勒索病毒已停止擴散?WannaCry 2.0 更新版釋出,威脅尚未解除


就在昨天肆虐全台的 WannaCry 勒索病毒,被一名化名 MalwareTech 的資安研究人員發現,WannaCry 會透過一個未被註冊的網域名稱:iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com 作為判斷是否擴散的依據,只要該網域不存在,病毒就會繼續擴散。因此這名研究人員把網域註冊起來,意外地阻止了 WannaCry 的擴散。

 

為何會有這個奇怪的機制?

根據 PTT 防毒版的網友 mayuyu 分析,這機制主要是讓病毒判斷自己是否在沙箱(SandBox)內運行,若病毒對外查詢一個不存在的域名,是否會得到 IP 位址,若得到 IP,代表自身很有可能存在在一個沙箱中,因此就停止運行。資安人員就是發現這點,把這個不存在的網域註冊起來,並因此誤導了病毒讓他停止繼續擴散。

WannaCry 之所以會犯下這個低級錯誤,有可能是在撰寫程式的時候懶、省時間,因此反被資安人員利用並阻止。但提醒各位,雖然短暫阻止了病毒的擴散,但已經受到感染的電腦並不會因此復原。

危機解除了嗎?

並沒有,卡巴斯基全球研究總監指出,修復這個漏洞的 WannaCry 2.0 病毒已經出現,因此資安人員用的方法僅短暫的阻止了幾小時的擴散,現在危機並沒有解除。

如何避免

如何避免 WannaCry 感染你的電腦,請參考此篇文章:新型勒索病毒WannaCry重創台灣!中毒了怎麼辦?如何預防?

 

延伸閱讀》