wannacry(想哭)勒索病毒肆虐全球,目前已經(jīng)超過150個(gè)國(guó)家的windows設(shè)備遭到攻擊,勒索病毒將數(shù)據(jù)加密,一旦中招,數(shù)據(jù)將很難恢復(fù),那么wannacry勒索病毒來自哪里呢?這是很多人非常關(guān)心的問題,大家都不知道黑客制造攻擊的目的是什么,最近有福布斯的消息,據(jù)稱病毒的幕后黑手可能來自朝鮮。
相關(guān)教程:
開機(jī)怎么防止被勒索病毒感染?360預(yù)防勒索病毒開機(jī)指南
如何預(yù)防windows勒索病毒?防止感染onion、wncry勒索病毒補(bǔ)丁下載
win7快速關(guān)閉135,137,138,139,445端口預(yù)防比特幣勒索病毒的方法
谷歌和卡巴斯基安全實(shí)驗(yàn)室等多個(gè)機(jī)構(gòu)經(jīng)過研究發(fā)現(xiàn),幕后黑手可能來自朝鮮,線索隱藏在代碼中。
谷歌安全研究員neel mehta發(fā)布推文,將兩個(gè)惡意軟件樣本進(jìn)行對(duì)比。其一便是正在肆虐全球的wannacry勒索病毒,另一段樣本出自神秘黑客組織 \”拉撒路組\”(lazarus group)之手。有證據(jù)顯示,拉撒路組與2014年索尼黑客事件以及孟加拉國(guó)swift銀行網(wǎng)絡(luò)攻擊事件有關(guān)聯(lián),兩起案件分別造成索尼多部未上映電影資源和商業(yè)信息遭泄露,以及孟加拉國(guó)中央銀行失竊8100萬美元。根據(jù)多家安全公司的分析,拉撒路組來自朝鮮。
卡巴斯基實(shí)驗(yàn)室和網(wǎng)絡(luò)安全公司proofpoint的研究員對(duì)mehta提供的對(duì)比進(jìn)行仔細(xì)調(diào)查。研究人員發(fā)現(xiàn),wannacry中的一部分代碼與一個(gè)名叫contopee的惡意軟件100%一致,而后者正是拉撒組慣用的惡意軟件。兩個(gè)惡意軟件使用相同的隨機(jī)數(shù)生成0到75之間的隨機(jī)數(shù),用于對(duì)劫持?jǐn)?shù)據(jù)的加密以及通過混淆避免安全工具的檢測(cè)。
卡巴斯基實(shí)驗(yàn)室稱發(fā)現(xiàn)同源代碼是查找 \”wannacry起源的最重要線索\”??ò退够蜓芯亢头治鰣F(tuán)隊(duì)主管costin raiu對(duì)福布斯表示,mehta展示的惡意軟件幾乎與此前孟加拉國(guó)銀行攻擊中出現(xiàn)過的惡意代碼一模一樣。不過他也表示還需要更多研究才能下結(jié)論。
阿聯(lián)酋網(wǎng)絡(luò)安全公司創(chuàng)始人matthieu suiche認(rèn)同病毒可能與拉撒路組存在聯(lián)系,并指出犯罪目標(biāo)和手法的一致性。
這些代碼的獨(dú)特性也引人遐想。數(shù)據(jù)對(duì)比顯示,除了拉撒路組,再?zèng)]有其他任何組織使用過同樣的代碼。一位要求保持匿名的研究員稱,他將樣本在目前可以訪問的大型病毒庫(kù)中進(jìn)行對(duì)比,幾乎沒有匹配。這使得拉撒路組同本次勒索病毒的爆發(fā)之間存在關(guān)聯(lián)的可能性更大。
賽門鐵克關(guān)注拉撒路組多年。研究人員稱wannacry使用了拉撒路組慣用的web加密形式。賽門鐵克技術(shù)總監(jiān)vikram thakur自周五一來便對(duì)病毒進(jìn)行密切關(guān)注,指出攻擊者目的似乎僅是為了造成網(wǎng)絡(luò)混亂,而非獲得經(jīng)濟(jì)利益。
下結(jié)論為時(shí)過早
不過研究人員并不急于下結(jié)論,稱這些線索有可能是攻擊者事先埋下用以誤導(dǎo)調(diào)查。相同的代碼并不能確定來自同一個(gè)黑客,也有可能是攻擊者借用了拉撒路組的代碼并實(shí)施攻擊。安全專家指出,有大約2000個(gè)惡意軟件樣本在一些地下論壇上被秘密分享,網(wǎng)絡(luò)犯罪分子在這些論壇上分享黑客技術(shù)。
相關(guān)教程:k8h3d是什么病毒壞兔子勒索病毒如何防范勒索病毒