※ 本文為 Omlet.bbs. 轉寄自 ptt.cc 更新時間: 2017-05-14 00:33:17
看板 AntiVirus
作者 標題 Re: [情報] WanaCrypt0r 2.0 大規模攻擊漏洞系統
時間 Sat May 13 15:50:21 2017
文章看都看完了，順便翻譯一下。
以下是這病毒會做的事。
----
1. 最一開始的這隻 mssecsvc.exe 會丟出 tasksche.exe 並執行。
2. 送出HTTP請求給特定網域名，確認是否傳播。
3. mssecsvc2.0 服務被創建，這個服務會再次執行 mssecsvc.exe
3.1 這次執行會透過 TCP PORT 445 去嘗試連結子網路(subnet)所有的IP
3.2 連結成功便會開始傳送資料。（這邊可能是感染其他被連結的電腦）
4. tasksche.exe 開始找所有儲存裝置，包含網路資料夾、USB、隨身硬碟
5. 找硬碟裡副檔名符合以下列表的檔案，並以 2048-bit RSA 加密
常見文件檔 (.ppt, .doc, .docx, .xlsx, .sxi)
罕見文件檔 (.sxw, .odt, .hwp)
壓縮檔、影音檔 (.zip, .rar, .tar, .bz2, .mp4, .mkv)
電子郵件相關 (.eml, .msg, .ost, .pst, .edb)
資料庫相關 (.sql, .accdb, .mdb, .dbf, .odb, .myd)
程式碼相關 (.php, .java, .cpp, .pas, .asm)
加解密鑰匙與認證 (.key, .pfx, .pem, .p12, .csr, .gpg, .aes)
設計、圖片、照片 (.vsd, .odg, .raw, .nef, .svg, .psd)
虛擬機器相關 (.vmx, .vmdk, .vdi)
6. 新增一個資料夾"Tor"，裡面有 tor.exe 、 9 個 dll 檔、taskdl.exe
、taskse.exe
7. taskse.exe 開啟 @wanadecryptor@.exe 跳出勒索訊息給你看
taskdl.exe 刪除暫存檔
tasksche.exe 尋找符合格式的檔案並加密
8. 當你想付款的時候就會啟動 Tor.exe
(Tor本身無害，他只是被用來創造全匿名的連線，跟他最有關係的是暗網)
9. 用以下三個 windows 指令刪除你的 shadow copy (windows備份和系統還原)
http://imgur.com/S3l9KHE
![[圖]](http://i.imgur.com/S3l9KHE.png)
10. 病毒會用以下兩個 windows 指令去用你的隱藏檔和變更檔案存取權限
attrib +h [[Drive:][Path] FileName] [/s[/d]]
icacls . /grant Everyone:F /T /C /Q
差不多就做這些事.. 2048-bit RSA 沒有 key 要解密幾乎不可能。
若有錯誤麻煩指正，感謝。
----
以上來源
http://blog.talosintelligence.com/2017/05/wannacry.html
https://securelist.com/blog/incidents/78351
WannaCry ransomware used in widespread attacks all over the world - Securelist Earlier today, our products detected and successfully blocked a large number of ransomware attacks around the world. In these attacks, data is encrypt ...
https://technet.microsoft.com/en-us/library/bb490868.aspx
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 117.56.162.73
※ 文章代碼(AID): #1P5hh4QR (AntiVirus)
※ 文章網址: https://www.ptt.cc/bbs/AntiVirus/M.1494661828.A.69B.html
※ 同主題文章:
05-13 06:15 ■ Re: [情報] WanaCrypt0r 2.0 大規模攻擊漏洞系統
05-13 07:58 ■ Re: [情報] WanaCrypt0r 2.0 大規模攻擊漏洞系統
● 05-13 15:50 ■ Re: [情報] WanaCrypt0r 2.0 大規模攻擊漏洞系統
推 : 推1F 05/13 15:55
推 : 感謝說明2F 05/13 15:56
推 : 目前應該只有付錢解密一途能拿回資料了對嗎？3F 05/13 15:56
→ : 要拿回資料只有付錢，不然就是一切重新開始4F 05/13 15:58
推 : 我看有人說付錢也有可能解不了?5F 05/13 16:00
https://news.ycombinator.com/item?id=14328924
早上看 hacker news 討論看到這篇是滿有道理的。
大意是說這是比生意，如果一個付錢沒解的話，那其他人也不會跟著付，因為會一起感染
的大多在同一個空間。另外你很有可能不只一台電腦受感染。
另外有滿多會提供試解服務.. 就是幫你解一兩個檔案讓你信他可以解。
或許.. 有版友真的付了可以上來跟大家說吧..
2048-bit RSA 是絕對可以解，前提是你有那一對 key, 我們在上網的 https 很多時
候就是用這種演算法的。
推 : RSA加密啊......6F 05/13 16:00
→ : 應該說，不付錢一定沒解；有付有可能有解這樣。7F 05/13 16:01
推 : 所以a片不會被加密？8F 05/13 16:01
→ : 阿少看到....
