搜索

[11349] 2017-05-15_全球安全厂商针对“Wannacry勒索蠕虫”响应与处置方案汇总

文档创建者：s7ckTeam
浏览次数：18
最后更新：2025-01-18
2017-05-15_全球安全厂商针对“Wannacry勒索蠕虫”响应与处置方案汇总 全 球 安 全 厂 商 针 对 “ W a n n a c r y 勒 索 蠕 虫 ” 响 应 与 处 置 方 案 汇 总 欧 阳 洋 葱   F r e e B u f   2 0 1 7 - 0 5 - 1 5 一 般 来 说 ， 影 响 力 最 大 的 事 物 并 不 是 最 牛 掰 的 事 物 — — 这 件 事 可 以 反 映 到 周 末 爆 发 的 W a n n a C r y 勒 索 软 件 身 上 。 W a n n a C r y 可 以 说 是 史 上 影 响 、 危 害 最 大 的 勒 索 程 序 没 有 之 一 了 ， 它 在 爆 发 后 的 几 个 小 时 内 攻 击 9 9 个 国 家 近 万 台 设 备 ， 在 大 量 企 业 组 织 和 个 人 间 蔓 延 ， 从 M a l w a r e T e c h 的 数 据 来 看 ， 仅 周 五 下 午 ， W a n n a C r y 受 害 人 就 超 过 2 2 . 3 万 ； 且 在 随 后 出 现 变 种 。 对 大 众 媒 体 来 说 ， 宣 导 个 勒 索 软 件 概 念 就 不 是 件 容 易 的 事 情 了 。 不 过 在 这 两 年 的 全 球 安 全 行 业 内 ， 勒 索 软 件 的 发 展 已 经 相 当 成 熟 ， 去 年 开 始 R a n s o m e - a s - a - S e r v i c e 在 黑 市 就 已 经 很 有 市 场 。 W a n n a C r y 就 勒 索 软 件 本 身 而 言 只 能 说 是 相 当 平 凡 的 。 在 这 篇 文 章 中 ， 我 们 将 总 结 包 括 微 软 、 思 科 、 C N V D 、 C N N V D 、 3 6 0 、 安 天 、 腾 讯 、 安 恒 、 瑞 星 、 斗 象 科 技 、 微 步 在 线 等 安 全 企 业 和 组 织 给 出 针 对 W a n n a C r y 的 分 析 和 处 置 方 案 。 如 果 你 正 在 担 忧 W a n n a C r y 可 能 波 及 自 己 其 所 在 企 业 组 织 ， 那 么 或 许 此 文 能 够 给 你 一 些 方 向 。 W a n n a C r y 并 没 有 多 么 “ s o p h i s t i c a t e d ” ！ 国 外 安 全 公 司 经 常 在 分 析 、 形 容 某 个 恶 意 程 序 的 时 候 说 它 相 当 “ s o p h i s t i c a t e d ” ， 一 般 我 们 倾 向 于 将 之 翻 译 成 复 杂 ， 不 过 它 不 光 是 表 达 复 杂 ， 还 可 以 表 达 “ 精 致 ” “ 老 道 ” “ 水 平 高 ” 。 F r e e B u f 先 前 分 析 过 不 少 隐 蔽 技 术 极 强 的 恶 意 程 序 ， 还 有 不 少 A P T 组 织 所 用 的 e x p l o i t 和 工 具 都 称 得 上 s o p h i s t i c a t e d 。 而 在 勒 索 软 件 中 可 以 称 得 上 s o p h i s t i c a t e d 的 ， 比 如 著 名 的 L o c k y 、 C e r b e r 等 。
W a n n a C r y 本 身 无 论 如 何 都 算 不 上 s o p h i s t i c a t e d ， 无 论 是 上 周 五 就 发 布 分 析 文 章 的 思 科 T a l o s 团 队 ， 还 是 腾 讯 、 安 天 的 分 析 ， 这 款 恶 意 程 序 无 非 两 个 组 成 部 分 ： 用 于 勒 索 （ 加 密 数 据 、 解 密 数 据 ） 的 部 分 ， 以 及 针 对 W i n d o w s   S M B 漏 洞 的 利 用 。 后 一 部 分 是 W a n n a C r y 的 精 髓 ， 也 是 W a n n a C r y 之 所 以 传 播 能 力 如 此 之 强 的 根 源 。 