一般來說，影響力最大的事物并不是最牛掰的事物——這件事可以反映到周末爆發(fā)的WannaCry勒索軟件身上。WannaCry可以說是史上影響、危害最大的勒索程序沒有之一了，它在爆發(fā)后的幾個(gè)小時(shí)內(nèi)攻擊99個(gè)國家近萬臺(tái)設(shè)備，在大量企業(yè)組織和個(gè)人間蔓延，從MalwareTech的數(shù)據(jù)來看，僅周五下午，WannaCry受害人就超過22.3萬；且在隨后出現(xiàn)變種。
對(duì)大眾媒體來說，宣導(dǎo)個(gè)勒索軟件概念就不是件容易的事情了。不過在這兩年的全球安全行業(yè)內(nèi)，勒索軟件的發(fā)展已經(jīng)相當(dāng)成熟，去年開始Ransome-as-a-Service在黑市就已經(jīng)很有市場(chǎng)。WannaCry就勒索軟件本身而言只能說是相當(dāng)平凡的。
在這篇文章中，我們將總結(jié)包括微軟、思科、CNVD、CNNVD、360、安天、騰訊、安恒、瑞星、斗象科技、微步在線等安全企業(yè)和組織給出針對(duì)WannaCry的分析和處置方案。如果你正在擔(dān)憂WannaCry可能波及自己其所在企業(yè)組織，那么或許此文能夠給你一些方向。
WannaCry并沒有多么“sophisticated”！
國外安全公司經(jīng)常在分析、形容某個(gè)惡意程序的時(shí)候說它相當(dāng)“sophisticated”，一般我們傾向于將之翻譯成復(fù)雜，不過它不光是表達(dá)復(fù)雜，還可以表達(dá)“精致”“老道”“水平高”。
FreeBuf先前分析過不少隱蔽技術(shù)極強(qiáng)的惡意程序，還有不少APT組織所用的exploit和工具都稱得上sophisticated。而在勒索軟件中可以稱得上sophisticated的，比如著名的Locky、Cerber等。
WannaCry本身無論如何都算不上sophisticated，無論是上周五就發(fā)布分析文章的思科Talos團(tuán)隊(duì)，還是騰訊、安天的分析，這款惡意程序無非兩個(gè)組成部分：用于勒索（加密數(shù)據(jù)、解密數(shù)據(jù)）的部分，以及針對(duì)Windows SMB漏洞的利用。后一部分是WannaCry的精髓，也是WannaCry之所以傳播能力如此之強(qiáng)的根源。
不過這部分實(shí)際上主要是對(duì)早前NSA泄露的ETERNALEBLUE（永恒之藍(lán)）exploit的改寫版本——Shadow Brokers在幾度出售方程式工具包失敗之后就主動(dòng)將一堆0day放出了，其中就包括了這次用到的exploit（還有個(gè)DOUBLEPULSAR）。換句話說，WannaCry的震懾力主要是來自NSA方程式組織。
一般勒索程序的主流傳播手段是社工，無論是郵件釣魚還是惡意URL釣魚，這都需要用戶進(jìn)行交互或下載paylOAd。而WannaCrypt卻是借助Windows系統(tǒng)本身的漏洞，該漏洞將惡意構(gòu)建的包發(fā)往SMBv1服務(wù)器就能觸發(fā)。微軟在3月份的Patch Tuesday中已經(jīng)發(fā)布了MS17-010安全公告中修復(fù)了該問題，只不過大量企業(yè)組織不會(huì)實(shí)時(shí)打補(bǔ)丁，還有很多企業(yè)在用Windows XP這樣陳舊的系統(tǒng)，自然受到了影響。
騰訊電腦管家實(shí)際上在分析中已經(jīng)寫得相當(dāng)清楚：從木馬自身讀取MS17-010漏洞利用代碼，payload分成x86和x64兩個(gè)版本；創(chuàng)建兩個(gè)線程，分別掃描內(nèi)網(wǎng)和外網(wǎng)IP，開始蠕蟲傳播感染。
也就是說，企業(yè)內(nèi)部只要有一臺(tái)設(shè)備感染W(wǎng)annaCry，則整個(gè)內(nèi)網(wǎng)未采用最新系統(tǒng)的Windows設(shè)備都可能被很快感染——這是其傳播速度極快的一個(gè)原因。而且還不僅于此，整個(gè)過程，會(huì)對(duì)公網(wǎng)隨機(jī)IP地址445端口進(jìn)行掃描，所以實(shí)際上是不僅限于局域網(wǎng)內(nèi)部的。瑞星的分析文章中也給出了隨機(jī)生成IP攻擊全球主機(jī)IP的截圖。
