搜索

[11816] 2017-09-23_微软安全发布2017上半年勒索软件事件分析与统计图

文档创建者：s7ckTeam
浏览次数：42
最后更新：2025-01-18
2017-09-23_微软安全发布2017上半年勒索软件事件分析与统计图 微 软 安 全 发 布 2 0 1 7 上 半 年 勒 索 软 件 事 件 分 析 与 统 计 图 C a r r i e _ s p i n f o   F r e e B u f   2 0 1 7 - 0 9 - 2 3 前 言 前 言 2 0 1 7 年 上 半 年 ， 勒 索 软 件 攻 击 的 复 杂 程 度 达 到 了 新 的 高 度 。 不 仅 复 杂 性 增 加 ， 新 的 勒 索 软 件 代 码 发 布 与 传 播 速 年 上 半 年 ， 勒 索 软 件 攻 击 的 复 杂 程 度 达 到 了 新 的 高 度 。 不 仅 复 杂 性 增 加 ， 新 的 勒 索 软 件 代 码 发 布 与 传 播 速 度 也 是 惊 人 。 今 年 两 大 主 要 的 勒 索 软 件 安 全 事 件 将 网 络 安 全 彻 底 暴 露 在 全 球 网 民 的 视 野 下 ， 成 了 人 们 茶 余 饭 后 度 也 是 惊 人 。 今 年 两 大 主 要 的 勒 索 软 件 安 全 事 件 将 网 络 安 全 彻 底 暴 露 在 全 球 网 民 的 视 野 下 ， 成 了 人 们 茶 余 饭 后 的 谈 资 之 一 。 无 论 是 企 业 机 构 还 是 普 通 网 民 ， 都 开 始 意 识 到 了 网 络 攻 击 的 巨 大 杀 伤 力 。 的 谈 资 之 一 。 无 论 是 企 业 机 构 还 是 普 通 网 民 ， 都 开 始 意 识 到 了 网 络 攻 击 的 巨 大 杀 伤 力 。 微 软 于 今 年 3 月 发 布 一 份 安 全 情 报 报 告 ， 总 结 了 2 0 1 7 年 第 一 季 度 不 同 领 域 的 威 胁 动 向 ， 报 告 中 阐 述 了 勒 索 软 件 猖 獗 肆 虐 的 现 状 。 2 0 1 7 年 1 月 至 3 月 ， 微 软 的 安 全 产 品 所 检 测 到 的 勒 索 软 件 受 害 者 比 例 最 高 的 国 家 有 捷 克 共 和 国 、 韩 国 及 意 大 利 。 本 文 我 们 重 点 介 绍 已 经 发 生 的 安 全 事 件 带 给 我 们 关 于 未 来 趋 势 、 发 展 的 启 发 。 2 0 1 7 年 年 1 月 月 - 6 月 勒 索 软 件 全 球 影 响 分 布 图 月 勒 索 软 件 全 球 影 响 分 布 图 勒 索 软 件 增 长 规 律 勒 索 软 件 增 长 规 律 2 0 1 7 年 3 月 ， 勒 索 软 件 受 害 者 数 量 在 历 经 几 个 月 的 跌 幅 后 开 始 逐 渐 回 升 。 这 种 上 升 趋 势 主 要 来 自 于 像 C e r b e r 这 样 已 经 具 有 一 定 规 模 的 勒 索 软 件 活 动 组 织 ， 以 勒 索 软 件 即 服 务 的 形 式 展 开 全 球 范 围 内 的 强 势 。
2 0 1 6 年 7 月 至 2 0 1 7 年 6 月 每 月 勒 索 软 件 数 量 （ 蓝 柱 ） 与 中 招 用 户 数 量 （ 黄 线 ） 这 种 上 升 趋 势 的 另 一 个 原 因 是 因 为 勒 索 软 件 家 族 的 不 断 庞 大 ， 数 量 增 长 与 传 播 速 度 之 快 也 令 人 咋 舌 。 2 0 1 7 年 上 半 年 ， 我 们 发 现 了 7 1 个 新 的 勒 索 软 件 成 员 。 其 中 一 些 勒 索 软 件 成 员 尤 为 “ 出 类 拔 萃 ” ， 它 们 的 攻 击 活 动 形 式 更 为 新 型 复 杂 。 例 如 ， 今 年 第 一 季 度 出 现 的 S p o r a 完 全 抢 占 了 去 年 C e r b e r 的 风 头 ， 成 为 当 时 传 播 最 为 广 泛 的 勒 索 软 件 。 2 0 1 7 年 第 一 季 度 最 流 行 的 几 类 勒 索 软 件 成 功 率 对 比 图 S p o r a 庞 大 的 危 害 辐 射 面 产 生 原 因 可 能 有 两 个 ： 第 一 ， 它 能 够 同 时 通 过 网 络 驱 动 和 U S B 等 移 动 驱 动 进 行 传 播 ； 第 二 ， 其 初 始 版 本 主 要 针 对 的 是 俄 罗 斯 网 民 ， 因 此 用 户 界 面 的 语 言 采 用 的 也 是 当 地 语 言 ， 但 后 期 攻 击 目 标 扩 大 到 全 球 范 围 后 ， 它 又 将 系 统 语 言 更 改 为 英 文 。 