勒索病毒變種WannaSister免疫軟件，針對(duì)勒索病毒已經(jīng)找到了有效的防御方法，而且周一開(kāi)始病毒傳播已在減弱，用戶只要掌握正確的方法就可以避免，廣大網(wǎng)友不必太驚慌，關(guān)注騰訊反病毒實(shí)驗(yàn)室和騰訊電腦管家的研究和防御方案，也呼吁行業(yè)理性應(yīng)對(duì)。
勒索病毒W(wǎng)annaSister簡(jiǎn)介
從5月13日開(kāi)始在全球蔓延的勒索病毒近日出現(xiàn)了新的變種。騰訊安全反病毒實(shí)驗(yàn)室5月16日表示，他們觀測(cè)發(fā)現(xiàn)部分勒索病毒樣本已經(jīng)從“想哭WannaCry”變成了“想妹妹(WannaSister)”。
席卷全球的WannaCry勒索病毒，已經(jīng)擴(kuò)散至100多個(gè)國(guó)家和地區(qū)，包括醫(yī)院、教育機(jī)構(gòu)、政府部門(mén)在內(nèi)的多類(lèi)機(jī)構(gòu)遭到攻擊。勒索病毒結(jié)合蠕蟲(chóng)的方式進(jìn)行傳播，是此次攻擊事件大規(guī)模爆發(fā)的重要原因。
截至5月15日，已經(jīng)有近4萬(wàn)美元的贖金被支付，與全球中毒用戶規(guī)模來(lái)看，這僅僅是非常小的一個(gè)支付比例。
騰訊反病毒實(shí)驗(yàn)室初步判斷，WannaCry病毒在爆發(fā)之前已經(jīng)存在于互聯(lián)網(wǎng)中，并且病毒目前仍然在進(jìn)行變種。在監(jiān)控到的樣本中，發(fā)現(xiàn)疑似黑客的開(kāi)發(fā)路徑，有的樣本名稱(chēng)已經(jīng)變?yōu)椤癢annaSister.exe”，從“想哭(WannaCry)”變成“想妹妹(WannaSister)”。
最新資訊
首先給你兩個(gè)結(jié)論定定心：
1.發(fā)現(xiàn)者騰訊反病毒實(shí)驗(yàn)室告訴雷鋒網(wǎng)：“不得不承認(rèn)此次WannaCry勒索病毒影響席卷全球，短期內(nèi)被瞬間引爆，但實(shí)際破壞性還不算大，我們的研究和輸出希望幫助大家理性了解并面對(duì)，并不希望被放大和恐慌。此次我們認(rèn)為這次勒索病毒的作惡手法沒(méi)有顯著變化，只是這次與微軟漏洞結(jié)合。”
2.針對(duì)勒索病毒已經(jīng)找到了有效的防御方法，而且周一開(kāi)始病毒傳播已在減弱，用戶只要掌握正確的方法就可以避免，廣大網(wǎng)友不必太驚慌，關(guān)注騰訊安全聯(lián)合實(shí)驗(yàn)室和騰訊電腦管家的研究和防御方案，也呼吁行業(yè)理性應(yīng)對(duì)，我們也會(huì)繼續(xù)追蹤病毒演變。
簡(jiǎn)單而言，就是：第一，“想妹妹”利用的依然是“想哭”利用的微軟漏洞，第二，如果你挺過(guò)了“想哭”然后成功打了補(bǔ)丁，關(guān)閉了端口，并采取了一些預(yù)防措施，“想妹妹”基本不會(huì)搞哭你。
那沒(méi)有挺過(guò)“想哭”勒索蠕蟲(chóng)的用戶又不長(zhǎng)記性、不做措施呢？也許，雷鋒網(wǎng)猜測(cè)，“想妹妹”會(huì)繼續(xù)搞哭你？
看到這里不要以為就可以點(diǎn)右上角的“叉叉”了，作為一個(gè)求知欲旺盛的讀者，你或許可以了解一下，“想妹妹”采取了哪些對(duì)抗升級(jí)手段？還有，“想哥哥”“想爸爸”“想爺爺”……這個(gè)想念全世界的勒索蠕蟲(chóng)究竟可以頑強(qiáng)到哪種程度，它來(lái)了一輪又一輪的幾率有多大？
WannaCry勒索病毒時(shí)間軸
傳播方式
