Onion病毒

**WannaCry**（直譯「想哭」、「想解密」，俗名「魔窟」，或稱 **WannaCrypt**、**WanaCrypt0r 2.0**、**Wanna Decryptor**）是一種利用 NSA 的「永恆之藍」（EternalBlue）漏洞利用程式透過網際網路對全球執行 Microsoft Windows 作業系統的電腦進行攻擊的加密型勒索軟體兼蠕蟲病毒（Encrypting Ransomware Worm）。該病毒利用 AES-128 和 RSA 演算法惡意加密使用者檔案以勒索比特幣，使用 Tor 進行通訊，為 WanaCrypt0r 1.0 的變種。

2017 年 5 月，此程式大規模感染包括西班牙電信在內的許多西班牙公司、英國國民保健署、聯邦快遞和德國鐵路股份公司。據報導，至少有 99 個國家的其他目標在同一時間遭到 WanaCrypt0r 2.0 的攻擊（截至 2018 年，已有大約 150 個國家遭到攻擊）。俄羅斯聯邦內務部、俄羅斯聯邦緊急情況部和俄羅斯電信公司 MegaFon 共有超過 1000 台電腦受到感染。於中國大陸的感染甚至波及到公安機關使用的內網，國家互聯網應急中心亦發布通報。

WannaCry 被認為利用了美國國家安全局的「永恆之藍」（EternalBlue）工具以攻擊執行 Microsoft Windows 作業系統的電腦。「永恆之藍」傳播的勒索病毒以 ONION 和 WNCRY 兩個家族為主。「永恆之藍」利用了某些版本的微軟伺服器訊息區塊（SMB）協定中的數個漏洞，而當中最嚴重的漏洞是允許遠端電腦執行程式碼。修復該漏洞的安全修補程式已經於此前的 2017 年 3 月 14 日發布，但並非所有電腦都進行了安裝。

## 背景

此次爆發的電腦惡意程式對漏洞的利用基於「永恆之藍」（EternalBlue）工具。駭客組織「影子掮客」（The Shadow Brokers）在 2017 年 4 月 14 日發布了一批從方程式組織（Equation Group）泄露的工具，其中便包括「永恆之藍」；而方程式集團據信是屬於美國國家安全局。

永恆之藍利用了 Windows 伺服器訊息區塊 1.0（SMBv1）的數個漏洞，這些漏洞在通用漏洞披露（CVE）網站中分別被列為 CVE-2017-0143 至 CVE-2017-0148。而就這些漏洞，微軟公司已於 2017 年 3 月 14 日在 TechNet 發佈「MS17-010」的資訊安全公告，並向使用者推播了 Windows 系統修復修補程式「KB4013389」封堵此漏洞。但因該補丁只適用於仍提供服務支援的 Windows Vista 或更新的作業系統（註：此修補程式不支援 Windows 8），較舊的 Windows XP 等作業系統並不適用。不少使用者也因各種原因而未開啟或完成系統修補程式的自動安裝。

2017 年 4 月 21 日起，安全研究者檢測到數以萬計被安裝 DoublePulsar 後門的電腦，該後門是另一款從 NSA 外泄的駭客工具。截至 4 月 25 日，感染該後門的電腦估計有幾十萬台，數字每天還在呈指數增長。除 EternalBlue 外，WannaCry 的本輪攻擊也利用了這一名為 DoublePulsar 的後門。

2017 年 5 月 12 日，WannaCry 在國際網際網路開始廣泛傳播，感染了全球很多執行 Windows 系統的裝置。該病毒進入目標主機之後，就會對主機硬碟和儲存裝置中許多格式的檔案進行加密，然後再利用網路檔案分享系統的漏洞，傳播到任意的其他聯網的主機，而處於同一區域網路的相鄰主機也會被感染。這個漏洞不是零日攻擊的漏洞（還沒有修補程式的安全漏洞），而微軟早在 2017 年 3 月 14 日就推播了更新，封堵了這個漏洞。與此同時，微軟也通告使用者，不要再使用老舊的第一代伺服器訊息區塊，應該以最新的第三代伺服器訊息區塊取而代之。

沒有及時下載這個修補程式的 Windows 主機很可能被感染，而到目前為止，沒有證據顯示攻擊者是有目標的進行攻擊。還在執行已被微軟淘汰的 Windows XP 的主機則非常危險，因為微軟早已不對 Windows XP 提供安全更新與支援。但由於此次事件的嚴重性，微軟後已為部分已經淘汰的系統發布了漏洞修復修補程式，Windows XP、Windows Server 2003 和 Windows 8 使用者都可從微軟網站下載修復修補程式。但部分騰訊電腦管家使用者因修補程式遭到封鎖而未能接受到安全更新，事後據官方回應，部分第三方修改系統安裝修補程式後可能致使藍畫面、系統異常，因此有部分使用者修補程式被封鎖。

