wncryt病毒大爆发

Posted 2020-09-18

北京时间2017年5月12日20时左右，全球爆发大规模勒索软件感染事件，我国大量行业企业内网大规模感染，教育网受损严重，攻击造成了教学系统瘫痪，甚至包括校园一卡通系统。 

 

 

据BBC报道，今天全球很多地方爆发一种软件勒索病毒，只有缴纳高额赎金（有的要比特币）才能解密资料和数据，英国多家医院中招，病人资料威胁外泄，同时俄罗斯，意大利，整个欧洲，包括中国很多高校…… 
该勒索软件是一个名称为“wannacry”的新家族，目前无法解密该勒索软件加密的文件。该勒索软件迅速感染全球大量主机的原因是利用了基于445端口传播扩散的SMB漏洞MS17-101，微软在今年3月份发布了该漏洞的补丁。2017年4月14日黑客组织Shadow Brokers（影子经纪人）公布的Equation Group（方程式组织）使用的“网络军火”中包含了该漏洞的利用程序，而该勒索软件的攻击者或攻击组织在借鉴了该“网络军火”后进行了些次全球性的大规模攻击事件。 

安天依托对“勒索软件”的分析和预判，不仅能够有效检测防御目前“勒索软件”的样本和破坏机理，还对后续“勒索软件”可能使用的技巧进行了布防。安天智甲终端防御系统完全可以阻止此次勒索软件新家族“wannacry”加密用户磁盘文件。
事件分析
该勒索软件是一个名称为“wannacry”的新家族，目前无法解密该勒索软件加密的文件。该勒索软件迅速感染全球大量主机的原因是利用了基于445端口传播扩散的SMB漏洞MS17-101，微软在今年3月份发布了该漏洞的补丁。2017年4月14日黑客组织Shadow Brokers（影子经纪人）公布的Equation Group（方程式组织）使用的“网络军火”中包含了该漏洞的利用程序，而该勒索软件的攻击者或攻击组织在借鉴了该“网络军火”后进行了些次全球性的大规模攻击事件。
当系统被该勒索软件入侵后，弹出勒索对话框：

加密系统中的照片、图片、文档、压缩包、音频、视频、可执行程序等几乎所有类型的文件，被加密的文件后缀名被统一修改为“.WNCRY”。

攻击者极其嚣张，号称“除攻击者外，就算老天爷来了也不能恢复这些文档” （该勒索软件提供免费解密数个加密文件以证明攻击者可以解密加密文件，“点击 <Decrypt> 按钮，就可以免费恢复一些文档。”该勒索软件作者在界面中发布的声明表示，“3天内付款正常，三天后翻倍，一周后不提供恢复”。）

 

该勒索软件会将自身复制到每个文件夹下，并重命名为“@[email protected]”。并衍生大量语言配置等文件： 
c:\\Users\\gxb\\Desktop\\@[email protected]
c:\\Users\\gxb\\Desktop\\@[email protected]
c:\\Users\\gxb\\Desktop\\@[email protected]
c:\\Users\\gxb\\Desktop\\b.wnry
c:\\Users\\gxb\\Desktop\\c.wnry
c:\\Users\\gxb\\Desktop\\f.wnryc:\\Users\\gxb\\Desktop\\msg\\m_bulgarian.wnry
c:\\Users\\gxb\\Desktop\\msg\\m_chinese (simplified).wnry
c:\\Users\\gxb\\Desktop\\msg\\m_chinese (traditional).wnry
c:\\Users\\gxb\\Desktop\\msg\\m_croatian.wnry
c:\\Users\\gxb\\Desktop\\msg\\m_czech.wnry
c:\\Users\\gxb\\Desktop\\msg\\m_danish.wnry
c:\\Users\\gxb\\Desktop\\msg\\m_dutch.wnry
c:\\Users\\gxb\\Desktop\\msg\\m_english.wnry
c:\\Users\\gxb\\Desktop\\msg\\m_filipino.wnry
c:\\Users\\gxb\\Desktop\\msg\\m_finnish.wnry
c:\\Users\\gxb\\Desktop\\msg\\m_french.wnry
c:\\Users\\gxb\\Desktop\\msg\\m_german.wnry
c:\\Users\\gxb\\Desktop\\msg\\m_greek.wnry
c:\\Users\\gxb\\Desktop\\msg\\m_indonesian.wnry
c:\\Users\\gxb\\Desktop\\msg\\m_italian.wnry
c:\\Users\\gxb\\Desktop\\msg\\m_japanese.wnry
c:\\Users\\gxb\\Desktop\\msg\\m_korean.wnry
c:\\Users\\gxb\\Desktop\\msg\\m_latvian.wnry
c:\\Users\\gxb\\Desktop\\msg\\m_norwegian.wnry
c:\\Users\\gxb\\Desktop\\msg\\m_polish.wnry
c:\\Users\\gxb\\Desktop\\msg\\m_portuguese.wnry
c:\\Users\\gxb\\Desktop\\msg\\m_romanian.wnry
c:\\Users\\gxb\\Desktop\\msg\\m_russian.wnry
c:\\Users\\gxb\\Desktop\\msg\\m_slovak.wnry
c:\\Users\\gxb\\Desktop\\msg\\m_spanish.wnry
c:\\Users\\gxb\\Desktop\\msg\\m_swedish.wnry
c:\\Users\\gxb\\Desktop\\msg\\m_turkish.wnry
c:\\Users\\gxb\\Desktop\\msg\\m_vietnamese.wnry
c:\\Users\\gxb\\Desktop\\r.wnry
c:\\Users\\gxb\\Desktop\\s.wnry
c:\\Users\\gxb\\Desktop\\t.wnry
c:\\Users\\gxb\\Desktop\\taskdl.exe
c:\\Users\\gxb\\Desktop\\taskse.exe
该勒索软件AES和RSA加密算法，加密的文件以“WANACRY!”开头：
加密如下后缀名的文件：
.PNG.PGD.PSPIMAGE.TGA.THM.TIF.TIFF.YUV.AI.EPS.PS.SVG.INDD.PCT.PDF.XLR.XLS.XLSX.ACCDB.DB.DBF.MDB.PDB.SQL.APK.APP.BAT.CGI.COM.EXE.GADGET.JAR.PIF.WSF.DEM.GAM.NES.ROM.SAV.CAD.DWG.DXF.GPX.KML.KMZ.ASP.ASPX.CER.CFM.CSR.CSS.HTM.html.JS.JSP.php.RSS.XHTML.DOC.DOCX.LOG.MSG.ODT.PAGES.RTF.TEX.TXT.WPD.WPS.CSV.DAT.GED.KEY.KEYCHAIN.PPS.PPT.PPTX.INI.PRF.HQX.MIM.UUE.7Z.CBR.DEB.GZ.PKG.RAR.RPM.SITX.TAR.GZ.ZIP.ZIPX.BIN.CUE.DMG.ISO.MDF.TOAST.VCD.TAR.TAX2014.TAX2015.VCF.XML.AIF.IFF.M3U.M4A.MID.MP3.MPA.WAV.WMA.3G2.3GP.ASF.AVI.FLV.M4V.MOV.MP4.MPG.RM.SRT.SWF.VOB.WMV.3DM.3DS.MAX.OBJ.BMP.DDS.GIF.JPG.CRX.PLUGIN.FNT.FOX.OTF.TTF.CAB.CPL.CUR.DESKTHEMEPACK.DLL.DMP.DRV.ICNS.ICO.LNK.SYS.CFG 

目前我们提供此病毒的临时购买密钥解密方法，不推荐交赎金。除非得以数据重要的可以联系我们。

扣扣：2902716957