WannaCry 勒索病毒尚未平息,利用相同漏洞攻擊的 UIWIX 接踵而來

趨勢科技 TrendMicro

 WannaCry 哭聲未止,其他網路犯罪集團紛紛利用相同的漏洞來攻擊

一波未平一波又起,上周末WannaCry(想哭)勒索病毒/勒索蠕蟲剛爆發,另一隻也是利用 Server Message Block (SMB) 漏洞的UIWIX勒索病毒緊接著發動網路攻擊，除了 UIWIX 勒索病毒 (趨勢科技命名為 RANSOM_UIWIX.A) 還有另一個專門開採墨內羅 (Monero) 貨幣的木馬程式。

UIWIX 並非 WannaCry,但更難偵測

最近有些新聞報導表示 UIWIX 是 WannaCry 新演化的版本，但根據我們持續不斷的分析發現，這是一個全新的勒索病毒 Ransomware (勒索軟體/綁架病毒)家族，只不過和 WannaCry 一樣是利用 Server Message Block (SMB) 漏洞 (MS17-010，代號 EternalBlue，由 Shadow Brokers 所公開揭露) 來感染系統並在網路內散布，同時還會掃瞄網際網路上的電腦以尋找更多受害者。

UIWIX 有何不同？首先，它是所謂的無檔案型態病毒，UIWIX 是經由 EternalBlue 漏洞直接進入記憶體中執行。無檔案的感染方式不會在電腦硬碟寫入檔案或元件，因此不會留下什麼痕跡，所以更難偵測。

此外，UIWIX 的行為更加謹慎，只要它偵測到虛擬機器 (VM) 或沙盒模擬環境存在，就會自行終止。根據 UIWIX 程式內的字串顯示，它似乎可以蒐集感染系統上所儲存的瀏覽器、FTP、電子郵件以及即時通訊軟體帳號登入資訊。

以下是 WannaCry 和 UIWIX 主要特點： 繼續閱讀

WannaCry/ WCRY “想哭”勒索病毒漏洞檢查工具

趨勢科技TrendMicro

WannaCry(想哭)勒索病毒/勒索蠕蟲 以一個公開的漏洞 (MS17-010) 以及從美國國安局外流的「EternalBlue」漏洞攻擊程式，短時間內全球大量擴散爆發災情,大量未更新和已終止支援的 Windows 作業系統使得 WannaCry 可以得逞,WannaCry 哭聲尚未平息,利用相同漏洞攻擊的 UIWIX 接踵而來,趨勢科技提供漏洞檢查工具,此工具會幫消費者在windows電腦上執行以下兩項工作:

1. 檢查電腦上是否存在MS17-010的漏洞

2. 檢查電腦上的SMB v1是否關閉，如為開啟，亦可協助用戶停用SMB v1（SHA-256: 6f8e6dd35155f68f0c20acf214e2d3523bde25cb65ed922832d76542107bad24)

 

 

工具下載點擊後，詳細執行畫面如下：

步驟一：請點擊”是“，開始執行檢查

步驟二：點選是之後，工具會開始執行。

若電腦已更新會出現以下訊息： 繼續閱讀

勒索病毒WannaCry 敲響的警鐘:經由資料外洩來賺黑心錢的模式已不流行

趨勢科技 TrendMicro

傳統經由資料外洩來賺黑心錢的模式已不流行，勒索病毒 WannaCry以一個公開的漏洞 (MS17-010) 以及從美國國安局外流的「EternalBlue」漏洞攻擊程式，再加上全球目前仍有大量未更新和已終止支援的 Windows 作業系統,在短短 48 小時內就已喚醒了大家的意識,是時後面對日益壯大的網路犯罪地下市場及網路犯罪分子了….