## 影響

### 中國大陸

2017 年 5 月 12 日晚，中國大陸內地部分高校學生反映電腦被病毒攻擊，檔案被加密。病毒疑似透過教育網傳播。隨後，山東大學、南昌大學、廣西師範大學、桂林電子科技大學、大連海事大學、東北財經大學等十幾家高校發布通知，提醒師生上網時注意防範。除了教育網、校園網路以外，新浪微博上不少使用者回饋，北京、上海、江蘇、天津等多地的出入境、派出所等警方內部網路和政企專網也遭遇了病毒襲擊，許多警方部門和政府部門由於勒索軟體的影響被迫停止工作。中國國家互聯網應急中心發布關於防範 WannaCry 的情況通報，稱全球約 101.1 萬個 IP 位址遭受「永恆之藍」SMB 漏洞攻擊工具的攻擊嘗試，發起攻擊嘗試的 IP 位址數量 9300 餘個。由於中國大陸個人區域網路絡使用者的 445 網路埠大多已被網路業者封鎖，故該病毒對一般家庭使用者影響不大。而且病毒首輪傳播時，中國大陸正值週五夜晚，事發後許多安全軟體已立即呼籲使用者完成更新以抵抗病毒。

### 香港

截至香港時間 2017 年 5 月 16 日為止，香港電腦保安事故協調中心收到受加密勒索軟體「WannaCry」攻擊的報告，增至 31 宗，比 15 日多 14 宗。新增個案一宗來自商業機構，其餘是家庭使用者，大部分都是使用微軟 Windows 軟體或伺服器。其中家庭使用者多使用 Windows 7；商業使用者涉及 Windows 7 及 Windows Server 2008 系統。香港警方亦接獲 3 宗有關報案。

### 台灣

此病毒也重創臺灣，爆發初期，受到感染的電腦使用者於 PTT、Dcard 等社群發文，而後臺灣媒體在 2017 年 5 月 13 日對此新聞作出大篇幅報導。

2018 年 8 月 3 日台積電發生成立以來重大資安事件，造成竹科、中科與南科廠區停工，此次事件肇因為新機台在安裝軟體的過程中發生操作失誤。3 日安裝新機台時並未將此機台於連結網路前先隔離確保無病毒，造成「WannaCry」變種病毒進入公司網路，令機台當機或是重複啟動。此次受到感染的機台與自動搬運系統，以及相關的電腦系統，主要是使用 Windows 7 卻未安裝修正軟體於機台自動化介面，以致受影響的機台無法運作以及部分自動搬運系統無法正常運作。

### 英國

勒索軟體影響了英國醫療系統的運作。由於勒索軟體導致的系統癱瘓，部分常規手術被臨時取消，救護車也被迫分流到其他未受到影響的醫院。英國國民保健署在 2016 年仍然有上千台電腦在使用 Windows XP，而 Windows XP 直到本次感染爆發之前並沒有任何修復伺服器訊息區塊漏洞的修補程式，這成為英國醫療系統受到攻擊的原因之一。

### 日本

據日本警察廳聲稱，截至 5 月 18 日，在日本境內被確認的受害事件共 21 件。具體為東京、大阪等地共 4 個企業、神奈川縣內的行政機關、茨城縣的一家醫院等。當地時間 15 日，日本政府於首相官邸危機管理中心設定「情報聯絡室」。6 月 19 日，本田在狹山市的汽車工廠受 WannaCry 影響停工一天。

### 其他

此外，巴西聖保羅法院、加拿大公共衛生服務機構 Lakeridge Health、哥倫比亞國立衛生研究院、法國雷諾、德國鐵路系統、印度安得拉邦警察局、印度尼西亞的多家醫院、義大利米蘭比科卡大學、羅馬尼亞外交部、俄羅斯通訊運營商 MegaFon、俄羅斯聯邦內務部、俄羅斯鐵路以及西班牙、瑞典、匈牙利、泰國、荷蘭、葡萄牙等將近一百個國家的機構院所也受到波及。

## 病毒功能

以下以 2017 年 5 月第一次大規模傳播的病毒版本為主；該病毒早前的一個版本曾於 4 月透過電子郵件和有害 Dropbox 連結傳播，但沒有利用 Windows 漏洞進行主動傳播的能力。