不 过 这 部 分 实 际 上 主 要 是 对 早 前 N S A 泄 露 的 E T E R N A L E B L U E （ 永 恒 之 蓝 ） e x p l o i t 的 改 写 版 本 — — S h a d o w   B r o k e r s 在 几 度 出 售 方 程 式 工 具 包 失 败 之 后 就 主 动 将 一 堆 0 d a y 放 出 了 ， 其 中 就 包 括 了 这 次 用 到 的 e x p l o i t （ 还 有 个 D O U B L E P U L S A R ） 。 换 句 话 说 ， W a n n a C r y 的 震 慑 力 主 要 是 来 自 N S A 方 程 式 组 织 。 一 般 勒 索 程 序 的 主 流 传 播 手 段 是 社 工 ， 无 论 是 邮 件 钓 鱼 还 是 恶 意 U R L 钓 鱼 ， 这 都 需 要 用 户 进 行 交 互 或 下 载 p a y l o a d 。 而 W a n n a C r y p t 却 是 借 助 W i n d o w s 系 统 本 身 的 漏 洞 ， 该 漏 洞 将 恶 意 构 建 的 包 发 往 S M B v 1 服 务 器 就 能 触 发 。 微 软 在 3 月 份 的 P a t c h   T u e s d a y 中 已 经 发 布 了 M S 1 7 - 0 1 0 安 全 公 告 中 修 复 了 该 问 题 ， 只 不 过 大 量 企 业 组 织 不 会 实 时 打 补 丁 ， 还 有 很 多 企 业 在 用 W i n d o w s   X P 这 样 陈 旧 的 系 统 ， 自 然 受 到 了 影 响 。 腾 讯 电 脑 管 家 实 际 上 在 分 析 中 已 经 写 得 相 当 清 楚 ： 从 木 马 自 身 读 取 M S 1 7 - 0 1 0 漏 洞 利 用 代 码 ， p a y l o a d 分 成 x 8 6 和 x 6 4 两 个 版 本 ； 创 建 两 个 线 程 ， 分 别 扫 描 内 网 和 外 网 I P ， 开 始 蠕 虫 传 播 感 染 。 也 就 是 说 ， 企 业 内 部 只 要 有 一 台 设 备 感 染 W a n n a C r y ， 则 整 个 内 网 未 采 用 最 新 系 统 的 W i n d o w s 设 备 都 可 能 被 很 快 感 染 — — 这 是 其 传 播 速 度 极 快 的 一 个 原 因 。 而 且 还 不 仅 于 此 ， 整 个 过 程 ， 会 对 公 网 随 机 I P 地 址 4 4 5 端 口 进 行 扫 描 ， 所 以 实 际 上 是 不 仅 限 于 局 域 网 内 部 的 。 瑞 星 的 分 析 文 章 中 也 给 出 了 随 机 生 成 I P 攻 击 全 球 主 机 I P 的 截 图 。
F r e e B u f 编 辑 部 内 部 在 讨 论 ， W a n n a C r y 的 最 初 感 染 到 底 是 怎 么 做 到 的 ？ 有 部 分 编 辑 （ 比 如 小 编 我 ） 认 为 肯 定 是 钓 鱼 — — 这 是 恶 意 程 序 的 常 规 手 段 ， 但 S p h i n x 同 学 则 坚 持 认 为 ， 既 然 都 利 用 了 漏 洞 ， 还 要 钓 鱼 干 嘛 。 这 话 也 有 道 理 。 思 科 T a l o s 在 自 家 的 安 全 博 客 中 说 ： “ 它 并 不 只 是 简 单 在 内 部 范 围 进 行 扫 描 识 别 扩 散 对 象 ， 它 也 能 针 对 暴 露 在 互 联 网 上 、 存 在 漏 洞 的 外 部 主 机 进 行 扩 散 。 ” 不 过 微 软 官 方 则 认 为 其 传 播 的 两 个 主 要 途 径 ， 既 有 社 工 邮 件 ， 也 有 通 过 其 它 感 染 设 备 利 用 S M B 漏 洞 对 其 它 可 以 通 讯 的 设 备 （ 所 谓 的 a d d r e s s a b l e ） 进 行 感 染 。 但 “ 我 们 没 有 证 据 ， 明 确 该 勒 索 程 序 最 初 是 怎 么 感 染 的 ” ， 这 是 微 软 的 原 话 。 无 论 如 何 ， 永 恒 之 蓝 都 是 W a n n a C r y 的 核 心 所 在 。 至 于 其 勒 索 组 成 部 分 ， 腾 讯 的 分 析 比 较 详 细 ， 也 很 好 懂 ， 感 兴 趣 的 同 学 可 以 参 见 。 这 里 有 个 有 趣 的 细 节 值 得 一 提 ， 勒 索 程 序 作 者 给 出 了 缴 纳 赎 金 的 3 个 比 特 币 地 址 。 