新聞中心

Malware and antivirus software

永恒之藍:針對WannaCryptor蠕蟲,您的電腦打了漏洞補丁嗎?

Created: 2017-05-22 08:23:39


查看系統是否已打永恒之藍漏洞補丁的檢查方法
 
迄今為止,我們當中的很多人都已聽說上周勒索病毒大爆發事件。該病毒於2017年5月12日席卷全球。它是WannaCryptor的一個新變種,也被稱為WannaCry和WannaCrypt,ESET公司將其檢測為Win32/Filecoder.WannaCryptor.D。該病毒具有蠕蟲特征,能夠攻陷網絡上的其他電腦。
 
這次攻擊目前仍在繼續,雖然規模不如以前,但卻在惡意程序爆發史上樹立了新的裏程碑。一系列綜合因素 – 部分是由於用戶疏忽 – 致使這一勒索蠕蟲能夠造成如此巨大的損失。
 
本文中,我們將探討用戶應從這一事件中汲取的教訓,並預測未來演變趨勢。同時我們還提供了簡單腳本,方便用戶用來檢查自己的Windows系統是否已安裝永恒之藍防護補丁。
 
永恒之藍及WannaCry的蠕蟲特征
 
永恒之藍是利用系統漏洞發起攻擊的工具名稱,能夠使WwannaCry具備自我復制能力,因此能利用網絡迅速傳播。據稱,最初是美國國家安全局開發了這一工具。
 
這就是為何說此次病毒大爆發,可追溯至美國國家安全局網絡武器泄密事件的由來,據說名為暗影經紀人的組織竊取了相關網絡武器。該組織曾一度試圖拍賣網絡武器,但未能如願以償,因難以獲利而一改初衷,決定一對一變賣美國國家安全局的竊密工具。
 
3月14日,微軟公司發布了MS17-010號安全補丁,修復了伺服器信息塊中存在的關鍵漏洞。當時尚不明確,該補丁與美國國家安全局的網絡武器之間存在任何關聯。直到4月14日,暗影經紀人組織發布了很多已竊取工具之後,此事才顯露出端倪。 
 
安全補丁發布和漏洞攻擊工具泄露之間的時間差,引發了有關整個事件演變過程的一些猜測。總體而言,當時的實際情況如下:通過Windows更新程序,發布永恒之藍安全漏洞補丁的同時,該工具本身也現身網絡。
 
打補丁和漏洞攻擊之間的時間競賽隨即展開。自那以後,永恒之藍之所以泛濫成災、被越來越多地利用,也絕非巧合。
 
 
 
 
5月12日,永恒之藍成為已提到大規模染毒事件的主角。網絡罪犯已掌握了所有必要工具:從四月初就開始在網上活躍的勒索病毒WannaCryptor(也稱為WannaCry),以及漏洞攻擊工具永恒之藍。
 
 
 
 
 
即使如此,家庭用戶尤其是公司企業本可以通過多種渠道,擺脫這一勒索病毒的感染。首先,早在兩個月之前,永恒之藍補丁就已公開發布。
 
雖然該補丁與防範勒索病毒的加密機制無關,但它能夠阻止主機不被同一網絡中的另一臺已染毒主機所感染。此外,主機上安裝的主動防禦軟件,例如漏洞攔截工具或(及時更新的)防毒軟件套裝都能夠防止系統染毒,並在惡意軟件攻陷網絡防禦層之後,成功攔截攻擊。
 
其次,針對連網主機進出站數據采取一定程度控制措施,也大有裨益。許多公司都要求員工下班時關閉電腦,害怕遭遇網絡攻擊。但如果能夠將連網主機隔離開來並提高病毒查殺能力,此類極端做法便可以成為過去式。
 
未來演變趨勢如何?
 
周五晚間,有關勒索病毒中含有啟動開關的新聞見諸報道@MalwareTech留意到,惡意程序會首先發出一條HTTP請求,並在連接失敗後轉入加密操作。
 
由於網域原先並未註冊,所有請求都會失敗,繼而啟動勒索軟件加密文件的進程。但在註冊所請求的網域後,@MalwareTech便可以將連接請求轉向應答服務器,從而阻止勒索病毒(首個變種)傳播。
 
不久後,其他變種也相繼面世。最先出來的幾個版本,通過(利用HEXEdit等一類工具)覆蓋第一版中的二進制數據,對原網域進行了修改。之後,不含啟動開關的版本也被發布了出來。
 
迄今為止,此次攻擊所獲收入剛剛超過50,000美元,與它所造成的損失相比不值一提。但它再一次表明,利用漏洞發起攻擊(不一定是零日攻擊)對公司企業的正常經營可能造成巨大影響。
 
 
 
網絡罪犯的此類快速反應表明,與惡意軟件作鬥爭絕非是一項輕而易舉的任務。他們下手快、適應性強,此次成功得手後,我們預計網絡罪犯將如法炮制更多工具和攻擊方式,因此我們每個人都應當做好應對更多攻擊的準備,尤其是在不遠的未來。
 
長期來看,我們很可能將目睹更多蠕蟲類惡意程序現身,而在短期內,還將遭遇各類變種利用永恒之藍發起漏洞攻擊的密集攻勢。因此,務必打上系統補丁!
 
我的系統是否已打上永恒之藍防護補丁?
 
這次勒索病毒大爆發之余,我不禁自問,自己的電腦是否打上了永恒之藍防護補丁 – 請記住,不遠的將來,或可出現利用永恒之藍發起攻擊的其他類型惡意程序及其家族。
 
用於本機驗證目的:我編寫了一個簡單腳本,能夠提取系統中已安裝補丁列表,搜索針對永恒之藍的相關防護補丁。
 
 
該腳本已通過GitHub發布,使用非常簡單:只需執行腳本,等待一分鐘左右時間,待腳本調用WMCI提取已安裝補丁列表後,最終便可看到永恒之藍補丁是否已經安裝。
 
用於遠程驗證目的:用以檢測主機是否易受永恒之藍漏洞攻擊的新腳本,已被添加進nmap。如代碼所示,該腳本“試圖檢測Microsoft SMBv1服務器是否存在遠程代理執行漏洞(MS17-010)”。
 
NMAP v7.40(或更高版本)均可運行以下命令行:
nmap -sC -p445 –open –max-hostgroup 3 –script smb-vuln-ms17-010.nse X.X.X.X/X
 
最後重申,打補丁是對付永恒之藍的最佳防禦措施,因為它能夠解決相關工具所針對的漏洞根源。