通過利用漏洞，病毒不需要打攪使用者，可以靜默獲得作業系統的特權，然後得以在本地網路中傳染。

簡而言之，程式在載入完成後會呼叫 Windows 的 CryptoAPI，新生成一對 2048 位元的 RSA 金鑰。金鑰對包括私鑰和公鑰，它們會被儲存至被感染電腦；但解密時需要的私鑰在儲存前會使用程式內建的另一 RSA 公鑰加密，該公鑰對應的私鑰由攻擊者持有。

隨後程式會遍歷儲存裝置（部分系統資料夾等除外），加密特定副檔名的檔案；程式在加密檔案時使用 AES 演算法，會為每一個檔案隨機生成一個 128 位元 AES 金鑰，金鑰隨後會被程式載入完後生成的 RSA 公鑰加密，並在當前檔案加密完後儲存在該檔案的頭部。程式還會呼叫命令提示符刪除裝置上的卷影副本（Shadow copy）備份。早先有報導認為這一操作可能會引起 UAC 彈框而被使用者注意到，但後續分析指出，病毒是通過核心漏洞注入系統行程來執行的，傳染過程中並不會有 UAC 彈窗出現。

加密過程結束後，病毒會把系統桌布替換成英語告示，並顯示一封提供 28 種語言版本的勒索信，其中部分可能使用了機器翻譯。程式要求使用者支付與 300 至 600 美元等值的比特幣，並在勒索信中給予被感染者 3 天期限，如若超過贖金會翻倍，超過一周仍未付款則會「撕票」。在勒索信中，病毒還聲稱今後可能舉行免費恢復活動，對象是運氣好且「半年以上沒錢付款的窮人」。

程式透過 Tor 匿名網路與攻擊者的伺服器連接。此外，程式還會在電腦所屬區域網路內，隨機連結其他電腦 SMB 使用的 TCP/UDP 445 與 139 等埠以自我傳播，並嘗試用同樣方式隨機感染網際網路上的其他電腦。

據思科分析，病毒在感染其他電腦時會嘗試透過 DoublePulsar 後門安裝。而根據《連線》的報導，此病毒也會同時在電腦上安裝該後門，現已有指令碼可檢測並移除。

攻擊者在程式中寫死了至少 3 個比特幣位址（或稱「錢包」），以接收受害者的贖金，這些錢包的真實擁有者身分不明，但交易情況和餘額是公開的。有人在 Twitter 上設定了一個機器人，以即時追蹤這三個錢包收到的轉帳。截至 2017 年 5 月 14 日 (2017-05-14)，攻擊者已獲得約合 3.2 萬美元的比特幣。

## 應對措施

### 防禦

若想有效防禦此蠕蟲的攻擊，首先應立即部署 Microsoft 安全公告 MS17-010 中所涉及的所有安全更新。Windows XP、Windows Server 2003 以及 Windows 8 應根據微軟的使用者指導安裝更新。

當不具備條件安裝安全更新，且沒有與 Windows XP (同期或更早期 Windows) 主機共用的需求時，應當根據 Microsoft 安全公告 MS17-010 中的變通辦法，停用 SMBv1 協定，以免遭受攻擊。雖然利用 Windows 防火牆阻止 TCP 445 埠也具備一定程度的防護效果，但這會導致 Windows 共用完全停止工作，並且可能會影響其它應用程式的執行，故應當按照微軟公司提供的變通辦法來應對威脅。

2017 年 5 月第一次大規模傳播時，署名為 MalwareTech 的英國安全研究員在當時的病毒中發現了一個未註冊的網域名稱，主因是病毒內建有傳播開關（Kill Switch），會向該網域名稱發出 DNS 請求，用於測試病毒是否處於防毒軟體的虛擬運作環境中，由於該網域名稱並沒有設定 DNS，所以正常情況是不會有回應，若有回應就說明處於虛擬環境下，病毒會停止傳播以防被防毒軟體清除。這名安全研究員花費 8.29 英鎊註冊網域名稱後發現每秒收到上千次請求。在該網域名稱被註冊後，部分電腦可能仍會被感染，但「WannaCry 的這一版本不會繼續傳播了」。

然而需要注意的是，在部分網路環境下，例如一些區域網路、內部網路，或是需要透過代理伺服器才能存取網際網路的網路，此網域名稱仍可能無法正常連接。另外，有報導稱該病毒出現了新的變種，一些變種在加密與勒索時並不檢查這一網域名稱。

