搜索

[1195] 2017-05-14_CNNVD关于WannaCry勒索软件攻击事件的分析报告

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-16
2017-05-14_CNNVD关于WannaCry勒索软件攻击事件的分析报告 C N N V D 关 于 W a n n a C r y 勒 索 软 件 攻 击 事 件 的 分 析 报 告 原 创   C N N V D   C N N V D 安 全 动 态   2 0 1 7 - 0 5 - 1 4 北 京 时 间 2 0 1 7 年 5 月 1 2 日 ， 一 款 名 为 “ W a n n a C r y ” （ 也 称 W a n n a C r p t 、 W a n n a C r p t 0 r 、 W c r y p t 、 W C R Y ） 的 勒 索 软 件 在 全 球 范 围 内 爆 发 ， 造 成 极 大 影 响 。 针 对 本 次 攻 击 事 件 ， 国 家 信 息 安 全 漏 洞 库 （ C N N V D ） 进 行 了 分 析 研 究 ， 情 况 如 下 ： 一 、 网 络 攻 击 事 件 背 景 一 、 网 络 攻 击 事 件 背 景 此 次 爆 发 的 “ W a n n a C r y ” 勒 索 软 件 来 自 “ 永 恒 之 蓝 ” （ E t e r n a l B l u e ） ， 主 要 利 用 微 软 W i n d o w s 操 作 系 统 的 M S 1 7 - 0 1 0 漏 洞 进 行 自 动 传 播 。 相 关 数 据 显 示 ， 每 小 时 攻 击 次 数 高 达 4 0 0 0 余 次 。 “ 永 恒 之 蓝 ” 是 一 种 特 洛 伊 加 密 软 件 （ O n i o n   R a n s o m w a r e ） ， 利 用 W i n d o w s 操 作 系 统 在 4 4 5 端 口 的 安 全 漏 洞 （ C N N V D - 2 0 1 7 0 3 - 7 2 1   ~   C N N V D - 2 0 1 7 0 3 - 7 2 6 ） 潜 入 电 脑 对 多 种 文 件 类 型 加 密 并 添 加 . o n i o n 后 缀 ， 使 用 户 无 法 打 开 。 二 、 二 、 “ W a n n a C r y ” 勒 索 软 件 技 术 特 点 及 危 害 勒 索 软 件 技 术 特 点 及 危 害 （ 一 ） 攻 击 特 性 （ 一 ） 攻 击 特 性 爆 发 突 然 。 爆 发 突 然 。 短 短 一 天 内 ， 在 几 乎 毫 无 任 何 预 兆 的 情 况 下 ， 百 余 个 国 家 和 地 区 遭 受 攻 击 并 呈 现 蔓 延 态 势 。 行 为 恶 劣 。 行 为 恶 劣 。 勒 索 蠕 虫 一 旦 成 功 入 侵 ， 将 加 密 系 统 内 全 部 文 档 ， 并 通 过 破 坏 硬 盘 快 照 的 方 式 增 加 系 统 恢 复 难 度 ， 不 交 付 赎 金 （ 单 机 解 密 赎 金 3 0 0 美 元 至 6 0 0 美 元 ， 一 般 通 过 比 特 币 支 付 ） 无 法 解 密 。 自 动 传 播 。 自 动 传 播 。 可 利 用 W i n d o w s 平 台 所 有 版 本 （ w i n X P 、 V i s t a 、 W i n 7 、 W i n 8 、 W i n 2 0 0 3 、 W i n 2 0 0 8 、 W i n 1 0 等 ） 的 漏 洞 进 行 自 动 传 播 ， 未 打 补 丁 的 机 器 极 易 感 染 并 在 内 外 网 快 速 传 播 。 无 法 解 密 。 无 法 解 密 。 勒 索 软 件 使 用 A E S 1 2 8 加 密 文 件 ， 使 用 R S A 2 0 4 8 公 钥 加 密 A E S 密 钥 。 据 目 前 情 况 看 ， 除 美 国 外 其 他 国 家 基 本 无 法 通 过 计 算 或 碰 撞 的 方 式 进 行 解 密 。 通 信 匿 通 信 匿 名 。 名 。 勒 索 软 件 进 行 攻 击 后 ， 会 自 动 释 放 T o r 网 络 组 件 ， 用 于 解 密 程 序 的 网 络 通 信 ， 赎 金 使 用 比 特 币 支 付 ， 使 勒 索 过 程 难 以 追 踪 溯 源 。 