其 它 2 0 1 7 年 臭 名 昭 著 的 勒 索 软 件 成 员 还 包 括 J a f f r a n s 、 E x m a s 以 及 E r g o p 。 尽 管 这 些 勒 索 软 件 没 有 达 到 S p o r a 那 样 的 影 响 力 ， 但 是 它 们 确 实 体 现 了 勒 索 软 件 领 域 的 周 期 性 进 步 和 变 本 加 厉 的 顽 固 性 。 全 球 勒 索 软 件 警 钟 拉 响 全 球 勒 索 软 件 警 钟 拉 响 W a n n a C r y p t （ 又 称 W a n n a C r y ） 是 今 年 到 目 前 为 止 影 响 范 围 最 大 的 新 型 勒 索 软 件 之 一 。 五 月 份 出 现 的 这 个 恶 意 程 序 利 用 了 未 更 新 w i n 7 系 统 中 的 一 个 补 丁 漏 洞 ， 并 迅 速 传 播 到 欧 洲 乃 至 全 球 （ 该 漏 洞 不 影 响 W i n d o w s   1 0 系 统 ） 。 这 次 攻 击 活 动 使 得 大 量 高 科 技 设 施 、 大 型 企 业 机 构 正 常 活 动 遭 到 严 重 破 坏 。 W a n n a C r y p t 爆 发 后 几 周 ， 一 个 新 的 变 种 P e t y a 卷 土 重 来 。 P e t y a 采 用 了 W a n n a C r y 所 使 用 的 一 些 新 技 术 ， 但 综 合 了 更 多
网 络 传 播 方 式 。 P e t y a 的 爆 发 始 于 乌 克 兰 ， 被 感 染 的 软 件 供 应 链 通 过 一 个 更 新 程 序 开 启 了 P e t y a 的 传 播 之 路 。 短 短 几 小 时 ， P e t y a 就 已 经 蔓 延 至 其 它 国 家 。 尽 管 P e t y a 的 传 播 范 围 不 及 W a n n a C r y 广 泛 ， 但 是 复 杂 程 度 却 高 于 W a n n a C r y ， 对 于 被 感 染 机 构 的 杀 伤 力 更 加 大 。 W a n n a C r y p t 和 P e t y a 打 破 了 攻 击 行 为 的 针 对 性 和 本 地 化 特 征 ， 是 历 史 上 第 一 次 全 球 范 围 内 大 规 模 的 恶 意 程 序 攻 击 。 这 种 趋 势 形 成 了 地 下 市 场 的 全 球 利 益 链 ， 但 是 这 样 的 变 化 对 攻 击 者 来 说 也 有 弊 端 ， 比 如 ， 在 这 些 攻 击 活 动 中 使 用 的 比 特 币 钱 包 则 更 容 易 受 到 监 管 人 员 的 密 切 监 视 。 W a n n a C r y p t 和 P e t y a 的 出 现 表 明 ， 利 用 全 球 范 围 内 普 遍 漏 洞 产 生 的 勒 索 软 件 攻 击 活 动 会 给 全 人 类 带 来 灾 难 性 的 后 果 。 全 球 性 攻 击 活 动 也 向 人 类 发 出 警 告 ： 安 全 响 应 人 员 应 提 高 攻 击 检 测 、 响 应 能 力 ， 控 制 勒 索 软 件 感 染 疫 情 ； 系 统 或 软 件 的 更 新 发 布 后 应 及 时 安 装 。 勒 索 软 件 复 杂 性 分 析 勒 索 软 件 复 杂 性 分 析 全 球 勒 索 软 件 疫 情 爆 发 的 原 因 之 一 是 勒 索 软 件 技 术 的 进 步 。 W a n n a C r y p t 、 P e t y a 、 S p o r a 等 勒 索 软 件 变 体 所 具 备 的 新 功 能 以 及 他 们 的 传 播 速 度 于 危 害 程 度 都 体 现 了 这 一 点 。 利 用 漏 洞 进 行 内 网 漫 游 利 用 漏 洞 进 行 内 网 漫 游 S p o r a 通 过 网 络 驱 动 和 可 移 动 驱 动 器 传 播 的 能 力 使 其 成 为 传 播 范 围 最 为 广 泛 的 勒 索 软 件 之 一 。 