九游老哥云
WannaCry勒索软件溯源剖析
2017-05-18
《WannaCry勒索软件溯源剖析》内容先容
综述
从5月12日最先，WannaCry勒索软件在天下规模内迅速撒播，造成了极大的影响，清静行业的各个公司都对此次事务开展了剖析和防护事情，九游老哥科技的手艺职员也在第一时间对样本举行剖析并出具了详细的剖析报告。
但我们不禁要问，WannaCry勒索软件是谁做的？攻击者是谁？他的目的是什么？这就需要用抵达尔文探索物种起源的最基本要领，视察、找到、比对和剖析。在上周六九游老哥科技通过威胁情报监测，截获WannaCry2.0勒索病毒两个变种，经由比照剖析，发明没有实质转变 九游老哥科技的防护步伐仍然有用。在随后的追踪历程中，我们发明2017年2月曾泛起了与3月份相似度极高的样本Wcry，外洋清静团队剖析以为，2017年2月份样本与2015年2月Lazarus APT组织的样本代码很是相似。
这个新发明，促使九游老哥科技清静团队举行了进一步研究，本文就是对2015年2月Lazarus APT组织的样本、2017年2、3月份Wcry样本与此次事务WannaCry样本的比照剖析，从剖析中可以获得一个结论，WannaCry才是Wcry的2.0版本。
WannaCry 2.0版本乌龙事务
5月12日爆发出的勒索软件WannaCry被手艺职员剖析出其中保存一个“域名开关（www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea[.]com）”即若是蠕虫在运行后能够乐成会见该域名，则程序会直接退出，加密行为也会被终止 ；反之则会继续举行撒播与加密等恶意行为。由于该域名在样本是明文状态，可以被更改，这也是后续的“2.0版本”爆发的缘故原由。在5月13日，卡巴斯基对一家外洋媒体体现“我们确定有一些样本是没有域名开关的”。
卡巴斯基揭晓的过失声明
虽然该新闻随后便被删除并且卡巴斯基的手艺职员也揭晓了新闻澄清“并没有发明没有域名开关的样本”，可是该乌龙事务已经被各人误解并且传开，有些团队把WannaCry释放出来的文件以及一连泛起的变种版本称为2.0版本。
卡巴斯基职员澄清新闻
只管2.0版本源于一个乌龙事务，可是经由更深入的剖析相识后，九游老哥科技的手艺职员确实发明早在3月份就被发明并提交的一个Wcry勒索软件样本，与5月12日爆发的勒索软件的解密组件属于同源。3月份的勒索软件样本与5月12日爆发的WannaCry样本熏染主机后释放出来的勒索软件的解密组件文件险些完全相同。
针对WannaCry继续追踪，发明2017年2月曾泛起了与3月份相似度极高的样本。
