擴(kuò)展閱讀：

WannaCry有時(shí)也被稱為WCry或WanaCryptor，是一種勒索軟件惡意軟件，這意味著它會(huì)加密受害者的文件，并要求支付恢復(fù)被盜信息的費(fèi)用，通常是比特幣，贖金金額從300美元到600美元不等。

該病毒可以描述為具有蠕蟲功能的勒索軟件，因?yàn)樗軌蚶肊ternalBlue漏洞在受感染的網(wǎng)絡(luò)中傳播自身。此外，該病毒利用DoublePulsar漏洞將自身的副本上傳并執(zhí)行到新機(jī)器。

一旦WannaCry進(jìn)入目標(biāo)計(jì)算機(jī)，它就會(huì)通過檢查硬編碼的終止開關(guān)域(fferfsodp9ifjaposdfjhgosurijfaewrwergwea[.]com或iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea[.]com.)來開始惡意活動(dòng)。在一個(gè)事件中，如果找到一個(gè)，惡意軟件就會(huì)停止執(zhí)行。但是，如果未找到終止開關(guān)域，勒索軟件會(huì)加密機(jī)器上的文件，然后嘗試?yán)肧MB漏洞進(jìn)行攻擊。這樣做是為了將病毒傳播到其他隨機(jī)PC和連接到本地網(wǎng)絡(luò)中的所有PC。加密完成后，會(huì)向用戶顯示一張贖金紙條，攻擊者要求在3天的時(shí)間跨度內(nèi)支付300美元。如果受害人反抗，贖金金額將提高到600美元，并在7天內(nèi)支付。支付被定向到多個(gè)硬編碼比特幣地址。對(duì)于加密貨幣來說，典型的情況是，任何人都可以檢查他們的余額和交易歷史，但無法追蹤到這樣的賬戶的真正所有者。

WannaCry惡意軟件首次出現(xiàn)在野外，是2017年5月發(fā)生的毀滅性全球攻擊的一部分。這次攻擊利用了永恒之藍(lán)(EternalBlue)的漏洞，據(jù)傳該漏洞是由美國國家安全局(NSA)開發(fā)的，并被盟軍“影子經(jīng)紀(jì)人”(The Shadow Brokers)旗下的一個(gè)網(wǎng)絡(luò)幫派泄露。

該漏洞利用了Windows操作系統(tǒng)中的一個(gè)漏洞，雖然該公司迅速發(fā)布了修復(fù)該問題的修補(bǔ)程序，但許多沒有及時(shí)更新其計(jì)算機(jī)的個(gè)人和組織成為這次攻擊的受害者。

據(jù)一些廣泛估計(jì)，在攻擊持續(xù)的那幾天內(nèi)，全世界有20多萬臺(tái)計(jì)算機(jī)被WannaCry感染。修正了“永恒之藍(lán)(EternalBlue)”的漏洞，同時(shí)發(fā)現(xiàn)了允許停止執(zhí)行惡意軟件的“殺死開關(guān)”，這是幫助減緩這一惡意活動(dòng)的兩個(gè)主要貢獻(xiàn)。然而，到襲擊結(jié)束時(shí)，損失總額達(dá)到數(shù)十億美元，來自150多個(gè)國家的受害者受到影響。

一場(chǎng)如此規(guī)模的運(yùn)動(dòng)引發(fā)了最高級(jí)別的國際調(diào)查，目的是找出誰是此次疫情的幕后黑手。專家調(diào)查了這些贖金紙條，發(fā)現(xiàn)它們很可能是手寫的，正如語言學(xué)分析所表明的那樣，作者似乎精通中文和英語。進(jìn)一步的調(diào)查表明，作者的母語是中文，因?yàn)閮蓚€(gè)版本的贖金紙條都是用這種語言編寫的-簡(jiǎn)體版本和繁體中文版本。此外，筆記中的一些打字錯(cuò)誤使研究人員相信打字使用的是中文輸入系統(tǒng)，因?yàn)槭褂萌魏纹渌问降妮斎攵疾蝗菀追赶孪瘳F(xiàn)在這樣的錯(cuò)誤。