虽 然 它 不 是 第 一 个 整 合 蠕 虫 状 扩 散 机 制 的 勒 索 软 件 ， 但 它 能 够 通 过 这 种 功 能 来 感 染 更 多 的 设 备 。 带 有 蠕 虫 功 能 的 勒 索 软 件 攻 击 活 动 范 围 可 以 从 终 端 安 全 延 伸 到 整 个 企 业 网 络 。 W a n n a C r y 就 是 一 个 很 好 的 例 子 ， 它 利 用 C V E - 2 0 1 7 - 0 1 4 4 （ 又 名 “ 永 恒 之 蓝 ” ， 已 修 复   M S 1 7 - 0 1 0 ） 这 个 漏 洞 感 染 了 未 及 时 更 新 的 设 备 。 而 P e t y a 则 又 对 W a n n a C r y p t 的 传 播 机 制 进 行 了 扩 展 — — 利 用 了 两 个 漏 洞 对 未 更 新 系 统 进 行 感 染 ： C V E - 2 0 1 7 - 0 1 4 4 以 及 C V E - 2 0 1 7 - 0 1 4 5 （ 被 称 为 E t e r n a l R o m a n c e ， 已 修 复 ） 。 这 两 次 攻 击 事 件 都 说 明 了 及 时 更 新 系 统 或 程 序 的 重 要 性 。 同 时 安 全 人 员 检 测 和 拦 截 与 漏 洞 相 关 恶 意 行 为 的 及 时 性 也 非 常 关 键 。 另 外 ， 我 们 还 应 注 意 到 这 两 大 勒 索 软 件 的 出 现 都 没 有 波 及 W i n 1 0 系 统 ， 也 就 是 说 升 级 到 最 新 版 本 的 系 统 或 平 台 也 会 增 加 安 全 系 数 。 就 算 这 些 漏 洞 也 出 现 在 W i n 1 0 系 统 中 ， 该 系 统 也 会 多 种 漏 洞 缓 解 方 案 ， 包 括 零 日 漏 洞 。 另 外 ， W i n d o w s D e f e n d e r 高 级 威 胁 防 护 程 序 （ W i n d o w s   D e f e n d e r   A T P ） 也 可 以 在 无 需 签 名 更 新 的 情 况 下 检 测 到 漏 洞 利 用 的 恶 意 活 动 。 H e r e   i s   t h e   彩 蛋 ： 彩 蛋 ： 由 朔 方 翻 译 的 用 于 分 析 是 否 有 内 网 横 向 移 动 行 为 的 参 考 手 册 《 日 本 《 日 本 C E R T 内 网 漫 游 人 工 检 测 分 内 网 漫 游 人 工 检 测 分 析 手 册 》 析 手 册 》 ， 可 通 过 链 接 h t t p : / / p a n . b a i d u . c o m / s / 1 q Y N q 1 u G   密 码 ： u 9 0 s   获 取 。 凭 证 窃 取 凭 证 窃 取 P e t y a 还 有 一 个 夺 眼 球 的 特 点 是 它 窃 取 重 要 凭 证 的 功 能 ， 通 过 凭 证 转 储 工 具 获 取 或 直 接 从 凭 证 库 中 窃 取 。 该 功 能 对 于 使 用 本 地 管 理 员 权 限 登 录 并 在 多 台 计 算 机 上 打 开 活 动 会 话 的 用 户 网 络 构 成 了 严 重 的 安 全 威 胁 。 在 这 种 情 况 下 ， 被 盗 凭 证 可 以 在 其 它 设 备 上 行 使 同 等 级 别 的 访 问 权 限 。 P e t y a 疫 情 表 明 了 保 护 凭 证 安 全 的 重 要 性 。 企 业 应 对 特 权 账 户 进 行 不 断 审 查 ， 因 为 这 些 账 户 具 有 对 企 业 机 密 和 其 它 关 键 数 据 的 访 问 权 限 ， 一 旦 沦 陷 ， 后 果 不 堪 设 想 。 W i n 1 0 系 统 中 的 C r e d e n t i a l   G u a r d 使 用 虚 拟 安 全 保 护 派 生 域 凭 证 ， 能 够 拦 截 企 图 侵 入 特 权 帐 户 的 恶 意 行 为 。 网 络 扫 描 网 络 扫 描 掌 握 漏 洞 或 凭 证 信 息 后 ， 勒 索 软 件 就 开 始 通 过 网 络 扫 描 把 魔 爪 伸 向 网 络 世 界 中 的 角 角 落 落 。 例 如 ， P e t y a 通 过 扫 描 受 感 染 的 网 络 ， 尝 试 与 其 它 计 算 机 建 立 有 效 连 接 ， 然 后 通 过 窃 取 的 凭 证 传 输 恶 意 程 序 副 本 。 P e t y a 同 样 也 扫 描 了 网 络 共 享 连 接 ， 尝 试 通 过 这 些 共 享 行 为 进 行 传 播 。