→ : 阿少看到....
推 : 2048-bit RSA 要用"超級電腦"跑300年就有機會解密10F 05/13 16:02
推 : A片就別救了拜託11F 05/13 16:04
※ 編輯: ChoDino (117.56.162.73), 05/13/2017 16:12:11推 : 請問一下若avast有偵測到 mssecsvc那我算已經中了嗎12F 05/13 16:08
→ : 但文件還沒被加密
→ : 但文件還沒被加密
→ : 可能還沒 上面有案例是avast有偵測到 結果嫌太吵關掉後14F 05/13 16:10
→ : 中獎了 你還是先更新和防範 畢竟防毒不是萬能的
→ : 中獎了 你還是先更新和防範 畢竟防毒不是萬能的
→ : 引清兵入關XDDDDD16F 05/13 16:11
→ : 他可能一直要丟出tasksche.exe但是一直被avast擋下來。17F 05/13 16:14
→ : 唔,之前我的comodo也怪怪的,..明天檢查一下好了,先斷網18F 05/13 16:23
推 : 想請問 Tor資料夾建立在哪個位置？如果在未感染之前先建19F 05/13 16:40
→ : 一個假的tasksche.exe 會被病毒覆蓋掉嗎？
→ : 一個假的tasksche.exe 會被病毒覆蓋掉嗎？
→ : 這沒人想實驗吧……樓上……21F 05/13 16:48
推 : 可以用一台乾淨沒在用的電腦試試看啊22F 05/13 16:49
推 : 2048bits要暴力也無法TAT23F 05/13 16:51
噓 : 紅明顯 我數學系的 RSA密碼當然可解 但沒私密鑰匙 暴力24F 05/13 16:56
→ : 破解 要幾十年 =.=
→ : 破解 要幾十年 =.=
→ : 所以說要等以後科技更進步,30年後可能1秒就解了...26F 05/13 17:04
推 : 還刪shadow copy...沒良心XD27F 05/13 17:14
推 : 30年後還是要再30年才能解 量子電腦可以設定更複雜的演算法28F 05/13 17:19
→ : 你拿現在電腦破解30年前的加密可能秒開 類似這個道理
→ : 你拿現在電腦破解30年前的加密可能秒開 類似這個道理
推 : 想問 24樓 如果有數組加密前加密後的檔案 能否回推密鑰的30F 05/13 17:26
→ : 內容 純好奇
→ : 內容 純好奇
推 : 好狠連虛擬機器相關也加密32F 05/13 17:37
推 : 如果被加密的檔案有一模一樣的備份，那可以推算出密碼33F 05/13 17:47
→ : 嗎
→ : 嗎
推 : 加密的副檔名有沒有包括 TrueImage的tib和vhd檔?35F 05/13 17:52
推 : 可以推回去，就算用光人的壽命時間，也還沒解秘完畢36F 05/13 17:52
→ : 先去估狗RSA非對稱加密演算法 你就知這問題很ooxx37F 05/13 17:59
推 : 2048 Bit + RSA 給超級電腦算100年看有沒有希望38F 05/13 18:11
推 : 推 長知識39F 05/13 18:25
推 : 看了一下壓縮副檔名 好像沒有7z40F 05/13 18:53
推 : 推說明41F 05/13 20:04
推 : 可以推算阿 不過要用到超級電腦+百年時間去演算破解42F 05/13 20:34
--
※ 看板: FW 文章推薦值: 0 目前人氣: 0 累積人氣: 192
作者 ChoDino 的最新發文:
![]()
感謝各位板眾的支持，在省錢板的人氣最好 陸續有接到一些人提出推文追蹤的功能，我自己是用 JPTT 滿足此需求 不過在許多人的建議後就開發了，自己覺得還算不錯。 注意：Ptt 網頁版推文更新速度約為 5 …66F 62推![]()
PTT Alertor 是為了追 Ptt 的文章所誕生的聊天機器人 它可以訂閱看板加上關鍵字或作者，即時通知最新文章 我算是一個環保與節儉的人 如果東西可以我都買二手，沒 e-coupon 就不買書， …145F 120推![]()
Ptt Alertor LINE Bot, Facebook Messenger Bot, Telegram Bot 2017/08/21 修復看板名稱沒有忽略大小寫問題。 2017/08/09 新增 …141F 69推 1噓![]()
文章看都看完了，順便翻譯一下。 以下是這病毒會做的事。 ---- 1. 最一開始的這隻 mssecsvc.exe 會丟出 tasksche.exe 並執行。 2. 送出HTTP請求給特定網域名，確認是 …42F 24推 1噓![]()
先說個結論： 有人發現了方法並停止了病毒的散播，已中獎的目前無解。未中獎的儘快更新，因為病毒 會變種，這方法也許很快就會失效，一失效就會開始擴散。 ---- 故事開始 Cisco Umbrella 的 …14F 6推
回列表(←)
分享