最近几天很多人遭受了名为WannaCry(想哭,又叫Wanna Decryptor)勒索病毒的攻击,一种“蠕虫式”的勒索病毒软件,该病毒会锁定并加密电脑各种文件,用户打开会弹出索要比特币的弹窗,勒索金额300-600美元,部分用户支付赎金后也没有解密,搞得人心惶惶,而且勒索病毒又出现了变种升级版本,那么勒索病毒攻击原理是什么呢?这边番茄花园小编跟大家介绍比特币病毒原理。
一、5.12勒索病毒原理
WannaCry勒索病毒由不法分子利用NSA(National Security Agency,美国国家安全局)泄露的危险漏洞“EternalBlue”(永恒之蓝)进行传播,勒索病毒主要攻击没有更新到最新版本的windows系统设备,比如xp、vista、win7、win8等。
该恶意软件会扫描电脑上的TCP 445端口(Server Message Block/SMB),以类似于蠕虫病毒的方式传播,攻击主机并加密主机上存储的文件,然后要求以比特币的形式支付赎金。勒索金额为300至600美元。
当用户主机系统被该勒索软件入侵后,弹出勒索对话框,提示勒索目的并向用户索要比特币。而对于用户主机上的重要文件,如:照片、图片、文档、压缩包、音频、视频、可执行程序等几乎所有类型的文件,都被加密的文件后缀名被统一修改为“.WNCRY”。目前,安全业界暂未能有效破除该勒索软的恶意加密行为,用户主机一旦被勒索软件渗透,只能通过重装操作系统的方式来解除勒索行为,但用户重要数据文件不能直接恢复。
WannaCry主要利用了微软“视窗”系统的漏洞,以获得自动传播的能力,能够在数小时内感染一个系统内的全部电脑。勒索病毒被漏洞远程执行后,会从资源文件夹下释放一个压缩包,此压缩包会在内存中通过密码:WNcry@2ol7解密并释放文件。这些文件包含了后续弹出勒索框的exe,桌面背景图片的bmp,包含各国语言的勒索字体,还有辅助攻击的两个exe文件。这些文件会释放到了本地目录,并设置为隐藏。(注释:“永恒之蓝”是NSA泄露的漏洞利用工具的名称,并不是该病毒的名称。永恒之蓝”是指NSA泄露的危险漏洞“EternalBlue”,此次的勒索病毒WannaCry是利用该漏洞进行传播的,当然还可能有其他病毒也通过“永恒之蓝”这个漏洞传播,因此给系统打补丁是必须的。)
2017年5月12日,WannaCry蠕虫通过MS17-010漏洞在全球范围大爆发,感染了大量的计算机,该蠕虫感染计算机后会向计算机中植入敲诈者病毒,导致电脑大量文件被加密。受害者电脑被黑客锁定后,病毒会提示支付价值相当于300美元(约合人民币2069元)的比特币才可解锁。
2017年5月13日晚间,由一名英国研究员于无意间发现的WannaCry隐藏开关(Kill Switch)域名,意外的遏制了病毒的进一步大规模扩散,研究人员分析此次Wannacrypt勒索软件时,发现它并没有对原文件进行这样的 “深度处理”,而是直接删除。这看来算是一个比较低级的 “失策”,而360此次正是利用了勒索者的 “失策”,实现了部分文件恢复。
2017年5月14日,监测发现,WannaCry 勒索病毒出现了变种:WannaCry 2.0, 与之前版本的不同是,这个变种取消了Kill Switch,不能通过注册某个域名来关闭变种勒索病毒的传播,该变种传播速度可能会更快。请广大网民尽快升级安装Windows操作系统相关补丁,已感染病毒机器请立即断网,避免进一步传播感染。
二、勒索病毒攻击类型
常用的Office文件(扩展名为.ppt、.doc、.docx、.xlsx、.sxi)
并不常用,但是某些特定国家使用的office文件格式(.sxw、.odt、.hwp)
压缩文档和媒体文件(.zip、.rar、.tar、.mp4、.mkv)
电子邮件和邮件数据库(.eml、.msg、.ost、.pst、.deb)
数据库文件(.sql、.accdb、.mdb、.dbf、.odb、.myd)
开发者使用的源代码和项目文件(.php、.java、.cpp、.pas、.asm)
密匙和证书(.key、.pfx、.pem、.p12、.csr、.gpg、.aes)
美术设计人员、艺术家和摄影师使用的文件(.vsd、.odg、.raw、.nef、.svg、.psd)
虚拟机文件(.vmx、.vmdk、.vdi)
三、勒索病毒应对方法
如何预防Windows勒索病毒?防止感染ONION、WNCRY勒索病毒补丁下载
开机怎么防止被勒索病毒感染?360预防勒索病毒开机指南
Win7快速关闭135,137,138,139,445端口预防比特币勒索病毒的方法
电脑感染勒索病毒后通过DiskGenius恢复数据的方法
没有及时更新补丁的Windows设备极其容易遭受勒索病毒的攻击,所以为了防止电脑中招,大家务必做好必要的更新和预防工作。