而 W a n n a C r y p t 则 大 量 扫 描 I P 地 址 ， 寻 找 存 在 “ 永 恒 之 蓝 ” 漏 洞 的 计 算 机 ， 这 个 功 能 使 得 W a n n a C r y 能 够 在 不 同 网 络 之 间 的 计 算 机 上 进 行 传 播 。 破 坏 性 行 为 破 坏 性 行 为 绝 大 多 数 勒 索 软 件 都 有 一 个 相 同 的 、 明 确 的 动 机 ： 受 害 者 必 须 支 付 赎 金 ， 否 则 永 远 拿 不 到 自 己 电 脑 上 已 经 被 加 密 的 文 件 。 虽 然 不 能 保 证 支 付 赎 金 后 对 方 一 定 会 解 密 文 件 ， 但 是 大 多 数 勒 索 软 件 还 是 通 过 赎 金 声 明 的 方 式 说 明 他 们 要 钱 的 意 图 。 W a n n a C r y 攻 击 者 于 今 年 8 月 将 所 有 比 特 币 从 比 特 币 钱 包 领 取 兑 现 。 而 P e t y a 开 发 者 在 早 早 地 7 月 初 就 开 始 收 网 。 前 文 我 们 已 经 提 到 过 ， P e t y a 的 破 坏 性 更 大 ： 它 覆 盖 或 损 坏 主 引 导 记 录 （ M B R ） 和 卷 引 导 记 录 （ V B R ） ， 使 受 感 染 的 计 算 机 彻 底 瘫 痪 。 这 个 现 象 引 起 了 安 全 界 很 多 专 家 的 思 考 与 讨 论 ： P e t y a 产 生 的 根 本 目 的 是 为 了 像 W a n n a C r y 那 样 骗 取 赎 金 还 是 像 D e p r i z （ 也 称 为 S h a m o o n ） 那 样 破 坏 网 络 及 系 统 安 全 ？ P e t y a 攻 击 链 小 编 在 P S 、 A I 方 面 是 菜 鸟 ， 图 片 汉 化 就 不 花 时 间 做 了 ， 就 在 下 面 附 上 图 片 文 字 内 容 的 翻 译 ， 有 需 要 的 同 志 可 自 行 替 换 。 1 . M A L I C I O U S   S O F T W A R E   D O W N L O A D   恶 意 程 序 下 载 恶 意 程 序 下 载 I n i t i a l   i n f e c t i o n   a p p e a r s   t o   i n v o l v e   a   c o m p r o m i s e d   s o f t w a r e   s u p p l y - c h a i n   o r   a   w a t e r i n g - h o l e   a t t a c k 从 感 染 某 个 软 件 或 发 起 一 个 “ 水 坑 式 ” 攻 击 开 始 2 .   V i c t i m   0   受 害 设 备 受 害 设 备 O 3 .   I f   K a s p e r s k y   i s   p r e s e n t ,   M B R   a n d   s o m e   d i s k   s e c t o r s   a r e   d e s t r o y e d .   O t h e r w i s e ， ， M B R   i s   r e p l a c e s   w i t h   a r a n s o m   b o o t l o a d e r   ( o r   t r a s h   i f   f a i l ) 如 果 设 备 上 装 有 卡 巴 斯 基 ， M B R 和 一 些 磁 盘 扇 区 会 被 损 坏 。 否 则 ， M B R 被 替 换 为 赎 金 引 导 程 序 （ 替 换 失 败 则 当 作 垃 圾 处 理 ） [ S E D E B U G ] M B R   A C T I V I T I E S   M B R 活 动 [ t a k e   e f f e c t   p o s t - r e b o o t ]   【 重 启 后 执 行 】