时 间 掐 准 。 时 间 掐 准 。 此 次 攻 击 发 生 正 值 周 末 ， 据 分 析 在 我 国 爆 发 时 间 应 为 周 五 下 午 3 点 左 右 ， 恰 逢 国 内 各 单 位 网 络 安 全 防 范 最 松 懈 之 时 。 攻 击 意 外 中 断 。 攻 击 意 外 中 断 。 勒 索 软 件 中 预 留 了 终 止 机 制 ， 即 访 问 一 个 超 长 域 名 成 功 攻 击 传 播 就 会 停 止 。 美 国 洛 杉 矶 威 胁 情 报 公 司 一 名 员 工 注 册 了 该 域 名 开 启 了 停 止 机 制 ， 域 名 启 用 后 每 秒 访 问 I P 过 千 。 （ 二 ） 现 实 危 害 （ 二 ） 现 实 危 害 文 档 损 失 。 文 档 损 失 。 遭 受 攻 击 的 各 类 文 档 均 被 加 密 ， 无 法 访 问 使 用 。 系 统 停 服 。 系 统 停 服 。 系 统 会 不 断 弹 出 交 付 赎 金 的 窗 口 ， 无 法 正 常 使 用 。 解 解 密 存 疑 。 密 存 疑 。 目 前 尚 无 对 交 付 赎 金 进 行 解 密 操 作 的 分 析 ， 不 确 定 是 否 能 够 正 常 解 密 。 （ 三 ） 潜 在 风 险 （ 三 ） 潜 在 风 险 内 网 蔓 延 。 内 网 蔓 延 。 尚 未 出 现 爆 发 大 规 模 感 染 的 情 况 ， 但 分 析 其 代 码 可 知 ， 内 网 蔓 延 的 隐 患 仍 然 存 在 。 变 种 变 异 。 变 种 变 异 。 随 着 杀 毒 软 件 和 安 全 防 护 措 施 的 升 级 ， “ W a n n a C r y ” 勒 索 软 件 若 想 避 免 查 杀 继 续 存 活 ， 或 会 改 变 特 征 值 ， 而 为 继 续 感 染 更 多 计 算 机 ， 也 可 能 利 用 新 的 漏 洞 进 行 换 代 升 级 。
三 、 全 球 遭 受 网 络 攻 击 总 体 情 况 三 、 全 球 遭 受 网 络 攻 击 总 体 情 况 （ 一 ） 网 络 攻 击 涉 及 的 范 围 广 。 （ 一 ） 网 络 攻 击 涉 及 的 范 围 广 。 此 次 网 络 攻 击 涉 及 百 余 个 国 家 和 地 区 的 政 府 、 电 力 、 电 信 、 医 疗 机 构 等 重 要 信 息 系 统 及 个 人 电 脑 遭 受 严 重 网 络 攻 击 ， 最 严 重 区 域 集 中 在 美 国 、 欧 洲 、 澳 洲 等 。 截 至 目 前 ， 全 球 攻 击 案 例 超 过 7 5 0 0 0 个 。 （ 二 ） 网 络 攻 击 无 明 显 地 域 、 行 业 分 布 特 点 （ 二 ） 网 络 攻 击 无 明 显 地 域 、 行 业 分 布 特 点 从 受 攻 击 目 标 类 型 与 地 域 分 布 来 看 ， 此 次 攻 击 未 表 现 出 显 著 的 地 域 与 行 业 分 布 特 点 ， 与 “ W a n n a C r y ” 随 机 扫 描 传 播 机 制 一 致 ， 攻 击 无 明 显 指 向 性 和 目 标 性 。 （ 三 ） 各 方 积 极 应 对 与 防 范 （ 三 ） 各 方 积 极 应 对 与 防 范 各 国 政 府 谨 慎 应 对 。 各 国 政 府 谨 慎 应 对 。 尚 无 国 家 政 府 宣 称 已 经 调 查 掌 握 事 件 幕 后 详 细 情 况 。 英 、 德 、 俄 、 美 等 多 个 国 家 向 本 国 公 民 及 机 构 发 出 警 告 ， 要 求 尽 快 更 新 补 丁 ， 做 好 计 算 机 数 据 备 份 等 防 护 工 作 。 对 于 已 感 染 设 备 中 被 加 密 的 文 件 ， 目 前 各 国 政 府 及 信 息 安 全 企 业 均 无 法 提 供 有 效 的 数 据 破 解 恢 复 手 段 。 英 国 政 府 国 家 网 络 安 全 中 心 （ N C S C ） 称 其 第 一 时 间 启 动 了 针 对 事 件 及 攻 击 者 的 调 查 ； 德 国 、 俄 罗 斯 政 府 网 络 安 全 机 构 也 作 出 了 类 似 表 态 。 相 关 安 全 企 业 开 展 技 术 分 析 。 