WannaCry

WannaCry（直譯“想哭”、“想解密”，俗名“魔窟”，或稱WannaCrypt、WanaCrypt0r 2.0、Wanna Decryptor）是一種利用NSA的“永恆之藍”（EternalBlue）漏洞利用程序透過互聯網對全球運行Microsoft Windows操作系統的計算機進行攻擊的加密型勒索軟體兼蠕蟲病毒（Encrypting Ransomware Worm）。該病毒利用AES-128和RSA算法惡意加密用戶文件以勒索比特幣，使用Tor進行通訊，為WanaCrypt0r 1.0的變種。
2017年5月，此程式大規模感染包括西班牙電信在內的許多西班牙公司、英國國民保健署、聯邦快遞和德國鐵路股份公司。據報道，至少有99個國家的其他目標在同一時間遭到WanaCrypt0r 2.0的攻擊（截至2018年，已有大約150個國家遭到攻擊）。俄羅斯聯邦內務部、俄羅斯聯邦緊急情況部和俄羅斯電信公司MegaFon共有超過1000臺計算機受到感染。於中國大陸的感染甚至波及到公安機關使用的內網，國家互聯網應急中心亦發佈通報。
WannaCry被認為利用了美國國家安全局的“永恆之藍”（EternalBlue）工具以攻擊運行Microsoft Windows操作系統的計算機。“永恆之藍”傳播的勒索病毒以ONION和WNCRY兩個家族為主date=2017年5月。“永恆之藍”利用了某些版本的微軟伺服器訊息區塊（SMB）協議中的數個漏洞，而當中最嚴重的漏洞是允許遠端電腦執行程式碼。修復該漏洞的安全補丁已經於此前的2017年3月14日發佈，但並非所有計算機都進行了安裝。

**背景**
此次爆發的電腦惡意程序對漏洞的利用基於“永恆之藍”（EternalBlue）工具。黑客組織“影子掮客”（The Shadow Brokers）在2017年4月14日發佈了一批從方程式組織（Equation Group）洩露的工具，其中便包括“永恆之藍”；而方程式集團據信是屬於美國國家安全局。
永恆之藍利用了Windows服務器消息塊1.0（SMBv1）的數個漏洞，這些漏洞在通用漏洞披露（CVE）網站中分別被列為2017-0143至2017-0148。而就這些漏洞，微軟公司已於2017年3月14日在TechNet發佈“MS17-010”的資訊安全公告，並向用戶推送了Windows系統修復補丁“KB4013389”封堵此漏洞。但因該補丁只適用於仍提供服務支持的Windows Vista或更新的作業系統（注：此補丁不支持Windows 8），較舊的Windows XP等作業系統並不適用。不少用戶也因各種原因而未開啟或完成系統補丁的自動安裝。
2017年4月21日起，安全研究者檢測到數以萬計被安裝DoublePulsar後門的計算機，該後門是另一款從NSA外洩的黑客工具。截至4月25日，感染該後門的計算機估計有幾十萬臺，數字每天還在呈指數增長。除EternalBlue外，WannaCry的本輪攻擊也利用了這一名為DoublePulsar的後門。
2017年5月12日，WannaCry在國際互聯網開始廣泛傳播，感染了全球很多運行Windows系統的設備。該病毒進入目標主機之後，就會對主機硬盤和存儲裝置中許多格式的文件進行加密，然後再利用網絡文件共享系統的漏洞，傳播到任意的其他聯網的主機，而處於同一局域網的相鄰主機也會被感染。這個漏洞不是零日攻擊的漏洞（還沒有補丁的安全漏洞），而微軟早在2017年3月14日就推送了更新，封堵了這個漏洞。與此同時，微軟也通告用戶，不要再使用老舊的第一代服務器消息塊，應該以最新的第三代服務器消息塊取而代之。
沒有及時下載這個補丁的Windows主機很可能被感染，而到目前為止，沒有證據顯示攻擊者是有目標的進行攻擊。還在運行已被微軟淘汰的Windows XP的主機則非常危險，因為微軟早已不對Windows XP提供安全更新與支持。但由於此次事件的嚴重性，微軟後已為部分已經淘汰的系統發佈了漏洞修復補丁，Windows XP、Windows Server 2003和Windows 8用戶都可從微軟網站下載修復補丁。但部分騰訊電腦管家用戶因補丁遭到屏蔽而未能接受到安全更新，事後據官方回應，部分第三方修改系統安裝補丁後可能致使藍屏、系統異常，因此有部分用戶補丁被屏蔽。

