比特幣勒索病毒來襲 專家稱“只要不修復(fù)就會(huì)蔓延”

來源：荊州網(wǎng)絡(luò)安全 時(shí)間：2017-05-15

5月12日晚，比特幣勒索病毒在全球爆發(fā)，在無需用戶任何操作的情況下，“永恒之藍(lán)病毒”即可掃描開放445文件共享端口的Windows機(jī)器，從而植入惡意程序。目前，病毒已經(jīng)擴(kuò)散至全球上百個(gè)國家，中國眾多高校也紛紛中招。黑客則通過鎖定電腦文件來勒索用戶交贖金，而且只收比特幣。360首席安全工程師鄭文彬提醒用戶，改病毒很有可能還會(huì)持續(xù)，用戶要及時(shí)安裝補(bǔ)丁，才能讓危害進(jìn)一步控制。阿里云專家也認(rèn)為，病毒可能蔓延，只要不修復(fù)就會(huì)蔓延。

什么是“永恒之藍(lán)”病毒

據(jù)360安全中心分析，此次校園網(wǎng)勒索病毒是由NSA泄露的“永恒之藍(lán)”黑客武器傳播的?！坝篮阒{(lán)”可遠(yuǎn)程攻擊Windows的445端口(文件共享)，如果系統(tǒng)沒有安裝今年3月的微軟補(bǔ)丁，無需用戶任何操作，只要開機(jī)上網(wǎng)，“永恒之藍(lán)”就能在電腦里執(zhí)行任意代碼，植入勒索病毒等惡意程序。

360針對(duì)校園網(wǎng)勒索病毒事件的監(jiān)測(cè)數(shù)據(jù)顯示，國內(nèi)首先出現(xiàn)的是ONION病毒，平均每小時(shí)攻擊約200次，夜間高峰期達(dá)到每小時(shí)1000多次;WNCRY勒索病毒則是5月12日下午新出現(xiàn)的全球性攻擊，并在中國的校園網(wǎng)迅速擴(kuò)散，夜間高峰期每小時(shí)攻擊約4000次。

目前，“永恒之藍(lán)”傳播的勒索病毒以O(shè)NION和WNCRY兩個(gè)家族為主，受害機(jī)器的磁盤文件會(huì)被篡改為相應(yīng)的后綴，圖片、文檔、視頻、壓縮包等各類資料都無法正常打開，只有支付贖金才能解密恢復(fù)。這兩類勒索病毒，勒索金額分別是5個(gè)比特幣和300美元，折合人民幣分別為5萬多元和2000多元。

由于國內(nèi)曾多次出現(xiàn)利用445端口傳播的蠕蟲病毒，部分運(yùn)營商對(duì)個(gè)人用戶封掉了445端口。但是教育網(wǎng)并無此限制，存在大量暴露著445端口的機(jī)器，因此成為不法分子使用NSA黑客武器攻擊的重災(zāi)區(qū)。正值高校畢業(yè)季，勒索病毒已造成一些應(yīng)屆畢業(yè)生的論文被加密篡改，直接影響到畢業(yè)答辯。

安全專家發(fā)現(xiàn)，ONION勒索病毒還會(huì)與挖礦機(jī)(運(yùn)算生成虛擬貨幣)、遠(yuǎn)控木馬組團(tuán)傳播，形成一個(gè)集合挖礦、遠(yuǎn)控、勒索多種惡意行為的木馬病毒“大禮包”，專門選擇高性能服務(wù)器挖礦牟利，對(duì)普通電腦則會(huì)加密文件敲詐錢財(cái)，最大化地壓榨受害機(jī)器的經(jīng)濟(jì)價(jià)值。