B l e e p i n g   C o m p u t e r 在 周 五 的 文 章 中 提 到 ， 这 就 让 事 情 变 得 比 较 麻 烦 ， 因 为 W a n n a C r y 幕 后 真 凶 很 难 辨 别 ， 究 竟 谁 支 付 了 赎 金 — — 毕 竟 受 害 人 也 是 会 骗 人 的 。 这 表 明 “ 开 发 人 员 在 这 个 领 域 的 经 验 不 够 ” 。 而 且 至 少 到 昨 天 为 止 ， 虽 然 这 款 勒 索 软 件 影 响 力 如 此 之 广 ， 这 三 个 比 特 币 钱 包 也 只 收 到 了 1 7 . 3 0 9 比 特 币 ， 也 就 是 大 约 3 . 1 6 万 美 元 ， 这 收 益 和 其 影 响 力 比 起 来 ， 的 确 还 算 不 上 很 理 想 。
避 免 感 染 ， 具 体 怎 么 做 ？ W a n n a C r y 出 现 之 后 ， 最 为 人 津 津 乐 道 的 地 方 在 于 它 有 个 “ K i l l   S w i t c h ” 。 安 天 针 对 W a n n a C r y 的 运 行 流 程 图 中 很 明 确 （ 绿 盟 的 分 析 也 很 清 晰 ） 地 能 够 看 到 K i l l         S w i t c h 所 处 的 位 置 ， 即 在 m s s e c s v c . e x e 进 程 之 后 的 “ 连 接 网 址 ” ， 这 个 网 址 也 就 是 这 两 天 相 当 火 的 ： i u q e r f s o d p 9 i f j a p o s d f j h g o s u r i j f a e w r w e r g w e a . c o m 在 连 接 该 网 址 不 成 功 以 后 才 进 行 接 下 来 的 勒 索 和 蠕 虫 步 骤 ， 如 果 连 接 成 功 则 会 停 止 恶 意 行 为 。 安 全 专 家 立 刻 注 册 了 这 一 域 名 （ M a l w a r e T e c h ） ， 所 以 W a n n a C r y 的 扩 散 势 头 被 临 时 制 止 。 而 且 实 际 上 ， 微 步 在 线 在 周 六 的 时 候 已 经 发 布 文 章 ， 在 安 全 建 议 中 告 诉 企 业 ， 如 果 发 现 设 备 感 染 ， 对 于 如 何 断 网 的 问 题 应 该 谨 慎 。 悲 剧 的 是 ， 很 多 企 业 的 I T 管 理 员 并 不 了 解 其 中 原 委 ， 看 到 这 么 个 U R L ， 以 为 是 恶 意 网 址 ， 就 阻 止 了 其 访 问 ， 反 倒 助 长 了 勒 索 程 序 的 扩 散 。 这 种 事 情 都 表 征 大 量 企 业 安 全 在 执 行 上 的 荒 谬 。 斗 象 科 技 旗 下 漏 洞 盒 子 今 天 也 已 经 发 布 了 W a n n a C r y 蠕 虫 勒 索 软 件 处 置 手 册 ， 我 们 综 合 其 它 安 全 企 业 如 3 6 0 安 全 监 测 与 响 应 中 心 给
出 的 建 议 做 个 简 单 的 总 结 。 针 对 已 经 感 染 W a n n a C r y 和 未 感 染 W a n n a C r y 的 设 备 有 两 套 方 案 ： 针 对 尚 未 感 染 或 未 知 是 否 感 染 针 对 尚 未 感 染 或 未 知 是 否 感 染 W a n n a C r y 的 设 备 和 企 业 网 络 的 设 备 和 企 业 网 络 1 . W i n d o w s 设 备 需 要 ： W i n d o w s   1 0 / V i s t a / 7 / S e r v e r   2 0 0 8   R 2 / 8 . 1 / S e r v e r   2 0 1 2 / S e r v e r   2 0 1 2   R 2 / S e r v e r   2 0 1 6 系 统 用 户 请 通 过 系 统 升 级 通 道 升 级 微 软 发 布 的 3 月 安 全 更 新 即 可 对 其 传 播 过 程 免 疫 ； 微 软 相 当 罕 见 地 针 对 已 经 不 受 支 持 的 W i n d o w s 系 统 发 布 了 安 全 更 新 ， 包 括 W i n d o w s   X P 、 W i n d o w s   8 、 W i n d o w s   S e r v e r   2 0 0 3 ， 这 大 概 也 能 表 现 其 严 重 性 。 