**影響**
首輪受到攻擊的國家及地區

**中國大陸**
2017年5月12日晚，中國大陸內地部分高校學生反映電腦被病毒攻擊，檔案被加密。病毒疑似透過教育網傳播。隨後，山東大學、南昌大學、廣西師範大學、桂林電子科技大學、大連海事大學、東北財經大學等十幾家高校發佈通知，提醒師生上網時注意防範。除了教育網、校園網以外，新浪微博上不少用戶反饋，北京、上海、江蘇、天津等多地的出入境、派出所等警方內部網和政企專網也遭遇了病毒襲擊，許多警方部門和政府部門由於勒索軟件的影響被迫停止工作。中國國家互聯網應急中心發佈關於防範WannaCry的情況通報，稱全球約101.1萬個IP地址遭受“永恆之藍”SMB漏洞攻擊工具的攻擊嘗試，發起攻擊嘗試的IP地址數量9300餘個。由於中國大陸個人網絡用戶的445網絡端口大多已被網絡運營商屏蔽，故該病毒對一般家庭用戶影響不大。而且病毒首輪傳播時，中國大陸正值週五夜晚，事發後許多安全軟件已立即呼籲用戶完成更新以抵抗病毒。

**香港**
截至香港時間2017年5月16日為止，香港電腦保安事故協調中心收到受加密勒索軟件「WannaCry」攻擊的報告，增至31宗，比15日多14宗。新增個案一宗來自商業機構，其餘是家庭用戶，大部分都是使用微軟Windows軟件或伺服器。其中家庭用戶多使用Windows 7；商業用戶涉及Windows 7及Windows Server 2008系統。香港警方亦接獲3宗有關報案。

** 臺灣**
此病毒也重創臺灣，爆發初期，受到感染的電腦使用者於PTT、Dcard等社群發文，而後臺灣媒體在2017年5月13日對此新聞作出大篇幅報導。
2018年8月3日臺積電發生成立以來重大資安事件，造成竹科、中科與南科廠區停工，此次事件肇因為新機臺在安裝軟體的過程中發生操作失誤。3日安裝新機臺時並未將此機臺於連結網路前先隔離確保無病毒，造成「WannaCry」變種病毒進入公司網路，令機臺當機或是重複開機。此次受到感染的機臺與自動搬運系統，以及相關的電腦系統，主要是使用Windows 7卻未安裝修正軟體於機臺自動化介面，以致受影響的機臺無法運作以及部分自動搬運系統無法正常運作。

**英國**
勒索軟件影響了英國醫療系統的運作。由於勒索軟件導致的系統癱瘓，部分常規手術被臨時取消，救護車也被迫分流到其他未受到影響的醫院。英國國民保健署在2016年仍然有上千臺電腦在使用Windows XP，而Windows XP直到本次感染爆發之前並沒有任何修復服務器消息塊漏洞的補丁，這成為英國醫療系統受到攻擊的原因之一。

**日本**
據日本警察廳聲稱，截至5月18日，在日本境內被確認的受害事件共21件。具體為東京、大阪等地共4個企業、神奈川縣內的行政機關、茨城縣的一家醫院等。當地時間15日，日本政府於首相官邸危機管理中心設置“情報聯絡室”。6月19日，本田在狹山市的汽車工廠受WannaCry影響停工一天。

**其他**
此外，巴西聖保羅法院、加拿大公共衛生服務機構Lakeridge Health、哥倫比亞國立衛生研究院、法國雷諾、德國鐵路系統、印度安得拉邦警察局、印度尼西亞的多家醫院、意大利米蘭比科卡大學、羅馬尼亞外交部、俄羅斯通訊運營商MegaFon、俄羅斯聯邦內務部、俄羅斯鐵路以及西班牙、瑞典、匈牙利、泰國、荷蘭、葡萄牙等將近一百個國家的機構院所也受到波及。

