思科解析勒索病毒：被感染儘可能不支付贖金

新聞 05-13

勒索病毒發生後，思科Talos團隊解析了「WannaCry"勒索軟體，思科表示，犯罪分子在收到勒索贖金後，並無義務提供解密秘鑰，呼籲所有被攻擊的人員儘可能避免支付贖金，因為支付贖金的舉動無疑就是在直接資助這些惡意活動的壯大。

思科建議，確保所有Windows系統均安裝了全部補丁，並且關閉所有外部可訪問的139和445埠。

以下是文章全文：

博客作者：Martin Lee、Warren Mercer、Paul Rascagneres和Craig Williams

要點綜述

據報道稱，全球多家組織遭到了一次嚴重的勒索軟體攻擊，西班牙的Telefonica、英國的國民保健署、以及美國的FedEx等組織紛紛中招。發起這一攻擊的惡意軟體是一種名為「WannaCry」的勒索軟體變種。

該惡意軟體會掃描電腦上的TCP 445埠（Server Message Block/SMB），以類似於蠕蟲病毒的方式傳播，攻擊主機並加密主機上存儲的文件，然後要求以比特幣的形式支付贖金。

此外，Talos還注意到WannaCry樣本使用了DOUBLEPULSAR，這是一個由來已久的後門程序，通常被用於在以前被感染的系統上訪問和執行代碼。這一後門程序允許在系統上安裝和激活惡意軟體等其他軟體。它通常在惡意軟體成功利用SMB漏洞後被植入，後者已在Microsoft安全公告MS17-010中被修復。在Shadow Brokers近期向公眾開放的工具包中，一種攻擊性漏洞利用框架可利用此後門程序。自這一框架被開放以來，安全行業以及眾多地下黑客論壇已對其進行了廣泛的分析和研究。

WannaCry似乎並不僅僅是利用與這一攻擊框架相關的ETERNALBLUE（永恆之藍）模塊，它還會掃描可訪問的伺服器，檢測是否存在DOUBLEPULSAR後門程序。如果發現有主機被植入了這一後門程序，它會利用現有的後門程序功能，並使用它來通過WannaCry感染系統。如果系統此前未被感染和植入DOUBLEPULSAR，該惡意軟體將使用ETERNALBLUE嘗試利用SMB漏洞。這就造成了近期在互聯網上觀察到的大規模類似蠕蟲病毒的活動。

組織應確保運行Windows操作系統的設備均安裝了全部補丁，並在部署時遵循了最佳實踐。此外，組織還應確保關閉所有外部可訪問的主機上的SMB埠（139和445）。

請注意，針對這一威脅我們當前還處於調查階段，隨著我們獲知更多信息，或者攻擊者根據我們的行動作出響應，實際情況將可能發生變化。Talos將繼續積極監控和分析這一情況，以發現新的進展並相應採取行動。因此，我們可能會制定出新的規避辦法，或在稍後調整和/或修改現有的規避辦法。有關最新信息，請參閱您的Firepower Management Center或Snort.org。

攻擊詳細信息

我們注意到從東部標準時間早上5點（世界標準時間上午9點）前開始，網路中針對聯網主機的掃描開始急速攀升。

基礎設施分析

Cisco Umbrella研究人員在UTC時間07:24，觀察到來自WannaCry的killswitch域名（iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea[.]com）的第一個請求，此後在短短10小時後，就上升到1,400的峰值水平。

該域名組成看起來就像是人為輸入而成，大多數字元均位於鍵盤的上排和中間排。

鑒於此域名在整個惡意軟體執行中的角色，與其進行的通信可能被歸類為kill switch域名：

以上子程序會嘗試對此域名執行HTTP GET操作，如果失敗，它會繼續進行感染操作。然而，如果成功，該子程序將會結束。該域名被註冊到一個已知的sinkhole，能夠有效使這一樣本結束其惡意活動。

原始註冊信息有力證明了這一點，其註冊日期為2017年5月12日：

惡意軟體分析

初始文件mssecsvc.exe會釋放並執行tasksche.exe文件，然後檢查kill switch域名。之後它會創建mssecsvc2.0服務。該服務會使用與初次執行不同的入口點執行mssecsvc.exe文件。第二次執行會檢查被感染電腦的IP地址，並嘗試聯接到相同子網內每個IP地址的TCP 445埠。當惡意軟體成功聯接到一台電腦時，將會建立聯接並傳輸數據。我們認為這一網路流量是一種利用程序載荷。已有廣泛報道指出，這一攻擊正在利用最近被泄露的漏洞。Microsoft已在MS17-010公告中修復了此漏洞。我們當前尚未完全了解SMB流量，也未完全掌握這一攻擊會在哪些條件下使用此方法進行傳播。

tasksche.exe文件會檢查硬碟，包括映射了盤符的網路共享文件夾和可移動存儲設備，如「C:/」和「D:/」等。該惡意軟體之後會檢查具有附錄中所列後綴名的文件，然後使用2048位RSA加密演算法對其進行加密。在加密文件的過程中，該惡意軟體會生成一個新的文件目錄「Tor/」，在其中釋放tor.exe和九個供tor.exe使用的dll文件。此外，它還會釋放兩個額外的文件：taskdl.exe和taskse.exe。前者會刪除臨時文件，後者會啟動@wanadecryptor@.exe，在桌面上向最終用戶顯示勒索聲明。@wanadecryptor@.exe並不包含在勒索軟體內，其自身也並非勒索軟體，而僅僅是用來顯示勒索聲明。加密由tasksche.exe在後台完成。

@wanadecryptor@.exe會執行tor.exe文件。這一新執行的進程將會啟動到Tor節點的網路聯接，讓WannaCry能夠通過Tor網路代理髮送其流量，從而保持匿名。

與其他勒索軟體變種類似，該惡意軟體也會刪除受害人電腦上的任意卷影副本，以增加恢復難度。它通過使用WMIC.exe、vssadmin.exe和cmd.exe完成此操作。