按 照 系 统 选 择 下 载 ： W i n d o w s   S e r v e r   2 0 0 3   S P 2   x 6 4 ,   W i n d o w s   S e r v e r   2 0 0 3   S P 2   x 8 6 ,   W i n d o w s   X P   S P 2   x 6 4 ,   W i n d o w s   X P   S P 3   x 8 6 ,   W i n d o w s X P   E m b e d d e d   S P 3   x 8 6 ,   W i n d o w s   8   x 8 6 ,   W i n d o w s   8   x 6 4 W i n d o w s   D e f e n d e r 最 新 版 本 （ 1 . 2 4 3 . 2 9 7 . 0 ） 已 经 能 够 检 测 R a m s o n : W i n 3 2 / W a n n a C r y p t ； 绝 大 部 分 主 流 反 病 毒 软 件 也 都 已 经 支 持 W a n n a C r y 的 检 测 。 微 软 另 外 还 建 议 用 户 禁 用 S M B v 1 ， 毕 竟 这 也 是 个 相 对 较 老 的 协 议 了 ， 漏 洞 盒 子 的 处 置 流 程 也 提 到 了 以 这 一 点 ；
包 括 思 科 T a l o s 在 内 的 绝 大 部 分 安 全 厂 商 都 在 防 御 建 议 中 提 到 ， 面 向 互 联 网 （ 1 3 9 与 4 4 5 端 口 ） 可 公 开 访 问 S M B 的 企 业 组 织 应 阻 止 其 入 站 流 量 ： 思 科 特 别 建 议 企 业 组 织 禁 止 T O R 节 点 连 接 以 及 T O R 流 量 ； 微 步 在 线 在 给 出 的 建 议 中 提 到 ： 如 果 内 网 机 器 没 有 外 网 访 问 权 限 ， 则 建 议 客 户 在 内 网 修 改 此 开 关 域 名 （ 即 上 述 K i l l   S w i t c h ） 的 内 网 解 析 ， 并 且 将 解 析 I P 指 向 在 线 的 内 部 w e b 服 务 器 ； 如 果 内 网 机 器 具 有 外 网 访 问 权 限 ， 则 无 须 采 取 额 外 措 施 ； 部 分 针 对 W a n n a C r y 的 免 疫 和 检 测 工 具 下 载 ：   -   漏 洞 盒 子 的 W a n n a c r y 蠕 虫 勒 索 软 件 处 置 流 程 及 工 具 包 （ 含 离 线 补 丁 ） ： h t t p s : / / p a n . b a i d u . c o m / s / 1 o 8 l u d f k   -   西 班 牙 C E R T 最 早 给 出 临 时 避 免 W a n n a C r y 感 染 的 脚 本 ： h t t p s : / / l o r e t o . c c n - c e r t . c n i . e s / i n d e x . p h p / s / t Y x M a h 1 T 7 x 7 F h N D   -   瑞 星 “ 永 恒 之 蓝 ” 免 疫 工 具 ： h t t p : / / d o w n l o a d . r i s i n g . n e t . c n / z s g j / E t e r n a l B l u e m i a n y i . e x e   -   3 6 0 的 N S A 武 器 库 免 疫 工 具 ： h t t p : / / d l . 3 6 0 s a f e . c o m / n s a / n s a t o o l . e x e   -   多 提 一 句 ： W i n d o w s   D e f e n d e r 最 新 版 也 已 经 支 持 检 测 ； 另 外 针 对 相 对 大 型 的 企 业 组 织 ， 这 些 机 构 需 要 设 定 有 效 的 补 丁 管 理 ， 向 端 点 和 其 它 基 建 及 时 部 署 安 全 更 新 ； 2 . 企 业 网 络 需 要 ： 3 6 0 安 全 监 测 与 响 应 团 队 给 出 了 相 对 详 尽 的 方 案 。 由 于 许 多 大 型 机 构 设 备 众 多 ， 所 以 可 从 网 络 设 备 A C L 策 略 配 置 着 手 ， 实 现 临 时 封 堵 — — 即 配 置 A C L 规 则 从 网 络 层 面 阻 断 T C P   4 4 5 端 口 通 讯 。 不 过 各 类 设 备 的 配 置 方 法 有 差 异 ， 可 参 见 各 安 全 设 备 提 供 商 给 出 的 方 案 。 针 对 已 经 感 染 针 对 已 经 感 染 W a n n a C r y 的 设 备 和 企 业 网 络 的 设 备 和 企 业 网 络 就 此 问 题 ， 漏 洞 盒 子 和 C N N V D 都 给 出 了 一 些 建 议 ， 内 容 如 下 ： 在 企 业 组 织 内 部 发 现 某 台 设 备 已 经 被 W a n n a C r y 感 染 且 数 据 加 密 的 情 况 下 ， 应 当 立 即 将 这 台 设 备 与 网 络 断 开 ；