根據(jù)目前我們掌握的信息，病毒在12日大規(guī)模爆發(fā)之前，很有可能就已經(jīng)通過(guò)掛馬的方式在網(wǎng)絡(luò)中進(jìn)行傳播。在一個(gè)來(lái)自巴西被掛馬的網(wǎng)站上可以下載到一個(gè)混淆的html文件，html會(huì)去下載一個(gè)前綴為task的exe文件，而諸多信息表明，此文件很有可能與12號(hào)爆發(fā)的WannaCry勒索病毒有著緊密關(guān)系。
根據(jù)騰訊反病毒實(shí)驗(yàn)室威脅情報(bào)數(shù)據(jù)庫(kù)中查詢得知，此文件第一次出現(xiàn)的時(shí)間是2017年5月9號(hào)。WannaCry的傳播方式，最早很可能是通過(guò)掛馬的方式進(jìn)行傳播。12號(hào)爆發(fā)的原因，正是因?yàn)楹诳透鼡Q了傳播的武器庫(kù)，挑選了泄露的MS17-010漏洞，才造成這次大規(guī)模的爆發(fā)。當(dāng)有其他更具殺傷力的武器時(shí)，黑客也一定會(huì)第一時(shí)間利用。
對(duì)抗手段
當(dāng)傳播方式鳥(niǎo)槍換大炮后，黑客也在炮彈上開(kāi)始下功夫。在騰訊反病毒實(shí)驗(yàn)室已獲取的樣本中找到一個(gè)名為WannaSister的樣本，而這個(gè)樣本應(yīng)該是病毒作者持續(xù)更新，用來(lái)逃避殺毒軟件查殺的對(duì)抗手段。
此樣本首次出現(xiàn)在13號(hào)，這說(shuō)明自從病毒爆發(fā)后，作者也在持續(xù)更新，正在想辦法讓大家從“WannaCry想哭”更新到“WannaSister想妹妹”。就目前掌握的信息，自12號(hào)病毒爆發(fā)以后，病毒樣本出現(xiàn)了至少4種方式來(lái)對(duì)抗安全軟件的查殺，這也再次印證了WannaCry還在一直演化。
在分析的過(guò)程中，我們發(fā)現(xiàn)已經(jīng)有樣本在原有病毒的基礎(chǔ)上進(jìn)行了加殼的處理，以此來(lái)對(duì)抗靜態(tài)引擎的查殺，而這個(gè)樣本最早出現(xiàn)在12號(hào)的半夜11點(diǎn)左右，可見(jiàn)病毒作者在12號(hào)病毒爆發(fā)后的當(dāng)天，就已經(jīng)開(kāi)始著手進(jìn)行免殺對(duì)抗。下圖為殼的信息。
通過(guò)加殼后，分析人員無(wú)法直接看到有效的字符串信息，這種方式可以對(duì)抗殺毒軟件靜態(tài)字符串查殺。
通過(guò)使用分析軟件OD脫殼后，就可以看到WannaCry的關(guān)鍵字符串。包括c.wnry加密后的文件，wncry@2ol7解密壓縮包的密碼，及作者的3個(gè)比特幣地址等。
病毒作者并非只使用了一款加殼工具對(duì)病毒進(jìn)行加密，在其他樣本中，也發(fā)現(xiàn)作者使用了安全行業(yè)公認(rèn)的強(qiáng)殼VMP進(jìn)行加密，而這種加密方式，使被加密過(guò)的樣本更加難以分析。
偽裝
在收集到的樣本中，有一類(lèi)樣本在代碼中加入了許多正常字符串信息，在字符串信息中添加了許多圖片鏈接，并且把WannaCry病毒加密后，放在了自己的資源文件下。這樣即可以混淆病毒分析人員造成誤導(dǎo)，同時(shí)也可以躲避殺軟的查殺。下圖展示了文件中的正常圖片鏈接
當(dāng)我們打開(kāi)圖片鏈接時(shí)，可以看到一副正常的圖片。誤導(dǎo)用戶，讓用戶覺(jué)得沒(méi)有什么惡意事情發(fā)生。
但實(shí)際上病毒已經(jīng)開(kāi)始運(yùn)行，會(huì)通過(guò)啟動(dòng)傀儡進(jìn)程notepad，進(jìn)一步掩飾自己的惡意行為。
隨后解密資源文件，并將資源文件寫(xiě)入到notepad進(jìn)程中，這樣就借助傀儡進(jìn)程啟動(dòng)了惡意代碼。