FreeBuf編輯部內(nèi)部在討論，WannaCry的最初感染到底是怎么做到的？有部分編輯（比如小編我）認(rèn)為肯定是釣魚——這是惡意程序的常規(guī)手段，但Sphinx同學(xué)則堅(jiān)持認(rèn)為，既然都利用了漏洞，還要釣魚干嘛。這話也有道理。
思科Talos在自家的安全博客中說：“它并不只是簡(jiǎn)單在內(nèi)部范圍進(jìn)行掃描識(shí)別擴(kuò)散對(duì)象，它也能針對(duì)暴露在互聯(lián)網(wǎng)上、存在漏洞的外部主機(jī)進(jìn)行擴(kuò)散。”不過微軟官方則認(rèn)為其傳播的兩個(gè)主要途徑，既有社工郵件，也有通過其它感染設(shè)備利用SMB漏洞對(duì)其它可以通訊的設(shè)備（所謂的addressable）進(jìn)行感染。
但“我們沒有證據(jù)，明確該勒索程序最初是怎么感染的”，這是微軟的原話。無論如何，永恒之藍(lán)都是WannaCry的核心所在。至于其勒索組成部分，騰訊的分析比較詳細(xì)，也很好懂，感興趣的同學(xué)可以參見。
這里有個(gè)有趣的細(xì)節(jié)值得一提，勒索程序作者給出了繳納贖金的3個(gè)比特幣地址。Bleeping Computer在周五的文章中提到，這就讓事情變得比較麻煩，因?yàn)檫@樣一來WannaCry幕后真兇很難辨別究竟誰付過了贖金——畢竟受害人也是會(huì)騙人的。這表明“開發(fā)人員在這個(gè)領(lǐng)域的經(jīng)驗(yàn)不夠”。而且至少到昨天為止，雖然這款勒索軟件影響力如此之廣，這三個(gè)比特幣錢包也只收到了17.309比特幣，也就是大約3.16萬美元，這收益和其影響力比起來，的確還算不上很理想。
避免感染，具體怎么做？
WannaCry出現(xiàn)之后，最為人津津樂道的地方在于它有個(gè)“Kill Switch”。安天針對(duì)WannaCry的運(yùn)行流程圖中很明確（綠盟的分析也很清晰）地能夠看到Kill Switch所處的位置，即在mssecsvc.exe進(jìn)程之后的“連接網(wǎng)址”，這個(gè)網(wǎng)址也就是這兩天相當(dāng)火的：
iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com
在連接該網(wǎng)址不成功以后才進(jìn)行接下來的勒索和蠕蟲步驟，如果連接成功則會(huì)停止惡意行為。安全專家立刻注冊(cè)了這一域名（MalwareTech），所以WannaCry的擴(kuò)散勢(shì)頭被臨時(shí)制止。微步在線為我們解釋了攻擊者這么做的原因。而且實(shí)際上，微步在線在周六的時(shí)候已經(jīng)發(fā)布文章，在安全建議中告訴企業(yè)，如果發(fā)現(xiàn)設(shè)備感染，對(duì)于如何斷網(wǎng)的問題應(yīng)該謹(jǐn)慎。
悲劇的是，很多企業(yè)的IT管理員并不了解其中原委，看到這么個(gè)URL，以為是惡意網(wǎng)址，就阻止了其訪問，反倒助長了勒索程序的擴(kuò)散。這種事情都表征大量企業(yè)安全在執(zhí)行上的荒謬。
斗象科技旗下漏洞盒子今天也已經(jīng)發(fā)布了WannaCry蠕蟲勒索軟件處置手冊(cè)，我們綜合其它安全企業(yè)如360安全監(jiān)測(cè)與響應(yīng)中心給出的建議做個(gè)簡(jiǎn)單的總結(jié)。針對(duì)已經(jīng)感染W(wǎng)annaCry和未感染W(wǎng)annaCry的設(shè)備有兩套方案：
針對(duì)尚未感染或未知是否感染W(wǎng)annaCry的設(shè)備和企業(yè)網(wǎng)絡(luò)
1.Windows設(shè)備需要：
