Check Point 表示:“WannaCry 采用的勒索軟件比較新,大約是在2017年2月出現(xiàn),然而隨后產(chǎn)生變種,它的散播速度非?,歐洲及亞洲的多家機(jī)構(gòu)已經(jīng)受到?jīng)_擊,這充分顯示勒索軟件的巨大殺傷力,以及它可以很快就令重要服務(wù)停頓。機(jī)構(gòu)抗擊此等勒索軟件的最有效方法,是從一開(kāi)始就使得網(wǎng)絡(luò)系統(tǒng)不受其感染,通過(guò)掃描、阻擋、過(guò)濾等方法在可疑的文檔及內(nèi)容到達(dá)網(wǎng)絡(luò)前便把它們拒之門外。此外,機(jī)構(gòu)也要對(duì)其員工進(jìn)行有關(guān)教育工作,讓他們知道不明來(lái)歷的電郵、以及來(lái)自相熟聯(lián)系人的可疑電郵的威脅風(fēng)險(xiǎn)。”
Check Point威脅情報(bào)及研究團(tuán)隊(duì)并提醒受WannaCry 影響的用戶千萬(wàn)不要支付其索求的贖金。截止5月14日,WannaCry 勒索軟件關(guān)聯(lián)的三個(gè)比特幣賬戶已累計(jì)收到超過(guò) 33,000 美元。然則,目前尚未有任何返還文件的相關(guān)案例報(bào)道,這表明解密過(guò)程本身存在問(wèn)題。
Check Point解釋說(shuō),與在勒索軟件市場(chǎng)上的競(jìng)爭(zhēng)對(duì)手不同,WannaCry 似乎無(wú)法將付款與對(duì)應(yīng)付款人相關(guān)聯(lián)。大多數(shù)勒索軟件,例如 Cerber,會(huì)為每位受害者生成唯一的 ID 和比特幣錢包,從而知道向誰(shuí)發(fā)送密鑰。然而,WannaCry 卻只要求交付贖金,然后受害者只能空等。他們可以按下“核對(duì)付款”按鈕,但到目前為止,這也只是唯一的結(jié)果:
大多數(shù)成功的勒索軟件都有頗完善的聯(lián)系受害人功能。然而 WannaCry 同樣不在此列。聯(lián)系該惡意軟件創(chuàng)建者的唯一途徑是通過(guò)勒索信頁(yè)面的“聯(lián)系我們”,Check Point的人員曾試圖以此作出聯(lián)系,但仍未收到回復(fù)。
最后,到目前為止的研究結(jié)果讓Check Point對(duì) WannaCry 創(chuàng)建者解密文件的能力置疑。該惡意軟件包含兩個(gè)單獨(dú)的解密/加密例程,一個(gè)用于大部分受害者文件, 每個(gè)文件皆以唯一的密鑰加密。要解密這些文件,需要來(lái)自創(chuàng)建者的私有 RSA 密鑰,創(chuàng)建者應(yīng)在“。dky”文件中提供此密鑰。
第二個(gè)加密/解密例程則用于 10 個(gè)可解密文件以作為“免費(fèi)演示”,意在向受害者保證解密文件的可能性,以說(shuō)服他們支付贖金。這 10 個(gè)特定文件在加密期間隨機(jī)選擇,每個(gè)文件同樣使用唯一密鑰進(jìn)行加密。但是,這 10 個(gè)文件的私有 RSA 密鑰存儲(chǔ)在受害者的本地計(jì)算機(jī)上。如下所示:
。▓DA 主解密函數(shù))
。▓DB 演示解密函數(shù))
圖 A 所示,主解密函數(shù)試圖調(diào)用一個(gè)推測(cè)應(yīng)包含私有 RSA 密鑰的“。dky”文件,并以此解密受害者計(jì)算機(jī)上的所有文件。在圖 B 中,我們可以看到類似函數(shù),但其調(diào)用由加密程序模塊放置的“f.wnry”文件,其中包含一個(gè)演示文件列表。私有 RSA 密鑰已被硬編碼到該模塊中。兩組函數(shù)都調(diào)用模塊 import_RSA_key(圖 C)- 主解密程序含有連接至“。dky”文件的路徑(作為參數(shù)),而演示解密程序則含有空路徑。
。▓DC 兩個(gè)例程的 import_RSA_key 函數(shù))
所有這些考量因素 - 沒(méi)有任何關(guān)于找回文件的相關(guān)報(bào)告、存在問(wèn)題的支付和解密系統(tǒng),以及虛假的解密操作演示,都令人懷疑 WannaCry 開(kāi)發(fā)者履行承諾解密文件的能力。
Check Point 提供以下對(duì)抗 WannaCry 的保護(hù)措施:
- 網(wǎng)絡(luò)保護(hù) (SandBlast)
- 威脅提取和威脅仿真
- 防僵尸網(wǎng)絡(luò)/防病毒
- 終端保護(hù)(SandBlast 代理)
- 反勒索軟件
- 威脅提取和威脅仿真
- 防僵尸網(wǎng)絡(luò)/防病毒
- 反惡意軟件
lIPS 保護(hù)能夠防止來(lái)自外部和內(nèi)部分區(qū)間的感染:
- Microsoft Windows EternalBlue SMB 遠(yuǎn)程代碼執(zhí)行
- Microsoft Windows SMB 遠(yuǎn)程代碼執(zhí)行 (MS17-010:CVE-2017-0143)
- Microsoft Windows SMB 遠(yuǎn)程代碼執(zhí)行 (MS17-010:CVE-2017-0144)
- Microsoft Windows SMB 遠(yuǎn)程代碼執(zhí)行 (MS17-010:CVE-2017-0145) https://www.checkpoint.com/defense/advisories/public/2017/cpai-2017-0200.html
- Microsoft Windows SMB 遠(yuǎn)程代碼執(zhí)行 (MS17-010:CVE-2017-0146)
- Microsoft Windows SMB 信息泄露 (MS17-010:CVE-2017-0147)
- Microsoft Windows NT Null CIFS 會(huì)話
- 非兼容 CIFSo
常規(guī)保護(hù)
lWindows 電腦應(yīng)針對(duì)“Microsoft 安全公告 MS17-010 - 嚴(yán)重 Microsoft Windows SMB 服務(wù)器安全更新 (4013389)”中探討的漏洞安裝補(bǔ)丁
- 確保有可用備份且未在網(wǎng)絡(luò)上共享
- 隔離來(lái)自電子郵件網(wǎng)關(guān)的加密密碼保護(hù)附件
Check Point以色列捷邦安全軟件科技有限公司
Check Point以色列捷邦安全軟件科技有限公司(www.checkpoint.com.cn)是全球最大的專注于安全的解決方案提供商,為各界客戶提供業(yè)界領(lǐng)先的解決方案抵御惡意軟件和各種威脅。Check Point提供全方位的安全解決方案包括從企業(yè)網(wǎng)絡(luò)到移動(dòng)設(shè)備的安全保護(hù),以及最全面和可視化的安全管理方案。Check Point現(xiàn)為十多萬(wàn)不同規(guī)模的組織提供安全保護(hù)。