北京時(shí)間2017年5月12日，一款名為“WannaCry”（也稱WannaCrpt、WannaCrpt0r、Wcrypt、WCRY）的勒索軟件在全球范圍內(nèi)爆發(fā)，造成極大影響。
一、網(wǎng)絡(luò)攻擊事件背景
此次爆發(fā)的“WannaCry”勒索軟件來(lái)自“永恒之藍(lán)”（EternalBlue），主要利用微軟Windows操作系統(tǒng)的MS17-010漏洞進(jìn)行自動(dòng)傳播。相關(guān)數(shù)據(jù)顯示，每小時(shí)攻擊次數(shù)高達(dá)4000余次。“永恒之藍(lán)”是一種特洛伊加密軟件（Onion Ransomware），利用Windows操作系統(tǒng)在445端口的安全漏洞（CNNVD-201703-721 ~ CNNVD-201703-726）潛入電腦對(duì)多種文件類型加密并添加.onion后綴，使用戶無(wú)法打開(kāi)。
二、“WannaCry”勒索軟件技術(shù)特點(diǎn)及危害
據(jù)BBC等媒體報(bào)道，全球多國(guó)爆發(fā)wannacry電腦勒索病毒，目前已經(jīng)波及99個(gè)國(guó)家。
勒索蠕蟲(chóng)一旦成功入侵，將加密系統(tǒng)內(nèi)全部文檔，并通過(guò)破壞硬盤快照的方式增加系統(tǒng)恢復(fù)難度，不交付贖金（單機(jī)解密贖金300美元至600美元，一般通過(guò)比特幣支付）無(wú)法解密。自動(dòng)傳播?？衫肳indows平臺(tái)所有版本（winXP、Vista、Win7、Win8、Win2003、Win2008、Win10等）的漏洞進(jìn)行自動(dòng)傳播，未打補(bǔ)丁的機(jī)器極易感染并在內(nèi)外網(wǎng)快速傳播。無(wú)法解密。勒索軟件使用AES128加密文件，使用RSA2048公鑰加密AES密鑰。據(jù)目前情況看，除美國(guó)外其他國(guó)家基本無(wú)法通過(guò)計(jì)算或碰撞的方式進(jìn)行解密。通信匿名。勒索軟件進(jìn)行攻擊后，會(huì)自動(dòng)釋放Tor網(wǎng)絡(luò)組件，用于解密程序的網(wǎng)絡(luò)通信，贖金使用比特幣支付，使勒索過(guò)程難以追蹤溯源。時(shí)間掐準(zhǔn)。此次攻擊發(fā)生正值周末，據(jù)分析在我國(guó)爆發(fā)時(shí)間應(yīng)為周五下午3點(diǎn)左右，恰逢國(guó)內(nèi)各單位網(wǎng)絡(luò)安全防范最松懈之時(shí)。攻擊意外中斷。勒索軟件中預(yù)留了終止機(jī)制，即訪問(wèn)一個(gè)超長(zhǎng)域名成功攻擊傳播就會(huì)停止。美國(guó)洛杉磯威脅情報(bào)公司一名員工注冊(cè)了該域名開(kāi)啟了停止機(jī)制，域名啟用后每秒訪問(wèn)IP過(guò)千。
此次網(wǎng)絡(luò)攻擊涉及百余個(gè)國(guó)家和地區(qū)的政府、電力、電信、醫(yī)療機(jī)構(gòu)等重要信息系統(tǒng)及個(gè)人電腦遭受嚴(yán)重網(wǎng)絡(luò)攻擊，最嚴(yán)重區(qū)域集中在美國(guó)、歐洲、澳洲等。截至目前，全球攻擊案例超過(guò)75000個(gè)。
三、用戶建議
在此提醒廣大用戶：
1、個(gè)人用戶安裝漏洞修復(fù)補(bǔ)丁。“WannaCry”勒索蠕蟲(chóng)利用的是微軟官方的SMB漏洞，請(qǐng)個(gè)人用戶及時(shí)檢查安裝MS17-010修復(fù)補(bǔ)丁。與此同時(shí)，及時(shí)采取臨時(shí)解決方案，一是關(guān)閉計(jì)算機(jī)的445端口，二是配置主機(jī)級(jí)ACL?策略封堵445?端口，三是打開(kāi)“Windows防火墻”，進(jìn)入“高級(jí)設(shè)置”，在入站規(guī)則中禁用“文件和打印機(jī)共享”相關(guān)規(guī)則。
2、網(wǎng)絡(luò)管理員修改網(wǎng)絡(luò)配置，監(jiān)控網(wǎng)絡(luò)接口。建議各網(wǎng)絡(luò)管理員在網(wǎng)絡(luò)防火墻上配置相關(guān)策略，限制外部對(duì)445端口的訪問(wèn)，加強(qiáng)內(nèi)網(wǎng)審計(jì)。同時(shí)在接入交換機(jī)或核心交換機(jī)抓包，查看是否存在大量掃描內(nèi)網(wǎng)139、135、445端口的網(wǎng)絡(luò)行為，及時(shí)定位掃描發(fā)起點(diǎn)，對(duì)掃描設(shè)備進(jìn)行病毒查殺，一旦發(fā)現(xiàn)被感染主機(jī)，立即斷網(wǎng)防止進(jìn)一步擴(kuò)散。
3、應(yīng)急措施
1）立即斷網(wǎng)，防止擴(kuò)散和蔓延。對(duì)于已經(jīng)感染“WannaCry”勒索蠕蟲(chóng)的計(jì)算機(jī)，盡快關(guān)機(jī)，取出硬盤，通過(guò)專業(yè)數(shù)據(jù)恢復(fù)軟件進(jìn)行恢復(fù)。立即切斷內(nèi)外網(wǎng)連接，避免感染網(wǎng)絡(luò)中的其他計(jì)算機(jī)。
2）啟動(dòng)恢復(fù)程序，及時(shí)修復(fù)補(bǔ)丁。若計(jì)算機(jī)存在備份，應(yīng)啟動(dòng)備份恢復(fù)程序，及時(shí)安裝修復(fù)補(bǔ)丁。