專家稱因NSA泄露的系統(tǒng)漏洞引起

這次全球比特幣勒索病毒，有別于過往透過釣魚郵件感染的方式，不少受害者在網(wǎng)上回復(fù)指在正常使用電腦的情況下突然彈出相關(guān)勒索界面。

阿里云安全專家分析，此次全球比特幣勒索病毒是由NSA泄露的Windows系統(tǒng)SMB/RDP遠(yuǎn)程命令執(zhí)行漏洞引起。利用該漏洞，黑客可遠(yuǎn)程實(shí)現(xiàn)攻擊Windows的445端口(文件共享)。如果系統(tǒng)沒有安裝今年3月的微軟補(bǔ)丁，無需用戶任何操作，只要開機(jī)上網(wǎng)，黑客即可在電腦里執(zhí)行任意代碼，植入勒索病毒等惡意程序。

考慮到Windows系統(tǒng)SMB/RDP遠(yuǎn)程命令執(zhí)行漏洞的危險(xiǎn)性，國內(nèi)外不少云服務(wù)廠商都在4月封掉了445端口。但全球不少個(gè)人電腦、IDC物理機(jī)房仍存在大量暴露著445端口的機(jī)器，這給了黑客可乘之機(jī)。

內(nèi)網(wǎng)未劃分安全區(qū)域加速病毒傳播

阿里云安全專家分析，此次勒索事件在校園網(wǎng)傳播速度之快，影響面之大主要原因是當(dāng)前大部分學(xué)?；臼且粋€(gè)大的內(nèi)網(wǎng)互通的局域網(wǎng)，不同的業(yè)務(wù)未劃分安全區(qū)域。例如：學(xué)生管理系統(tǒng)、教務(wù)系統(tǒng)等都可以通過任何一臺(tái)連入的設(shè)備訪問，同時(shí)，實(shí)驗(yàn)室、多媒體教室、機(jī)器IP分配多為公網(wǎng)IP，如果學(xué)校未做相關(guān)的權(quán)限限制，所有機(jī)器直接暴露在外面。

事實(shí)上，被攻擊的并不止中國的校園網(wǎng)。BBC發(fā)布消息稱，目前全球范圍內(nèi)有大量的機(jī)構(gòu)報(bào)告，受到了“勒索”軟件的攻擊，這些機(jī)構(gòu)分別在美國、英國、中國、俄羅斯、西班牙、意大利、越南等地。

據(jù)CNN報(bào)道，英國25家醫(yī)院周五也因“大規(guī)?！钡暮诳凸舳c瘓。手術(shù)被取消，救護(hù)車被迫轉(zhuǎn)向其他醫(yī)院。

安全公司呼吁用戶加強(qiáng)安全防護(hù)

針對(duì)NSA黑客武器利用的Windows系統(tǒng)漏洞，微軟在今年3月已發(fā)布補(bǔ)丁修復(fù)。此前，阿里云第一時(shí)間發(fā)布預(yù)警，并推出一鍵檢測(cè)修復(fù)NSA黑客武器攻擊漏洞的工具。

目前，阿里云默認(rèn)為ECS(云服務(wù)器，Elastic Compute Service, 簡(jiǎn)稱ECS))用戶關(guān)閉455端口，且默認(rèn)安裝Windows官方補(bǔ)丁。阿里云建議，所有在IDC(互聯(lián)網(wǎng)內(nèi)容提供商)托管或自建機(jī)房有服務(wù)器的企業(yè)，如果采用了Windows操作系統(tǒng)，立即安裝微軟補(bǔ)丁。

安全補(bǔ)丁對(duì)個(gè)人用戶來說相對(duì)簡(jiǎn)單。只需自學(xué)裝載，就能完成止血。但是對(duì)大型企業(yè)或者組織機(jī)構(gòu)而言，面對(duì)成百上千臺(tái)機(jī)器，最好還是能使用客戶端進(jìn)行集中管理。比如，阿里云的安騎士就提供實(shí)時(shí)預(yù)警、防御、一鍵修復(fù)等功能。

可靠的數(shù)據(jù)備份可以將勒索軟件帶來的損失最小化。湖北國聯(lián)荊州網(wǎng)絡(luò)安全小組建議啟用阿里云快照功能對(duì)數(shù)據(jù)鏡像備份，并同時(shí)做好安全防護(hù)，避免被感染和損壞。