??

[[191250]]

WannaCry的傳播腳步今晨戛然而止

今天一大早，全網(wǎng)的WannaCry蠕蟲病毒攻擊突然減弱消退了!所有這一切功勞來自于英國研究人員@malwaretech，他通過逆向發(fā)現(xiàn)WannaCry代碼中有一個特殊域名地址：

www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com

??

這就像隨機敲打出來的域名。與此同時，研究人員也發(fā)現(xiàn)，昨天之前，網(wǎng)絡(luò)上完全沒有針對這個域名的訪問流量，僅昨天一天時間，這個域名的訪問量就達(dá)到每小時1400多次。

??

不可思議的是，@malwaretech竟然發(fā)現(xiàn)，該域名是個未經(jīng)注冊域名，出于職業(yè)習(xí)慣，他打算進(jìn)行一些sinkhole攻擊，于是他果斷出手，花費了8.29英鎊就把它注冊在自己名下。注冊成功后，他發(fā)現(xiàn)這個域名可以接收到世界各國電腦系統(tǒng)的連接請求，這難道是WannaCry的C2域名嗎?隨著各路安全人員的逆向深入，發(fā)現(xiàn)該域名像是病毒制作者為防止事態(tài)失去控制，而故意留下的一個緊急停止開關(guān)，因為逆向代碼中有這樣一段程序邏輯：

??

意思是這樣的：請求這個域名，如果該域名存在，則退出;如果該域名不存在，則繼續(xù)攻擊….，GOD，該域名竟然控制著WannaCry病毒的傳播，它就是WannaCry病毒傳播的“緊急開關(guān)”(kill switch )。@malwaretech的隨手注冊，立了大功!，他在推特中說道，“在注冊這個域名之前，我完全不知道能有此效果，這完全是個意外之舉。”

最終，媒體記者通過其注冊預(yù)留的郵箱聯(lián)系到了@malwaretech。

??

其實，在該事件一發(fā)生時，身為僵尸網(wǎng)絡(luò)研究人員的@malwaretech就及時對WannaCry病毒進(jìn)行了跟蹤分析，其制作了動態(tài)分析趨勢圖被多家安全公司和媒體采用報道。

我國繼續(xù)呈高危感染態(tài)勢

雖然WannaCry蠕蟲傳播被臨時“制止”了，但這只能阻止其通過網(wǎng)絡(luò)繼續(xù)感染傳播，并不能防止本機中毒被加密勒索。而且，從當(dāng)前情況來看，我國還在處于感染傳播嚴(yán)重階段，從malwaretech動態(tài)圖分析，我國華東多個地區(qū)內(nèi)還繼續(xù)有WannaCry感染情況。

專家預(yù)測升級版的WannaCry2.0將會繼續(xù)發(fā)起攻擊

另外，據(jù)安全人員表示，這還沒完，攻擊者可能還會發(fā)起第二波WannaCry攻擊，新一波的變異WannaCry程序?qū)⒉粫?nèi)置“緊急開關(guān)”(kill switch)了，到時這種WannaCry升級版的傳播感染態(tài)勢將不可預(yù)計。希望人們盡快利用這段時間及時修復(fù)補丁，采取相關(guān)預(yù)防措施。

卡巴斯基研究人員Costin Raiu表示：

“我敢肯定，那些沒有緊急開關(guān)(kill switch)域名的變異版本已經(jīng)在傳播了!”

Hacker House專家Matthew Hickey也透露：

“作為攻擊者來說，只需要使用十六進(jìn)制編輯器簡單更新一下程序，刪除那個所謂的緊急開關(guān)或進(jìn)行其它的功能更新，這就是一個升級版的WannaCry2.0，所以，下一波攻擊將難以避免。在未來幾周或數(shù)月內(nèi)，我們將會看到不同的WannaCry變體傳播。對于我們廣大用戶來說，請盡快升級補丁才是當(dāng)務(wù)之急!”

Hickey還表示：

“WannaCry不僅僅可以當(dāng)成蠕蟲病毒，它還可以被其它惡意軟件利用，或搭載漏洞利用Payload發(fā)起多種形式的攻擊。”