相 关 安 全 企 业 开 展 技 术 分 析 。 研 判 分 析 认 为 ， 目 前 较 为 明 确 的 攻 击 幕 后 背 景 线 索 主 要 是 从 代 码 中 逆 向 分 析 发 现 的 三 个 比 特 币 钱 包 地 址 以 及 五 个 暗 网 命 令 控 制 服 务 器 ， 各 国 网 络 安 全 与 司 法 调 查 机 构 均 已 锁 定 了 这 些 目 标 ， 通 过 各 方 合 作 ， 将 有 望 从 这 些 线 索 中 尽 快 发 现 攻 击 者 的 实 际 背 景 情 况 。 四 、 处 置 建 议 四 、 处 置 建 议 “ W a n n a C r y ” 勒 索 蠕 虫 是 勒 索 软 件 类 病 毒 中 全 球 首 例 使 用 远 程 高 危 漏 洞 进 行 自 我 传 播 的 蠕 虫 ， 加 密 编 程 规 范 ， 如 不 公 开 私 钥 ， 很 难 通 过 其 他 手 段 对 被 加 密 勒 索 的 文 件 进 行 解 密 ， 为 此 建 议 ： （ 一 ） 应 急 措 施 （ 一 ） 应 急 措 施 1 、 立 即 断 网 ， 防 止 扩 散 和 蔓 延 、 立 即 断 网 ， 防 止 扩 散 和 蔓 延 。 对 于 已 经 感 染 “ W a n n a C r y ” 勒 索 蠕 虫 的 计 算 机 ， 尽 快 关 机 ， 取 出 硬 盘 ， 通 过 专 业 数 据 恢 复 软 件 进 行 恢 复 。 立 即 切 断 内 外 网 连 接 ， 避 免 感 染 网 络 中 的 其 他 计 算 机 。 2 、 启 动 恢 复 程 序 ， 及 时 修 复 补 丁 。 、 启 动 恢 复 程 序 ， 及 时 修 复 补 丁 。 若 计 算 机 存 在 备 份 ， 应 启 动 备 份 恢 复 程 序 ， 及 时 安 装 修 复 补 丁 。 （ 二 ） 防 范 方 案 （ 二 ） 防 范 方 案 1 、 个 人 用 户 采 取 应 急 措 施 ， 安 装 漏 洞 修 复 补 丁 。 、 个 人 用 户 采 取 应 急 措 施 ， 安 装 漏 洞 修 复 补 丁 。 “ W a n n a C r y ” 勒 索 蠕 虫 利 用 的 是 微 软 官 方 的 S M B 漏 洞 ， 请 个 人 用 户 及 时 检 查 安 装 M S 1 7 - 0 1 0 修 复 补 丁 。 与 此 同 时 ， 及 时 采 取 临 时 解 决 方 案 ， 一 是 关 闭 计 算 机 的 4 4 5 端 口 ， 二 是 配 置 主 机 级 A C L   策 略 封 堵 4 4 5   端 口 ， 三 是 打 开 “ W i n d o w s 防 火 墙 ” ， 进 入 “ 高 级 设 置 ” ， 在 入 站 规 则 中 禁 用 “ 文 件 和 打 印 机 共 享 ” 相 关 规 则 。 2 、 网 络 管 理 员 修 改 网 络 配 置 ， 监 控 网 络 接 口 。 、 网 络 管 理 员 修 改 网 络 配 置 ， 监 控 网 络 接 口 。 建 议 各 网 络 管 理 员 在 网 络 防 火 墙 上 配 置 相 关 策 略 ， 限 制 外 部 对 4 4 5 端 口 的 访 问 ， 加 强 内 网 审 计 。 同 时 在 接 入 交 换 机 或 核 心 交 换 机 抓 包 ， 查 看 是 否 存 在 大 量 扫 描 内 网 1 3 9 、 1 3 5 、 4 4 5 端 口 的 网 络 行 为 ， 及 时 定 位 扫 描 发 起 点 ， 对 扫 描 设 备 进 行 病 毒 查 杀 ， 一 旦 发 现 被 感 染 主 机 ， 立 即 断 网 防 止 进 一 步 扩 散 。 （ 三 ） 日 常 使 用 规 范 （ 三 ） 日 常 使 用 规 范 在 日 常 计 算 机 使 用 过 程 中 ， 对 重 要 信 息 数 据 定 期 及 时 进 行 备 份 ； 浏 览 网 页 和 使 用 电 子 邮 件 的 过 程 中 ， 切 勿 随 意 点 击 可 以 链 接 地 址 ； 及 时 更 新 操 作 系 统 及 相 关 软 件 版 本 ， 实 时 安 装 公 开 发 布 的 漏 洞 修 复 补 丁 。

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理