勒索病毒再添新成員alanwalker 利用“永恒之藍(lán)”傳播

　　春節(jié)將至，針對(duì)網(wǎng)絡(luò)安全的威脅卻一點(diǎn)沒(méi)有要消停的意思。根據(jù)360互聯(lián)網(wǎng)安全中心監(jiān)測(cè)發(fā)現(xiàn)，讓人糟心的勒索病毒家族里又出現(xiàn)了一位新成員——alanwalker勒索病毒。該病毒在入侵Windows服務(wù)器后，會(huì)利用PowerShell執(zhí)行勒索病毒，通過(guò)加密機(jī)器上的重要文件，要挾用戶(hù)支付0.2比特幣贖金。

　　圖1 alanwalker勒索病毒勒索信息

　　可加密超420種文件 利用“永恒之藍(lán)”蔓延局域網(wǎng)

　　據(jù)監(jiān)測(cè)統(tǒng)計(jì)，alanwalker勒索病毒可加密文件類(lèi)型較多，目前已加密超過(guò)420種文件類(lèi)型，主要為在Windows服務(wù)器中較為重要的數(shù)據(jù)庫(kù)文件、壓縮包、文檔和可執(zhí)行文件等。而且值得注意的是，alanwalker勒索病毒通過(guò)PowerShell執(zhí)行遠(yuǎn)程載荷時(shí)，全程無(wú)文件落地，這在目前勒索病毒中較為少見(jiàn)。

　　圖2 alanwalker勒索病毒加密的文件類(lèi)型

　　除此之外，alanwalker勒索病毒還會(huì)用另一種方式擴(kuò)大勒索范圍。加密完成后，alanwalker勒索病毒還會(huì)使用“永恒之藍(lán)”漏洞攻擊武器攻擊局域網(wǎng)中的其他機(jī)器，試圖將勒索病毒植入局域網(wǎng)中其他機(jī)器內(nèi)。

　　圖3 alanwalker勒索病毒使用“永恒之藍(lán)”漏洞攻擊武器部分代碼

　　疑為Greystars的變種或近親360第一時(shí)間攔截

　　360安全大腦經(jīng)過(guò)分析后發(fā)現(xiàn)，alanwalker勒索病毒的主體代碼、加密文件類(lèi)型、勒索信息與2018年4月發(fā)現(xiàn)的Greystars勒索病毒極其相似，而存儲(chǔ)載荷的方式也與Greystars勒索病毒相同。據(jù)此，360安全專(zhuān)家推斷，alanwalker勒索病毒可能為Greystars的變種，或是兩者使用了同一開(kāi)發(fā)者所開(kāi)發(fā)的勒索病毒。

　　360互聯(lián)網(wǎng)安全中心還發(fā)現(xiàn)，alanwalker勒索病毒在1月30日傳播時(shí)曾經(jīng)使用github倉(cāng)庫(kù)存儲(chǔ)PowerShell載荷，不過(guò)載荷地址在第一時(shí)間已經(jīng)失效。但alanwalker勒索病毒通過(guò)github等代碼倉(cāng)庫(kù)存儲(chǔ)惡意載荷的情況，仍將可能成為未來(lái)的一種主流趨勢(shì)。

　　不過(guò)，廣大用戶(hù)不必過(guò)分擔(dān)心，360安全衛(wèi)士已經(jīng)可以有效攔截alanwalker勒索病毒的攻擊。但需注意的是，服務(wù)器管理員還是應(yīng)當(dāng)及時(shí)修補(bǔ)操作系統(tǒng)、Web應(yīng)用漏洞，使用強(qiáng)度高的系統(tǒng)登錄密碼和Web應(yīng)用后臺(tái)登錄密碼，防止被勒索病毒重復(fù)攻擊。