 

勒索病毒WannaCry 與美國行政命令

 

作者：Ed Cabrera (趨勢科技網路安全長)

上週，美國白宮發表了一份行政命令，標題為「強化聯邦網路與重大基礎建設的網路資安」(Strengthening the Cybersecurity of Federal Networks and Critical Infrastructure)。諷刺的是，同一週，全球遭到了有史以來最大規模的單一勒索病毒攻擊(WannaCry(想哭)勒索病毒/勒索蠕蟲)，據估計，全球已有 150 多國 20 多萬名受害者。本文的用意在於提醒大家注意星期五的行政命令，因為其中有一些不錯的規定，也順便點出其中不足之處，尤其是面對日益壯大的網路犯罪地下市場及網路犯罪分子。相信關於這一點，此次攻擊在短短 48 小時內就已喚醒了大家的意識，而且效果遠超過上千篇的部落格文章。

正當 Pawn Storm 的網路間諜與網路宣傳活動引起眾議之際，一波新的勒索病毒攻擊讓大家真正見識到當前全球最大的網路安全威脅，也就是：跨國網路犯罪。傳統經由資料外洩來賺黑心錢的模式已不流行，現在，網路勒索更有賺頭。勒索病毒攻擊基本上就是「快又狠」。網路犯罪集團幾小時或幾天之內就能海撈一票。這波攻擊利用了一個公開的漏洞 (MS17-010) 以及從美國國安局外流的「EternalBlue」漏洞攻擊程式，再加上全球目前仍有大量未更新和已終止支援的 Windows 作業系統仍在使用當中。儘管資安產業大多專注在感染症狀、漏洞管理的重要性、良好的網路使用習慣，以及國家級的駭客攻擊等等，但真正迫切的毒瘤是全球虛擬與實體犯罪天堂數量龐大的跨國網路犯罪人口。

看看美國的這份行政命令，再對照此次的攻擊，其有些規定確實能幫助聯邦政府適當評估其部門和機構的網路攻擊風險。而更重要的是，管理這些風險的責任和預算將交由部長級與局長級的人員來負責。在聯邦政府資安長 (CISO) 們的努力下，聯邦政府的資安情況已經獲得改善，但這項轉變若要持續下去，他們就必須獲得所需的資源。所以問題是：聯邦政府的資安長們 (或權責單位) 是否將掌握充分的資源來面對不斷變化的威脅情勢。這又回到我對這份行政命令的最大質疑：該命令只是治標而不治本。它並未充分發揮團隊合作的力量。俄羅斯地下市場的網路犯罪分子在這波攻擊當中展現了相當程度彼此信賴。過去 17 年來，他們創造了一個讓各技術層次的網路犯罪分子都能共同策劃、發動攻擊並共享利潤的機制，其受害者遍及各國的公家機關和民間企業。反觀我們，目前就連達成自我防衛的最基本互信都還做不到。

不過好消息是，經過了這次的事件，事情開始有所轉變，全球各地的資訊分享分析中心 (Information Sharing Analysis Center，簡稱 ISAC) 與資訊分享分析機構 (Information Sharing Analysis Organization，簡稱 ISAO) 以及其會員和資安產業合作夥伴們，一直不眠不休地提供一些可採取行動的情報。我要特別恭喜 HITRUST 成功地將訊息傳達給美國的醫療機構來協助發掘並分享一些偵測指標與災情評估。此次的合作讓我們不僅能保護我們自己的客戶，更對整體產業的防禦能力帶來正面影響。

在我們建立一套全面的機制來解決跨國網路犯罪問題、讓歹徒無法來去自如、無利可圖之前，同樣的情況還會繼續發生。目前我們可以做的就是：繼續保持合作，透過一次一次像這樣的事件來建立彼此的信任，最終就能提升我們全體的防禦能力。

[編輯備註：如需最新的 WannaCry 資訊與相關的趨勢科技產品訊息，請參閱。] 

 

 

面對 WannaCry/Wcry 勒索病毒，IT 系統管理員該做些什麼?

趨勢科技 TrendMicro

WannaCry 勒索病毒竟有個「關閉開關」,可讓該病毒就算已經進入電腦也不會執行?!

