勒索蠕蟲病毒是什么傳播方式有哪些

2023-02-24 來源：互聯網

2017年5月12日起，全球范圍內爆發了基于Windows網絡共享協議進行攻擊傳播的蠕蟲惡意代碼——永恒之藍勒索蠕蟲病毒。五個小時內，包括美國、俄羅斯以及整個歐洲在內的100多個國家，及國內的高校內網、大型企業內網和政府機構專網中招，被勒索支付高額贖金才能解密恢復文件，對重要數據造成嚴重損失。那么永恒之藍勒索蠕蟲病毒到底是什么?開發者是誰?它又怎么傳播的呢?下面小編就帶大家一起來詳細了解下吧。

勒索蠕蟲病毒詳細介紹

這次的“永恒之藍”勒索蠕蟲，是NSA網絡軍火民用化的全球第一例。一個月前，第四批NSA相關網絡攻擊工具及文檔被Shadow Brokers組織公布，包含了涉及多個Windows系統服務(SMB、RDP、IIS)的遠程命令執行工具，其中就包括“永恒之藍”攻擊程序。

在之前就已經爆發的多次利用445端口進行蠕蟲攻擊的事件中，部分運營商在主干網絡上已經封禁了445端口，但是教育網以及大量企業內網并沒有此限制，而且并未及時安裝補丁，仍然存在大量暴露445端口且存在漏洞的電腦，導致了這次“永恒之藍”勒索蠕蟲的泛濫。

(相關資料圖)

資深安全專家表示，“隔離不等于安全，高校以及企業隔離的專網本身就是一個小規模的互聯網，需要當作互聯網來建設。”針對此次安全事件，強烈建議企業安全管理員在網絡邊界的防火墻上阻斷445端口的訪問，并升級設備的檢測規則到最新版本，同時設置相應漏洞攻擊的阻斷，直到確認網絡內的電腦已經安裝了微軟MS17-010補丁或關閉了Server服務。

而通過此次“永恒之藍”勒索蠕蟲事件我們發現，目前在國內一些大型企業客戶的IT系統中，存在著防火墻品牌不一致的問題，這就導致安全事件爆發時防火墻無法實現安全策略的集中下發，直接影響到了企業對安全事件的應急響應速度。

勒索蠕蟲病毒的真面目

5月12日開始散播勒索蠕蟲病毒，從發現到大面積傳播，僅僅用了幾個小時，其中高校成為了重災區。那么，這款病毒是一個什么樣的病毒，如何傳播，何以造成如此嚴重的后果呢?

這款勒索蠕蟲病毒是針對微軟的永恒之藍的漏洞進行傳播和攻擊的。一旦電腦感染該病毒，被感染電腦會主動對局域網內的其他電腦進行隨機攻擊，局域網內沒有修補漏洞的電腦理論上將無一幸免的感染該病毒。而該漏洞微軟在今年3月份已經發布補丁，對漏洞進行了修復。

網絡安全專家孫曉駿說這個病毒利用了一個漏洞，但是我們用戶沒有打補丁的習慣，沒有及時修復這次漏洞，這個病毒樣本通過漏洞攻擊了非常多的電腦。

根據網絡安全公司數據統計，截止5月13日晚8點，我國共有39730家機構被感染，其中教育科研機構有4341家，高校成為了這次蠕蟲病毒的重災區。

這次病毒利用了445的一個重要的端口。校園網因為ip直連的情況，導致沒有一個nat和防火墻來阻斷對445端口的訪問所以在校園網沒有打補丁的機器就直接暴露在病毒之下了。

因為電腦蠕蟲病毒有主動攻擊的特性，所以每一次蠕蟲病毒的傳播范圍都很廣。然而在5月12號爆發的蠕蟲病毒與以往不同，它入侵電腦后會加密電腦中圖片、文檔、視頻、壓縮包等各類資料，并跳出彈窗，被告之只有交了贖金，才能解密電腦中被加密的資料。

被感染蠕蟲病毒后，不到十秒，電腦里的所有用戶文件全部被加密無法打開。網絡安全專家介紹，用戶電腦一旦被感染這種勒索病毒，被加密的文件目前還沒有找到有效的辦法可以解鎖。而專家并不建議用戶支付贖金取得解鎖。

加密的文件會根據病毒指引去付贖金獲得密鑰，但是根據目前的研究看成功的幾率非常低，整個互聯網安全界在積極的探索有沒有辦法解開這個密鑰。因為它用的是高強度非對稱加密的算法，這個密鑰空間非常大，就算用暴力破解也需要非常長的時間，目前來看是不可接受的。