**病毒功能**
以下以2017年5月第一次大規模傳播的病毒版本為主；該病毒早前的一個版本曾於4月透過電子郵件和有害Dropbox鏈接傳播，但沒有利用Windows漏洞進行主動傳播的能力。
通過利用漏洞，病毒不需要打攪用戶，可以靜默獲得操作系統的特權，然後得以在本地網絡中傳染。
簡而言之，程序在加載完成後會調用Windows的CryptoAPI，新生成一對2048位的RSA密鑰。密鑰對包括私鑰和公鑰，它們會被存儲至被感染計算機；但解密時需要的私鑰在存儲前會使用程序自帶的另一RSA公鑰加密，該公鑰對應的私鑰由攻擊者持有。
隨後程序會遍歷存儲設備（部分系統文件夾等除外），加密特定擴展名的文件；程序在加密文件時使用AES算法，會為每一個文件隨機生成一個128位AES密鑰，密鑰隨後會被程序加載完後生成的RSA公鑰加密，並在當前文件加密完後存儲在該文件的頭部。程序還會調用命令提示符刪除設備上的卷影副本（Shadow copy）備份。早先有報道認為這一操作可能會引起UAC彈框而被用戶注意到，但後續分析指出，病毒是通過內核漏洞注入系統進程來執行的，傳染過程中並不會有UAC彈窗出現。
加密過程結束後，病毒會把系統壁紙替換成英語告示，並顯示一封提供28種語言版本的勒索信，其中部分可能使用了機器翻譯。程序要求用戶支付與300至600美元等值的比特幣，並在勒索信中給予被感染者3天期限，如若超過贖金會翻倍，超過一週仍未付款則會“撕票”。在勒索信中，病毒還聲稱今後可能舉行免費-{恢}-復活動，對-{象}-是運氣好且“半年以上沒錢付款的窮人”。
程序透過Tor匿名網絡與攻擊者的服務器連接。此外，程序還會在計算機所屬局域網內，隨機-{zh-hans:連接;zh-hant:連結}-其他電腦SMB使用的TCP/UDP 445與139等埠以自我傳播，並嘗試用同樣方式隨機感染互聯網上的其他計算機。
據思科分析，病毒在感染其他計算機時會嘗試透過DoublePulsar後門安裝。而根據《連線》的報道，此病毒也會同時在計算機上安裝該後門，現已有腳本可檢測並移除。
攻擊者在程序中硬編碼了至少3個比特幣地址（或稱“錢包”），以接收受害者的贖金，這些錢包的真實擁有者身份不明，但交易情況和餘額是公開的。有人在Twitter上設置了一個機器人，以即時追蹤這三個錢包收到的轉賬。14，攻擊者已獲得約合3.2萬美元的比特幣。

**應對措施**

**防禦**
若想有效防禦此蠕蟲的攻擊，首先應立即部署Microsoft安全公告MS17-010中所涉及的所有安全更新。Windows XP、Windows Server 2003以及Windows 8應根據微軟的用戶指導安裝更新。
當不具備條件安裝安全更新，且沒有與Windows XP (同期或更早期Windows)主機共享的需求時，應當根據Microsoft安全公告MS17-010中的變通辦法，禁用SMBv1協議，以免遭受攻擊。雖然利用Windows防火牆阻止TCP 445端口也具備一定程度的防護效果，但這會導致Windows共享完全停止工作，並且可能會影響其它應用程序的運行，故應當按照微軟公司提供的變通辦法來應對威脅。
2017年5月第一次大規模傳播時，署名為MalwareTech的英國安全研究員在當時的病毒中發現了一個未註冊的域名，主因是病毒內建有傳播開關（Kill Switch），會向該域名發出DNS請求，用於測試病毒是否處於防毒軟件的虛擬運作環境中，由於該域名並沒有設置DNS，所以正常情況是不會有回應，若有回應就說明處於虛擬環境下，病毒會停止傳播以防被防毒軟件清除。這名安全研究員花費8.29英鎊註冊域名後發現每秒收到上千次請求。在該域名被註冊後，部分計算機可能仍會被感染，但“WannaCry的這一版本不會繼續傳播了”。
然而需要注意的是，在部分網絡環境下，例如一些局域網、內部網，或是需要透過代理服務器才能訪問互聯網的網絡，此域名仍可能無法正常連接。另外，有報道稱該病毒出現了新的變種，一些變種在加密與勒索時並不檢查這一域名。