在分析14號(hào)的樣本中，我們發(fā)現(xiàn)病毒作者開(kāi)始對(duì)病毒文件加數(shù)字簽名證書(shū)，用簽名證書(shū)的的方式來(lái)逃避殺毒軟件的查殺。但是簽名證書(shū)并不是有效的，這也能夠看出作者添加證書(shū)也許是臨時(shí)起意，并沒(méi)有事先準(zhǔn)備好。
我們發(fā)現(xiàn)病毒作者對(duì)同一病毒文件進(jìn)行了多次簽名，嘗試?yán)@過(guò)殺軟的方法。在騰訊反病毒實(shí)驗(yàn)室獲取的情報(bào)當(dāng)中，我們可以發(fā)現(xiàn)兩次簽名時(shí)間僅間隔9秒鐘，并且樣本的名字也只差1個(gè)字符。
病毒作者在更新的樣本中，也增加了反調(diào)試手法：
1 通過(guò)人為制造SEH異常，改變程序的執(zhí)行流程
- PC官方版
- 安卓官方手機(jī)版
- IOS官方手機(jī)版
金山毒霸青春版v15.2023.2.6.060600.1517 官方最新版
微軟電腦管家2.0 公測(cè)版
聯(lián)想電腦管家游戲定制版5.0.60.11162 官方最新版
火絨劍macOS獨(dú)立版v1.0.0.0
eset防病毒軟件(ESET Endpoint Antivirus)9.1.2051.0 企業(yè)版
Windows 11消費(fèi)者版(含家庭版/專(zhuān)業(yè)版/專(zhuān)業(yè)工作站/家庭單語(yǔ)言版)22000.51.210617簡(jiǎn)體中文版
CaptfEncoder網(wǎng)絡(luò)安全工具套件2.0.1 開(kāi)源版
win10安全中心關(guān)閉軟件(Defender Control)1.9 免費(fèi)版
電腦文件夾隱藏偽裝精靈1.0 中文免費(fèi)版
360系統(tǒng)安全防護(hù)軟件1.0.0.1 官方版
智量終端安全軟件1.29 電腦版
Open Hardware Monitor(顯示硬件使用率和溫度)
Avast Cleanup Premium18.1.5172 免費(fèi)版
系統(tǒng)修復(fù)專(zhuān)家1.02 共享版
Windows Update Blocker(系統(tǒng)禁用更新工具)1.1 中文版
入侵檢測(cè)系統(tǒng)Snortv2.9.1.1 官方版
ESET Internet Security網(wǎng)絡(luò)安全套裝11.1.54.0 最新版【64位】
電腦藍(lán)屏助手查詢工具PC版綠色免費(fèi)版
360功能大全小工具箱獨(dú)立版1.0免費(fèi)版
紅客專(zhuān)用電腦安全工具箱終結(jié)版2.9 免費(fèi)版
Adobe AIR 3.4.0.2410插件多國(guó)語(yǔ)言安裝包
騰訊電腦管家2025(qq電腦管家)16.7.24363.214 官方正式版
360安全衛(wèi)士2024電腦版14.0.1.1001 正式版
火絨安全軟件電腦版5.0.73.1 官方版
聯(lián)想電腦管家5.0.60.11162 最新版
2345安全衛(wèi)士7.3 官方最新版
金山衛(wèi)士4.7.0.4220 官網(wǎng)最新版
江民防火墻15.0 官方版
2345安全衛(wèi)士增強(qiáng)版3.9.0.10353 官方最新版
盤(pán)云系統(tǒng)管家1.0.7 官方最新版
管家急救盤(pán)1.0.1 pe版
捆綁分離工具(UnBinder)1.1綠色免費(fèi)版
superscan(端口掃描工具)4.0 中文漢化費(fèi)版
要要安全沙箱(11Safe沙箱)1.0.0.6 官方最新
易數(shù)一鍵還原2.2.0.661中文版
Windows 8.1升級(jí)助手6.3.9600.16415官方版
2017 NSA漏洞封堵工具1.0.0 綠色免費(fèi)版
SeayDzend解密工具新支持php5.2/5.3/5.4
隱身俠文件夾加密軟件4.0.1.3永久免費(fèi)版