應(yīng)該指出的是，贖金紙條總共是用28種語言寫的，包括兩種中文變體。然而，對(duì)于這些語言中的大多數(shù)，都使用了機(jī)器翻譯。

（贖金說明）

聯(lián)邦調(diào)查局隨后發(fā)現(xiàn)，Hangul字體安裝在用于撰寫贖金通知的機(jī)器上。漢格爾是一種字母和書寫系統(tǒng)，在韓國和朝鮮都使用。對(duì)語言文件元數(shù)據(jù)的進(jìn)一步分析顯示，計(jì)算機(jī)被設(shè)置為韓國時(shí)區(qū)。

經(jīng)過對(duì)惡意軟件樣本的進(jìn)一步審查，來自谷歌、卡巴斯基實(shí)驗(yàn)室和賽門鐵克的安全研究人員得出結(jié)論，WannaCry的代碼與索尼影業(yè)(Sony Pictures)和一家孟加拉國銀行的攻擊中使用的其他惡意軟件相似。這些襲擊是由一個(gè)所謂的拉撒路集團(tuán)實(shí)施的，該組織的成員與朝鮮有聯(lián)系。

當(dāng)然，這個(gè)證據(jù)并不是決定性的，因?yàn)槠渌〗M可以簡(jiǎn)單地重復(fù)使用LazarusGroup產(chǎn)生的一些代碼。更重要的是，這種代碼的使用可能是故意的，目的是誤導(dǎo)調(diào)查人員，并將責(zé)任推到其他網(wǎng)絡(luò)罪犯身上。

然而，美國國家安全局的一份受歡迎的備忘錄以及英國國家網(wǎng)絡(luò)安全中心(NATIonal Cyber Security Centre)的調(diào)查結(jié)果也指出，朝鮮是此次攻擊的發(fā)源國。美國政府隨后正式宣布朝鮮是襲擊的發(fā)源地。

盡管WannaCry攻擊的規(guī)模確實(shí)史無前例，但與其他勒索軟件相比，其影響被認(rèn)為相對(duì)較低。如果不是發(fā)現(xiàn)了殺死開關(guān)，后果可能會(huì)更糟。此外，病毒的目標(biāo)可能是運(yùn)輸控制系統(tǒng)和核電站等高水平的基礎(chǔ)設(shè)施。如果是這樣的話，一些專家估計(jì)可能會(huì)造成超過數(shù)億美元的損失。

（WannaCry執(zhí)行的主要過程）

說到實(shí)際的惡意軟件--WannaCry是以滴管的形式出現(xiàn)的，它將各種組件作為ZIP存檔，由密碼保護(hù)。在執(zhí)行過程中，將使用硬編碼密碼解壓縮此歸檔文件，并將其放到執(zhí)行該文件的目錄中。

WannaCry Ransomware在其執(zhí)行過程中使用兩種加密方法：RSA和AES-128-CBC。為了混淆研究人員，包含在t.wnry文件中的加密場(chǎng)景實(shí)際上是以與惡意軟件用于加密受感染計(jì)算機(jī)上的數(shù)據(jù)的方式完全相同的方式加密的。使用自定義加載程序?qū)⒛K加載到內(nèi)存中，因此文件的未加密版本永遠(yuǎn)不必記錄在受害者的硬盤上。

在執(zhí)行過程開始時(shí)，惡意軟件使用RSA密鑰解壓縮t.wnry文件并對(duì)其進(jìn)行解密。然后生成一個(gè)新的RSA密鑰，并將其發(fā)送到C&C服務(wù)器，同時(shí)將公鑰的副本保存在受感染的計(jì)算機(jī)上。

這是加密過程開始的地方，病毒在受感染的機(jī)器上搜索具有受支持?jǐn)U展名的文件。然后，根據(jù)為加密選擇的每個(gè)文件創(chuàng)建一個(gè)128位AES密鑰，并使用前面創(chuàng)建的RSA密鑰進(jìn)行加密。RSA加密的AES密鑰被放置在加密文件的頭中.之后，惡意軟件使用AES密鑰加密文件中的數(shù)據(jù)。

加密是以這樣一種方式執(zhí)行的，即如果不訪問存儲(chǔ)在控制服務(wù)器中的私鑰，則幾乎不可能恢復(fù)丟失的數(shù)據(jù)。這意味著，對(duì)于受害者來說，重新獲得他們的信息的唯一途徑是滿足攻擊者提出的贖金要求。

為了持久化，WannaCry將自身寫入注冊(cè)表中的自動(dòng)運(yùn)行項(xiàng)，并創(chuàng)建幾個(gè)服務(wù)。