針對已經被感染病毒的用戶，專家建議首先使用安全軟件查殺蠕蟲病毒，并保留被加密的文件，待日后網絡安全公司找到有效方法后再進行解鎖。

勒索病毒是怎么傳播的

該類型病毒的目標性強，主要以郵件為傳播方式。

勒索病毒文件一旦被用戶點擊打開，會利用連接至黑客的C&C服務器，進而上傳本機信息并下載加密公鑰和私鑰。然后，將加密公鑰私鑰寫入到注冊表中，遍歷本地所有磁盤中的Office 文檔、圖片等文件，對這些文件進行格式篡改和加密;加密完成后，還會在桌面等明顯位置生成勒索提示文件，指導用戶去繳納贖金。

勒索病毒文件一旦進入本地，就會自動運行，同時刪除勒索軟件樣本，以躲避查殺和分析。接下來，勒索病毒利用本地的互聯網訪問權限連接至黑客的C&C服務器，進而上傳本機信息并下載加密私鑰與公鑰，利用私鑰和公鑰對文件進行加密。除了病毒開發者本人，其他人是幾乎不可能解密。加密完成后，還會修改壁紙，在桌面等明顯位置生成勒索提示文件，指導用戶去繳納贖金。且變種類型非常快，對常規的殺毒軟件都具有免疫性。攻擊的樣本以exe、js、wsf、vbe等類型為主，對常規依靠特征檢測的安全產品是一個極大的挑戰。

勒索病毒一般會攻擊任何人，但一部分針對企業用戶(如xtbl，wallet)，一部分針對所有用戶。

永恒之藍勒索蠕蟲病毒的危害

中新網北京5月13日消息，今日全國多地的中石油加油站加油無法進行網絡支付，只能進行現金支付。中石油有關負責人表示，懷疑受到病毒攻擊，具體情況還在核查處置中。

據媒體報道，5月13日，全國多地包括北京、上海、重慶、成都等多城的部分中石油旗下加油站在今日0點左右突然斷網，而因斷網目前無法使用支付寶、微信等聯網支付方式，只能使用現金。

中石油有關負責人表示，目前公司加油站的加油業務和現金支付業務正常運行，但是第三方支付無法使用，懷疑受到病毒攻擊，具體情況還在核查處置中。

永恒之藍勒索蠕蟲病毒爆發，國內高校成為重災區，360安全監測與響應中心對此事的風險評級為“危急”。

高校是永恒之藍的重災區，當你某一天，高高興興的把電腦打開的時候，感覺都正常，但是用著用著電腦突然就卡了，再過幾秒鐘，桌面背景就變了，彈出一個提示框來，說你的文件都被加密了，讓你交錢。然后你再看你的文件，真的都被加密了。

勒索病毒開發者是誰

近日，一則勒索病毒出變種新聞引關注。如今網絡黑客商業化已經非常成熟了，造槍(制造)、賣槍(販賣)、拿箱子(購買實施者)、掛馬(傳播)、分銷、變現，“一條龍”下環環相扣，每天在全球黑產網絡中流轉的交易額數以億元計算。

國內遭勒索病毒襲擊的重災區是校園網，相比之下，英國遭到攻擊的醫院已經陷入了一片混亂。據英國鏡報等報道，受病毒影響的40家醫院所有IT系統、電話系統、患者管理系統等目前通通暫停。這意味著所有系統都處于離線狀態，醫院根本無法接聽來電。候診的急癥病人會根據醫生的安排，轉移到其他地方，且至少一家醫院被迫關閉。

報道稱，目前已經發生了超過45000次攻擊，主要發生在俄羅斯，已經至少有10筆每筆額度300美元左右的贖金被打到黑客提供的比特幣賬戶。

360安全中心分析，此次校園網勒索病毒是由NSA泄漏的“永恒之藍”黑客武器傳播的。“永恒之藍”可遠程攻擊Windows的445端口(文件共享)，如果系統沒有安裝今年3月的微軟補丁，無需用戶任何操作，只要開機上網，不法分子就能在電腦和服務器中植入勒索軟件、遠程控制木馬、虛擬貨幣挖礦機等惡意程序。

由于國內曾多次出現利用445端口傳播的蠕蟲病毒，部分運營商對個人用戶封掉了445端口。但是教育網并無此限制，存在大量暴露著445端口的機器，因此成為不法分子使用NSA黑客武器攻擊的重災區。

360針對校園網勒索病毒事件的監測數據顯示，國內首先出現的是ONION病毒，平均每小時攻擊約200次，夜間高峰期達到每小時1000多次;WNCRY勒索病毒則是5月12日下午新出現的全球性攻擊，并在中國的校園網迅速擴散，夜間高峰期每小時攻擊約4000次。

至此，幕后開發者還未找到，攻擊還在持續中......