• Windows 10/Vista/7/Server 2008 R2/8.1/Server 2012/Server 2012 R2/Server 2016系統(tǒng)用戶請(qǐng)通過系統(tǒng)升級(jí)通道升級(jí)微軟發(fā)布的3月安全更新即可對(duì)其傳播過程免疫（其中MS17-010安全更新下載地址）；
• 微軟相當(dāng)罕見地針對(duì)已經(jīng)不受支持的Windows系統(tǒng)發(fā)布了安全更新，包括Windows XP、Windows 8、Windows Server 2003，這大概也能表現(xiàn)其嚴(yán)重性。點(diǎn)擊這里打補(bǔ)丁。
按照系統(tǒng)選擇下載：Windows Server 2003 SP2 x64， Windows Server 2003 SP2 x86， Windows XP SP2 x64， Windows XP SP3 x86， Windows XP Embedded SP3 x86， Windows 8 x86， Windows 8 x64
• Windows Defender最新版本（1.243.297.0）已經(jīng)能夠檢測(cè)Ramson：Win32/WannaCrypt；絕大部分主流反病毒軟件也都已經(jīng)支持WannaCry的檢測(cè)。
wannacry-ransomware-decrypt-unlock-files.png
• 微軟另外還建議用戶禁用SMBv1，畢竟這也是個(gè)相對(duì)較老的協(xié)議了，漏洞盒子的處置流程也提到了以這一點(diǎn)，具體的步驟點(diǎn)這里；
• 包括思科Talos在內(nèi)的絕大部分安全廠商都在防御建議中提到，面向互聯(lián)網(wǎng)（139與445端口）可公開訪問SMB的企業(yè)組織應(yīng)阻止其入站流量：
• 思科特別建議企業(yè)組織禁止TOR節(jié)點(diǎn)連接以及TOR流量；
• 微步在線在給出的建議中提到：如果內(nèi)網(wǎng)機(jī)器沒有外網(wǎng)訪問權(quán)限，則建議客戶在內(nèi)網(wǎng)修改此開關(guān)域名（即上述Kill Switch）的內(nèi)網(wǎng)解析，并且將解析IP指向在線的內(nèi)部web服務(wù)器；如果內(nèi)網(wǎng)機(jī)器具有外網(wǎng)訪問權(quán)限，則無須采取額外措施；
• 部分針對(duì)WannaCry的免疫和檢測(cè)工具下載：
- 漏洞盒子的Wannacry蠕蟲勒索軟件處置流程及工具包（含離線補(bǔ)�。篽ttps：//pan.baidu.com/s/1o8ludfk（點(diǎn)擊這里按照步驟進(jìn)行）
- 西班牙CERT最早給出臨時(shí)避免WannaCry感染的腳本：https：//loreto.ccn-cert.cni.es/index.php/s/tYxMah1T7x7FhND
- 瑞星“永恒之藍(lán)”免疫工具：http：//download.rising.net.cn/zsgj/EternalBluemianyi.exe
- 360的NSA武器庫免疫工具：http：//dl.360safe.com/nsa/nsatool.exe
- 多提一句：Windows Defender最新版也已經(jīng)支持檢測(cè)；
• 另外針對(duì)相對(duì)大型的企業(yè)組織，這些機(jī)構(gòu)需要設(shè)定有效的補(bǔ)丁管理，向端點(diǎn)和其它基建及時(shí)部署安全更新；
2.企業(yè)網(wǎng)絡(luò)需要：
360安全監(jiān)測(cè)與響應(yīng)團(tuán)隊(duì)給出了相對(duì)詳盡的方案。由于許多大型機(jī)構(gòu)設(shè)備眾多，所以可從網(wǎng)絡(luò)設(shè)備ACL策略配置著手，實(shí)現(xiàn)臨時(shí)封堵——即配置ACL規(guī)則從網(wǎng)絡(luò)層面阻斷TCP 445端口通訊。不過各類設(shè)備的配置方法有差異，可參見各安全設(shè)備提供商給出的方案。如思科針對(duì)自家防火墻產(chǎn)品所推的方案，可參見這里：