**復原數據**
該病毒會「讀取源文件並生成加密文件，直接把源文件作刪除操作」。2017年5月19日，安全研究人員Adrien Guinet發現病毒用來加密的Windows API存在的缺陷，在Windows10以下版本的操作系統中，所用私鑰會暫時留在內存中而不會被立即清除。他開發並開源了一個名為wannakey的工具，並稱這適用於為感染該病毒且運行Windows XP的計算機找回文件，前提是該計算機在感染病毒後並未重啟，且私鑰所在內存還未被覆蓋（這需要運氣）。後有開發者基於此原理開發了名為「wanakiwi」的軟件，使恢復過程更加自動化，並確認該方法適用於運行Windows XP至Windows 7時期間的多款Windows操作系統。一些安全廠商也基於此原理或軟件開發並提供了圖形化工具以幫助用戶恢復文件。

**評論**
一些人士批評與此事件有關聯的美國國家安全局（NSA）。稜鏡計劃告密人愛德華·斯諾登稱，如果NSA“在發現用於此次對醫院進行攻擊的缺陷時就進行私下披露，而不是等到丟失時才說，（此次攻擊）就可能不會發生”。微軟總裁布拉德·史密斯則表示：“政府手中的漏洞利用程序一次又一次地洩露到公共領域，造成廣泛破壞。如果用常規武器來說，這種情況等同於美軍的戰斧導彈發生失竊。”
也有人士聚焦於網絡安全意識方面。德國聯邦信息安全辦公室主任Arne Schönbohm聲明道：“現在發生的攻擊突顯出我們的信息社會是多麼脆弱。這對公司是一次警醒，是時候認真考慮IT安全了。”美國外交關係協會數字和網絡政策項目負責人亞當·謝加爾認為政府和私營部門的補丁和更新系統運轉不正常，不是所有人都會在第一時間為系統漏洞打上補丁；半島電視臺在文章中引述觀點稱，許多企業的員工缺乏網絡安全方面的訓練。《福布斯》網站上的一篇專欄文章則認為，該攻擊生動地證明了安全備份和良好安全習慣的重要性，包括及時安裝最新的安全更新。英國首相特雷莎·梅也就此次攻擊發表講話，稱National Cyber Security Centre (United Kingdom)正在與所有受攻擊的機構合作調查。特雷莎·梅還表示：“這不是針對國民保健署的攻擊，這是國際性的攻擊，全世界數以千計的國家和組織都受到了影響。”

**調查**
2017年5月29日，據CNET引述美國安全公司閃點（Flashpoint）發佈的報告稱，根據對病毒附帶的28種語言撰寫的勒索信的文法分析研究，病毒製造者有可能是一名中文母語者，其中文版勒索信文法道地，而英文版有一些語法錯誤，其他語言版本則更像是藉助Google翻譯以機器翻譯而得。在早前的5月16日，Google、卡巴斯基、閃點等多家安全公司的安全研究員曾發文認為，病毒的幕後黑手可能是源自朝鮮的“拉撒路組”（Lazarus Group）黑客組織，而據傳該組織成員居於中國。但奇虎360和安天的安全工程師認為閃點網絡情報公司僅以語言判斷是十分不專業的臆測行為，質疑其只是為了吸引目光焦點。
2017年6月17日，據《華盛頓郵報》報道，NSA的內部報告認為此惡意軟件來自朝鮮情報機關贊助的黑客團體，並對這份報告有“中等信心（moderate confidence）”。National Cyber Security Centre (United Kingdom)（NCSC）也發佈報告將此事件源頭指向北韓的黑客團隊。
2017年10月，微軟總裁布萊德·史密斯（Brad Smith）接受ITV採訪稱，他非常相信北韓是影響全球150個國家摧毀20萬臺電腦的幕後黑手。

**軼事**
2017年5月15日，臺灣一名Windows XP使用者遭受WannaCry的攻擊後，因電腦配備老舊，導致WannaCry程式運作到一半，突然「停止回應」而無法運作。

**參見**
 知名病毒及蠕蟲的歷史年表- Petya- WannaRen- 拉撒路集團

**參考資料**

**外部鏈接**
  Microsoft安全公告MS17-010 date=20170826021516  - 用戶指導date=20170521054556 （ 微軟中國翻譯 date=20190609035837 ）- 微軟惡意軟件防護中心上 Ransom:Win32/WannaCrypt相關資料 date=20170711034627 - 勒索軟件席捲全球國內多種網絡系統中招 - 新浪網專題 date=20210616235640 
*MalwareTech網站發佈的 WannaCry世界各地感染實況-  香港電腦保安事故協調中心WannaCry (WannaCrypt)加密勒索軟件加密受害者數據 date=20191118113302