比特幣當贖金，WannaRen勒索病毒二度來襲

閱讀本文需 10 分鐘

爲什麼勒索病毒總是偏愛是比特幣？

原文標題：《比特幣當贖金，WannaRen 勒索病毒二度來襲！》
原文來源：程序人生（ID：coder_life）

作者：馬超責編：胡巍巍

近日網絡上出現了一種名爲 WannaRen 的新型比特幣勒索病毒，與此前的「WannaCry」病毒類似，「WannaRen」病毒入侵電腦後會加密系統中幾乎所有文件，彈出對話框如果用戶要恢復文件需支付 0.05 個比特幣的贖金。

目前 WannaRen 病毒存在兩個變體，一個通過文字，另一個通過圖片發送勒索信息。與上一代勒索病毒 WannaCry 結合永恆之藍漏洞在內網進行快速傳播的方式不同，WannaRen 勒索病毒並沒有利用 RDP、SMB 等高危漏洞進行主動擴散。因此 WannaRen 的破壞力相對比較有限，但是也不排除後續變種病毒會利用「永恆之黑」系列的漏洞進行內網滲透攻擊。根據最新的報道來看，國內某知名下載網站提供的開源編輯器 Notepad++下載鏈接中，被發現捆綁了與 WannaRen 有關聯的代碼，使得該勒索軟件可能通過國內下載站進行二次爆發。

筆者通過查看 WannaRen 病毒使用的比特幣勒索地址 1NXTgfGprVktuokv3ZLhGCPCjcKjXbswAM，查看攻擊者使用錢包，目前還並沒有收到贖金。而值得慶幸的是目前 WannaRen 的作者已經主動公佈瞭解密密鑰併發布了無毒的解密工具, 不過解密工具有效性還沒有得到證實。

WannaRen 病毒目前只有中文版本，因此筆者估計這妥妥是一款國產病毒了，WannaRen 的大規模傳播主要依靠僞造其他工具軟件欺騙下載的方式進行。

爲什麼勒索病毒總是偏愛是比特幣？

比特幣在 2017 年的大漲和 WannaCry 勒索病毒全球大爆發有着直接的關係，WannaCry 至少使 150 個國家、30 萬名用戶中招，在全球範圍內造成的了 80 億美元的損失，影響了金融、能源、醫療等衆多行業，造成嚴重的信息安全危機。在我國 WannaCry 利用內網橫向傳播的特性，使校園網首當其衝，受害嚴重，大量實驗室數據和畢業設計被鎖定加密。很多科技機構爲找回相關數據文件，只得購買比特幣以付出贖金。但是由於比特幣的區塊鏈交易容量有限，每秒鐘的交易上限不超過 10 筆，而 WannaCry 帶來的突發交易量，也被認爲是導致比特幣區塊鏈網絡分叉的誘因之一。

不過令人髮指的是即便付出贖金，用戶也沒有辦法恢復受損文件，WannaCry 也因此臭名遠揚。而且這也不是比特幣首次被黑客利用了。出現在 2013 年的 CryptoLocker 是比特幣勒索軟件的始作俑者，CryptoLocker 會僞裝成一個合法的電子郵件附件或.exe 格式文件，如果被活化，該惡意軟件就會使用 RSA 公鑰加密與 AES 祕鑰的形式，加密本地與內部網絡的特定類型文件；而私人密鑰則把持在 CryptoLocker 製作人所控制的服務器上。如果在規定期限內支付比特幣，就能夠解密這些文件，否則私人密鑰將會被銷燬，再也不能恢復受損文件。所以在這一點上 CryptoLocker 比之 WannaCry 還算盜亦有道，至少收錢就能幫助用戶恢復文件。

筆者看到網上大量的文章都稱 WannaCry、CryptoLocker 之類的勒索病毒之所以選擇比特幣，是因爲比特幣的交易是無法追蹤的，但這個說法是比較偏面的，比特幣本質是分佈式帳本，每個人都能像筆者一樣通過勒索的比特幣地址查找到其交易信息，因此比特幣是可追蹤的。

比特幣賬戶的匿名性，纔是其被黑客大量使用的原因。比特幣的出現，尤其是其匿名性，也對監管的反洗錢目標提出了新的挑戰，針對現有實名金融賬戶體系的監管方式肯定不適用於比特幣。而監管反洗錢手段的缺失也是黑客目前首選比特幣作爲贖金的最主要原因。

勒索軟件發展趨勢

病毒也開源：2015 年下半年，土耳其安全專家 Utku Sen 在 GitHub 上發佈了命名爲 Hidden Tear 的開源病毒（https://github.com/utkusen/hidden-tear）

Hidden Tear 的出現有着重要的意義，它僅有 12KB，雖然體量較小，但是麻雀雖小五臟俱全，這款軟件在傳播模塊、破壞模塊等方面的設計都非常出色。儘管作者 Utku Sen 一再強調此軟件是爲了讓人們更多地瞭解勒索軟件的工作原理，可它作爲勒索軟件的開源化，還是引發了諸多爭議。目前此項目在 Github 上已經被隱藏，不過向作者發送申請後還是可以拿到源碼的。在閱讀了 Hidden Tear 這款勒索軟件的源代碼後，筆者也是突然醒悟原來編程的思路與方法真的是別有洞天，破壞性思維和建設性思維的確是完全不同的風格。可以說 Hidden Tear 的出現，客觀上也讓勒索病毒得到了極大的發展。

病毒也搞產業化：同樣是在 2015 年一款名爲 Tox 的勒索軟件開發包正式發佈，通過註冊服務，任何人都可創建勒索軟件，Tox 管理面板會顯示感染數量、支付贖金人數以及總體收益，Tox 的創始人收取贖金的 20%。然而病毒漏洞利用工具包的流行，尤其是「The Shadow Brokers」（影子經紀人）公佈方程式黑客組織的工具後，其中的漏洞攻擊工具被黑客大肆應用，勒索病毒也藉此廣泛傳播。破壞性病毒和蠕蟲傳播的結合，不但勒索了大量錢財，更是製造影響全球的大規模破壞行動。在此階段，勒索病毒已呈現產業化持續運營的趨勢。在整個鏈條中，各環節分工明確，完整的一次勒索攻擊流程可能涉及勒索病毒作者、勒索實施者、傳播渠道商、代理，並最終獲利。

防毒小貼士

1．關閉高危端口 445：我們看到如 WannaCry 使用的永恆之藍等安全漏洞都是使用 SMB 協議的漏洞，在局域網內進行瘋狂傳播，也就是隻要病毒攻克了同一 WIFI 下的一臺機器，那麼其它電腦也將中招。而關閉 445 端口則是最有效的應對措施。

2. 推薦啓用騰訊電腦管家、騰訊御點內置的文檔守護者功能：該功能可利用磁盤冗餘空間自動備份數據，萬一遭遇勒索病毒破壞，仍有機會挽回損失。3. 及時更新補丁：運行 Windows 更新修復補丁也是一種有效的防護方式。

正所謂魔高一遲，道高一丈，據筆者觀察，在信息安全方面防守方佔優的情況，正隨着情況的發生着慢慢的變化，因此還需要業界高度重視安全方面的新動向，以防新冠病毒的悲劇在 IT 界發生。

來源鏈接：weixin.qq.com