針對(duì)已經(jīng)感染W(wǎng)annaCry的設(shè)備和企業(yè)網(wǎng)絡(luò)
就此問題，漏洞盒子和CNNVD都給出了一些建議，內(nèi)容如下：
• 在企業(yè)組織內(nèi)部發(fā)現(xiàn)某臺(tái)設(shè)備已經(jīng)被WannaCry感染且數(shù)據(jù)加密的情況下，應(yīng)當(dāng)立即將這臺(tái)設(shè)備與網(wǎng)絡(luò)斷開；
• 查找內(nèi)部所有開放445 SMB服務(wù)端口的終端與服務(wù)器；
• 不要在已經(jīng)中毒的設(shè)備之上連接移動(dòng)設(shè)備和驅(qū)動(dòng)器；
• 文件數(shù)據(jù)遭遇加密后或可提供部分恢復(fù)的工具：
- 易我數(shù)據(jù)恢復(fù)：http：//pc.qq.com/detail/7/detail_161187.html（使用教程點(diǎn)這里）
- 360“勒索蠕蟲病毒文件恢復(fù)工具”：https：//dl.360safe.com/recovery/RansomRecovery.exe（使用教程點(diǎn)這里）
- 其它工具：
No More Ransom：https：//www.nomoreransom.org/
antiBTCHack：https：//github.com/QuantumLiu/antiBTCHack
• 或者還可以將加密數(shù)據(jù)轉(zhuǎn)移，等待安全廠商推專門的數(shù)據(jù)解密工具
更多建議
實(shí)際上從昨天開始，網(wǎng)上就在傳WannaCry 2.0，提到變種版本已經(jīng)去掉了Kill Switch，可進(jìn)行更大規(guī)模的殺戮。不過卡巴斯基的Costin Raiu已經(jīng)在Twitter表示：是我不好，針對(duì)所有已知的Wannacry蠕蟲mods進(jìn)行分析后，我們?cè)谄渲卸及l(fā)現(xiàn)了Kill Switch，并無版本不包含Kill Switch。最先進(jìn)行2.0報(bào)道的MOTHERBOARD也已經(jīng)就此錯(cuò)誤進(jìn)行了道歉。
不過Matt Suiche在昨天的博客文章中談到的確有了新的“no kill switch”的變種，但其危害相對(duì)有限無法達(dá)到WannaCry的高度。
最后值得一提的是，微軟在安全公告中提到并不清楚WannaCry最初是如何感染的，所以不排除釣魚郵件和鏈接的可能性。所以除了平常需要科學(xué)的系統(tǒng)更新部署方式，不要點(diǎn)擊不受信任的鏈接或打開不受信任的郵件附件也是相當(dāng)初級(jí)和有效的建議了。
針對(duì)勒索軟件本性，CNNVD的處置建議最后一條提到：在日常計(jì)算機(jī)使用過程中，對(duì)重要信息數(shù)據(jù)定期及時(shí)進(jìn)行備份，這本身也是杜絕勒索軟件成功勒索的最重要步驟。
核心關(guān)注：拓步ERP系統(tǒng)平臺(tái)是覆蓋了眾多的業(yè)務(wù)領(lǐng)域、行業(yè)應(yīng)用，蘊(yùn)涵了豐富的ERP管理思想，集成了ERP軟件業(yè)務(wù)管理理念，功能涉及供應(yīng)鏈、成本、制造、CRM、HR等眾多業(yè)務(wù)領(lǐng)域的管理，全面涵蓋了企業(yè)關(guān)注ERP管理系統(tǒng)的核心領(lǐng)域，是眾多中小企業(yè)信息化建設(shè)首選的ERP管理軟件信賴品牌。
轉(zhuǎn)載請(qǐng)注明出處：拓步ERP資訊網(wǎng)http://www.oesoe.com/
本文標(biāo)題：全球安全廠商針對(duì)“Wannacry勒索蠕蟲”響應(yīng)與處置方案匯總
本文網(wǎng)址：http://www.oesoe.com/html/consultation/10839520659.html
相關(guān)文章