T R A S H   垃 圾   I N F E C T   感 染 4 .   M u t i - t h r e a d e d   e x e c u t i o n   o f   m a l i c i o u s   c o d e   b e g i n s   i n   p a r a l l e l   多 线 程 恶 意 代 码 执 行 同 时 进 行 多 线 程 恶 意 代 码 执 行 同 时 进 行 S M B   E X P L O I T S I N T E R N E T / L O C A L   N E T W O R K O r g   A   O r g   B   O r g   C V i c t i m   1 e t c .   … C R E D E N T I A L   T H E F T   F r o m   L S A S S / C r e d E n u m e r a t e W ,   o r   s t e a l   a c t i v e   t o k e n s C r e d s / t o k e n s   S c a n n e r   e n u m e r a t e s   t a r g e t s   f o r   l a t e r a l   m o v e m e n t ( a d m i n S )   M a c h i n e   l i s t   F I L E   E N C R Y P T I O N   L o c a l   f i l e s   o n   t h e   m a c h i n e   a r e   e n c r p t e d   w i t h   A E S   R e m o t e   e x e c u t i o n   t h r o u g h   P S E X E C   o r   W M I C   L O C A L   N E T W O R K   本 地 网 络 关 于 P e t y a 目 的 的 讨 论 ， 很 多 专 家 各 执 一 端 。 但 有 一 点 可 以 肯 定 ， 攻 击 者 可 以 轻 松 地 把 其 它 p a y l o a d 加 入 勒 索 软 件 代 码 ， 形 成 针 对 性 攻 击 或 其 它 类 型 的 毁 灭 性 网 络 攻 击 。 随 着 勒 索 软 件 威 胁 程 度 的 骤 增 ， 无 论 是 各 大 企 业 机 构 还 是 个 人 ， 都 需 要 一 个 完 善 的 网 络 安 全 防 护 方 案 ， 抵 御 端 到 端 的 勒 索 软 件 攻 击 。 结 结   语 语 原 文 接 下 来 的 部 分 讲 的 就 全 是 微 软 夸 自 己 的 w i n 1 0 系 统 多 么 厉 害 了 。 这 里 我 就 不 给 微 软 打 广 告 ， 有 兴 趣 者 也 可 参 见 原 文 ： h t t p s : / / b l o g s . t e c h n e t . m i c r o s o f t . c o m / m m p c / 2 0 1 7 / 0 9 / 0 6 / r a n s o m w a r e - 1 h - 2 0 1 7 - r e v i e w - g l o b a l - o u t b r e a k s - r e i n f o r c e - t h e - v a l u e - o f - s e c u r i t y - h y g i e n e / 微 软 在 网 络 安 全 方 面 的 努 力 与 成 果 的 确 值 得 期 待 ， 也 非 常 值 得 国 内 安 全 厂 商 潜 心 学 习 。 【 完 整 报 告 英 文 版 - 百 度 网 盘 链 接 ： h t t p : / / p a n . b a i d u . c o m / s / 1 q Y N q 1 u G   密 码 ： u 9 0 s 】 * 本 文 作 者 ： 本 文 作 者 ： C a r r i e _ s p i n f o ， 经 作 者 授 权 ， 转 载 自 微 信 公 众 号 ， 经 作 者 授 权 ， 转 载 自 微 信 公 众 号 “ 赛 博 朔 方 赛 博 朔 方 ” （ （ c h i n a m s s p ） ）
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理