查 找 内 部 所 有 开 放 4 4 5   S M B 服 务 端 口 的 终 端 与 服 务 器 ； 不 要 在 已 经 中 毒 的 设 备 之 上 连 接 移 动 设 备 和 驱 动 器 ； 文 件 数 据 遭 遇 加 密 后 或 可 提 供 部 分 恢 复 的 工 具 ：   -   易 我 数 据 恢 复 ： h t t p : / / p c . q q . c o m / d e t a i l / 7 / d e t a i l _ 1 6 1 1 8 7 . h t m l   -   3 6 0 “ 勒 索 蠕 虫 病 毒 文 件 恢 复 工 具 ” ： h t t p s : / / d l . 3 6 0 s a f e . c o m / r e c o v e r y / R a n s o m R e c o v e r y . e x e   -   其 它 工 具 ：     N o   M o r e   R a n s o m ： h t t p s : / / w w w . n o m o r e r a n s o m . o r g /     a n t i B T C H a c k ： h t t p s : / / g i t h u b . c o m / Q u a n t u m L i u / a n t i B T C H a c k 或 者 还 可 以 将 加 密 数 据 转 移 ， 等 待 安 全 厂 商 推 专 门 的 数 据 解 密 工 具 更 多 建 议 实 际 上 从 昨 天 开 始 ， 网 上 就 在 传 W a n n a C r y   2 . 0 ， 提 到 变 种 版 本 已 经 去 掉 了 K i l l   S w i t c h ， 可 进 行 更 大 规 模 的 杀 戮 。 不 过 卡 巴 斯 基 的 C o s t i n   R a i u 已 经 在 T w i t t e r 表 示 ： 是 我 不 好 ， 针 对 所 有 已 知 的 W a n n a c r y 蠕 虫 m o d s 进 行 分 析 后 ， 我 们 在 其 中 都 发 现 了 K i l l   S w i t c h ， 并 无 版 本 不 包 含 K i l l   S w i t c h 。 最 先 进 行 2 . 0 报 道 的 M O T H E R B O A R D 也 已 经 就 此 错 误 进 行 了 道 歉 。
不 过 M a t t   S u i c h e 在 昨 天 的 博 客 文 章 中 谈 到 的 确 有 了 新 的 “ n o   k i l l   s w i t c h ” 的 变 种 ， 但 其 危 害 相 对 有 限 无 法 达 到 W a n n a C r y 的 高 度 。 最 后 值 得 一 提 的 是 ， 微 软 在 安 全 公 告 中 提 到 并 不 清 楚 W a n n a C r y 最 初 是 如 何 感 染 的 ， 所 以 不 排 除 钓 鱼 邮 件 和 链 接 的 可 能 性 。 所 以 除 了 平 常 需 要 科 学 的 系 统 更 新 部 署 方 式 ， 不 要 点 击 不 受 信 任 的 链 接 或 打 开 不 受 信 任 的 邮 件 附 件 也 是 相 当 初 级 和 有 效 的 建 议 了 。 针 对 勒 索 软 件 本 性 ， C N N V D 的 处 置 建 议 最 后 一 条 提 到 ： 在 日 常 计 算 机 使 用 过 程 中 ， 对 重 要 信 息 数 据 定 期 及 时 进 行 备 份 ， 这 本 身 也 是 杜 绝 勒 索 软 件 成 功 勒 索 的 最 重 要 步 骤 。 *   F r e e B u f 官 方 报 道 ， 本 文 作 者 ： 欧 阳 洋 葱 ， 未 经 许 可 禁 止 转 载
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理