，有很多办公电脑处于关机状态，明天周一上班后如果相应的管理人员不能及时采取安全防护措施，还会有一次延迟的爆发。

被“影子破坏者”曝光的NSA漏洞并不只有“永恒之蓝”一个，甚至可以预想到还有更多的军用级网络武器尚未被曝光，而这种准军事攻击工具民用化黑产化的模式一旦传播开来，未来很可能会出现更多的大规模信息安全事件。

“永恒之蓝”分析及应对方案

经过分析，这是一起勒索软件与高危漏洞相结合的恶性蠕虫传播事件，其严重性不亚于当年的“冲击波”病毒。勒索软件为最新的“wannacry”的家族，目前尚无法对加密后的文件进行解密，中招后只能重装系统或向黑客支付赎金解决。此次“wannacry”勒索蠕虫疯狂传播的原因是借助了前不久泄露的Equation Group（方程式组织）的“EternalBlue（永恒之蓝）”漏洞利用工具的代码。该工具利用了微软今年3月份修补的MS17-010 SMB协议远程代码执行漏洞，该漏洞可影响主流的绝大部分Windows操作系统版本。

漏洞影响范围：

MS17-010漏洞主要影响以下操作系统：Windows 2000，Windows 2003，Windows XP，Windows Vista，Windows7，Windows8，Windows10，Windows2008，Windows2012。

由于EternalBlue的利用代码主要针对WindowsXP以及Windows7，2008，因此此次事件对于Windows XP、Windows 7，Windows2008的影响更为严重。上述Win7及以上操作系统只要打开了445端口且没有安装MS17-010的机器则确认会受到影响。

WindowsXP/2003操作系统没有补丁，只要开启了445端口则确认受到影响。

该勒索软件采用包括英语、简体中文、繁体中文等28种语言进行“本地化”。会将自身复制到每个文件夹下，[email protected]@.exe”。同时衍生大量语言配置等文件，该勒索软件AES和RSA加密算法，加密的文件以“WANACRY!”开头。

解决方案

◆ 做好重要文件的备份工作（非本地备份）。

◆ 开启系统防火墙。

◆ 利用系统防火墙高级设置阻止向445端口进行连接（该操作会影响使用445端口的服务）。

◆ 打开系统自动更新，并检测更新进行安装。

◆ 停止使用Windows XP、Windows 2003等微软已不再提供安全更新的操作系统。

◆ 如无需使用共享服务建议关闭该服务。