IT 系統管理員針對三種不同情況該採取什麼步驟：

o  電腦處於睡眠模式

o  電腦已被「喚醒」

o  惡意檔案或元件已進入系統當中

WannaCry(想哭)勒索病毒/勒索蠕蟲 的疫情或許哀鴻遍野，但仍有一絲曙光：勒索病毒當中有一個「關閉開關」可讓該病毒就算已經進入電腦也不會執行。

若上週末 WannaCry 病毒肆虐時，您的電腦正處於睡眠狀態，那麼您的電腦有很大的機會可以躲過 WannaCry 這次的災情。但萬一您的電腦已經醒來呢？簡單來說，您還是有機會避免勒索病毒加密您的檔案。其實，這是 IT 系統管理員和資安人員修補、更新系統的大好機會，既能防止 WannaCry，又能防範未來可能出現的類似威脅。

您可採取以下步驟來檢查您的系統和網路是否在週末期間遭到該病毒攻擊。

[延伸閱讀： 趨勢科技最新的 WannaCry 防護更新]

原本處於睡眠狀態的電腦不會被感染，因此立刻修補漏洞就能防範。

根據趨勢科技的模擬分析，WannaCry 勒索病毒無法攻擊正處於睡眠狀態的電腦，就算其 TCP 連接埠 445 已開放且系統漏洞仍未修補也不會有事。

WannaCry 勒索病毒在感染及散布過程當中必須連上其攻擊的電腦。因此，如果電腦正處於睡眠狀態，病毒就無法連上電腦。此時，病毒會繼續嘗試下一個 IP 位址，看看能不能連上其他電腦。

換句話說，IT 系統管理員可趁機趕快修補 WannaCry 所攻擊的漏洞，就能盡量遏止感染。

[資安部落格文章： WannaCry/Wcry 勒索病毒技術層面分析]

當電腦「醒來」的時候會發生什麼事？

繼續閱讀

< WannaCry 勒索病毒 > 60 天前已修正的問題,怎麼還會肆虐全球呢？-「為何不修補就好？」事情沒您想像的簡單!

趨勢科技 TrendMicro

「WannaCry(想哭)勒索病毒/勒索蠕蟲」所利用的漏洞，是美國國安局 (NSA) 遭到外流的某項工具所攻擊的漏洞，同樣情況的還有另一個叫做「EwokFrenzy」的漏洞。EwokFrenzy 在 ZDI 資料庫中登記的漏洞編號為 ZDI-07-011，這是 10 年前的事了。難道這意味著該漏洞在廠商已經修正 10 年之後還有效嗎？看起來似乎如此。而這也是我們 20 多年來一直呼籲大家定期修補系統並做好備份的重要原因。

Zero Day Initiative (ZDI) 漏洞懸賞計畫機構對於修補漏洞的看法或許和大多數人不同。通常，我們會收到研究人員的第一手通報，然後我們會在內部驗證漏洞是否為真。接著，我們會通報給廠商。最後，當廠商釋出修補更新之後，我們會發布漏洞的一些詳細資訊。這些修補更新就是防範網路攻擊最好的方法。但最近，一個 Microsoft 在 2017 年 3 月即已修正的漏洞被一個叫做「Wanna」、「WannaCry(想哭)勒索病毒/勒索蠕蟲」或「Wcry」的勒索病毒所攻擊，使得全球都傳出災情。

怎麼會有 60 天前就已修正的問題會在全球造成這麼大的災情呢？人們為什麼不安裝修補更新呢？有時候，修補工作並不如您想像的容易，尤其對大型企業。

第一步：前置工作 

要建立一套完整的修補作業，企業首先必須掌握自己所有的資產。而這項工作聽起來容易，做起來卻相當困難。企業可選擇採用開放原始碼軟體或商用軟體工具來搜尋並登記其網路上的所有系統和裝置。就算他們用的是免費軟體，安裝建置仍需耗費成本。一旦企業找出所有需要保護的資產，接下來他們必須建立一套明確的流程來更新這些裝置，並且留下清楚的記錄。此時不光只有工作站和伺服器必須更新，一些網路裝置 (如路由器和交換器) 也要保持更新。所以，企業必須決定：是否該採用一套自動化系統？或是由系統管理員逐一到每台裝置上進行更新？由於早期的安全更新通常需要重新開機，或者可能打斷業務流程，因此，何時套用更新就很重要。此外，留下修補的記錄可以確保企業整體修補版本的一致性。

第二步：掌握最新修補訊息 繼續閱讀