### 復原資料

該病毒會「讀取原始檔並生成加密檔案，直接把原始檔作刪除操作」。2017 年 5 月 19 日，安全研究人員 Adrien Guinet 發現病毒用來加密的 Windows API 存在的缺陷，在非最新版作業系統（Windows 10）中，所用私鑰會暫時留在記憶體中而不會被立即清除。他開發並開源了一個名為 wannakey 的工具，並稱這適用於為感染該病毒且執行 Windows XP 的電腦找回檔案，前提是該電腦在感染病毒後並未重新啟動，且私鑰所在記憶體還未被覆蓋（這需要運氣）。後有開發者基於此原理開發了名為「wanakiwi」的軟體，使恢復過程更加自動化，並確認該方法適用於執行 Windows XP 至 Windows 7 時期間的多款 Windows 作業系統。一些安全廠商也基於此原理或軟體開發並提供了圖形化工具以幫助使用者恢復檔案。

## 評論

一些人士批評與此事件有關聯的美國國家安全局（NSA）。稜鏡計劃告密人愛德華・史諾登稱，如果 NSA「在發現用於此次對醫院進行攻擊的缺陷時就進行私下披露，而不是等到遺失時才說，（此次攻擊）就可能不會發生」。微軟總裁布拉德・史密斯則表示：「政府手中的漏洞利用程式一次又一次地泄露到公共領域，造成廣泛破壞。如果用常規武器來說，這種情況等同於美軍的戰斧飛彈發生失竊。」

也有人士聚焦於網路安全意識方面。德國聯邦資訊安全辦公室主任 Arne Schönbohm 聲明道：「現在發生的攻擊突顯出我們的資訊社會是多麼脆弱。這對公司是一次警醒，是時候認真考慮 IT 安全了。」美國外交關係協會數字和網路政策專案負責人亞當・謝加爾認為政府和私營部門的修補程式和更新系統運轉不正常，不是所有人都會在第一時間為系統漏洞打上修補程式；半島電視台在文章中引述觀點稱，許多企業的員工缺乏網路安全方面的訓練。《福布斯》網站上的一篇專欄文章則認為，該攻擊生動地證明了安全備份和良好安全習慣的重要性，包括及時安裝最新的安全更新。英國首相特雷莎・梅也就此次攻擊發表講話，稱英國國家網路安全中心正在與所有受攻擊的機構合作調查。特雷莎・梅還表示：「這不是針對國民保健署的攻擊，這是國際性的攻擊，全世界數以千計的國家和組織都受到了影響。」

## 調查

2017 年 5 月 29 日，據 CNET 引述美國安全公司閃點（Flashpoint）發布的報告稱，根據對病毒附帶的 28 種語言撰寫的勒索信的文法分析研究，病毒製造者有可能是一名中文母語者，其中文版勒索信文法道地，而英文版有一些語法錯誤，其他語言版本則更像是藉助 Google 翻譯以機器翻譯而得。在早前的 5 月 16 日，Google、卡巴斯基、閃點等多家安全公司的安全研究員曾發文認為，病毒的幕後黑手可能是源自北韓的「拉撒路組」（Lazarus Group）駭客組織，而據傳該組織成員居於中國。但奇虎 360 和安天的安全工程師認為閃點網路情報公司僅以語言判斷是十分不專業的臆測行為，質疑其只是為了吸引目光焦點。

2017 年 6 月 17 日，據《華盛頓郵報》報導，NSA 的內部報告認為此惡意軟體來自北韓情報機關贊助的駭客團體，並對這份報告有「中等信心（moderate confidence）」。英國國家網路安全中心（NCSC）也發布報告將此事件源頭指向北韓的駭客團隊。

2017 年 10 月，微軟總裁布萊德・史密斯（Brad Smith）接受 ITV 採訪稱，他非常相信北韓是影響全球 150 個國家摧毀 20 萬台電腦的幕後黑手。

## 軼事

2017 年 5 月 15 日，臺灣一名 Windows XP 使用者遭受 WannaCry 的攻擊後，因電腦配備老舊，導致 WannaCry 程式運作到一半，突然「停止回應」而無法運作。

## 參見

* 知名病毒及蠕蟲的歷史年表
* Petya
* WannaRen

## 參考資料

## 外部連結

* Microsoft 安全公告 MS17-010 （頁面存檔備份，存於網際網路檔案館）
* 使用者指導（頁面存檔備份，存於網際網路檔案館）（微軟中國翻譯 （頁面存檔備份，存於網際網路檔案館））
* 微軟惡意軟體防護中心上 Ransom:Win32/WannaCrypt 相關資料 （頁面存檔備份，存於網際網路檔案館）（英文）
* 勒索軟體席捲全球國內多種網路系統中招 - 新浪網專題 （頁面存檔備份，存於網際網路檔案館）（簡體中文）
* MalwareTech 網站發布的 WannaCry 世界各地感染實況（英文）
* 香港電腦保安事故協調中心 WannaCry (WannaCrypt) 加密勒索軟體加密受害者數據 （頁面存檔備份，存於網際網路檔案館）