WannaCry爆发一周年 腾讯安全深度揭秘“勒索病毒黑色产业链”

距离去年5月12日勒索病毒爆发一周年了。一年前，一个叫“WannaCry”的勒索病毒突然大规模爆发，席卷全球150多个国家，造成高达80亿美元的 经济 损失。一年后，这个大型勒索病毒事件带来的负面影响仍然难以消除：其背后的“永恒之蓝”漏洞利用频频复现；大型企事业单位屡次遭遇勒索病毒攻击；勒索变种层出不穷，并开始从发达城市向偏远地区扩散。

勒索病毒已发展成为威胁网络安全的重大毒瘤，严重威胁着企业和个人用户的文档和数据安全。过去一年，腾讯安全通过精研勒索病毒防御技术和对黑产的深入调查探访了解到，勒索病毒攻击方式不断升级，并呈现出组织团伙化、产业链条化特征。

WannaCry仍在活跃 勒索病毒攻击呈现新趋势

腾讯御见威胁情报中心监控显示，在过去的一年，经过安全厂商的围剿堵截，WannaCry勒索病毒攻击在短时间内急速下降后已趋平稳，但并未彻底消失。直到今天，由于病毒变种不断出现，WannaCry依然在持续传播。

与以往勒索病毒主攻北上广深地区不同，近期受WannaCry影响最为严重的地区为广西和浙江，其次是江苏和湖北。经历WannaCry爆发初期，国内安全产商不断精研安全能力，全民防御意识有所提升，导致WannaCry变种在后续的攻击中逐渐将目标转向防御能力相对偏弱的地区。

（图：近期WannaCry勒索病毒在国内的攻击地域分布）

从WannaCry近期攻击行业分布上看，学校、传统工业、政府机构为主要目标群体，其中学校被攻击的比例更是占到35%。或由于此类机构长期依赖 互联网 提供的基础设施服务，但相对缺少专业安全运维服务，导致整体安全防御能力薄弱，极易被病毒入侵。

(图：近期WannaCry勒索病毒攻击行业分布）

不单单是WannaCry，进入2018年以来，越来越多的勒索病毒开始将攻击目标转向企业服务器。由于企业用户数据价值一般情况下远高于个人用户，一旦数据被加密会更倾向于缴纳赎金。于是，勒索病毒的攻击方式从最初的广撒网逐渐转变为向高价值目标发起定向攻击。

勒索病毒产业链条化 解密公司竟成勒索中间代理

伴随勒索病毒攻击方式进一步升级，勒索病毒在经历单打独斗的发展时期后，已呈现出组织团伙化、产业链条化的特征。

腾讯御见威胁情报中心分析发现，一次完整的勒索病毒攻击流程涉及勒索病毒作者、勒索者、传播渠道商、代理、受害者5个角色，从业人员之间的分工十分明确。勒索病毒作者负责勒索病毒编写制作，对抗安全软件；勒索者定制专属病毒，并联系传播渠道商进行投放；代理向受害者假称自己能够解密各勒索病毒加密的文件，实则与勒索者合作，共同赚取受害者的赎金。

（图：勒索病毒黑产流程图）

更让人意想不到的是，网络上可搜索到的可支持勒索病毒解密的公司，竟然也是参与勒索病毒黑色产业链的中间代理。

在网络上搜索勒索病毒解密相关信息时可以发现，网络上出现了许多提供“勒索病毒解密服务”的公司，排名靠前的大部分显示为搜索引擎广告。这类企业声称支持各种勒索病毒家族的解密，其中包括流行的Locky、Cerber、Crysis、GlobeImposter、GandCrab家族等。

（图：网络上搜索的勒索病毒解密服务）

据腾讯安全技术专家介绍，除非勒索病毒存在逻辑漏洞，或者这些企业拥有解密密钥，否则以正常的算力方法去解密的可能性微乎及微。然而，深圳某公司在服务器中招之后联系解密公司求助，解密公司居然凭借极少的信息就给出了内网IP以及对应的解密密钥，不禁让人怀疑其与该病毒的勒索者有所关联。技术人员假意表达想做中间代理而联系勒索者，很快便得到了相应回复。

探访结果证明，这类解密公司实际上就是勒索者的代理，利用国内用户不方便购买勒索者要求的数字货币赎金，以相对便宜的价格吸引受害者达成交易。根据某解密公司官网上公开的记录，一家解密公司靠做勒索中间代理一个月收入高达300万人民币。

对抗勒索病毒重在防御 腾讯“御”系列打造企业网络安全闭环

为防御勒索病毒攻击威胁，腾讯安全根据目前企业易遭受的安全威胁类型，推出“御”系列产品解决方案，整合腾讯安全安全技术能力及大数据资源，针对事前、事中、事后提供包括感知、检测、拦截、溯源在内的全套威胁应对机制，帮助企业有效抵御网络攻击。

4月16日，国内某医院的服务器遭受到了最新变种勒索病毒GlobeImposter的攻击，医院的服务器系统遭到入侵，导致部分文件和应用被病毒加密破坏。接到求助后，腾讯企业安全火速响应，通过针对感染情况的紧急分析和技术流操作，迅速锁定病源，保障了内网应用的安全运行。腾讯企业安全“御点”终端安全管理系统，将百亿量级云查杀病毒库、引擎库以及腾讯TAV杀毒引擎、系统修复引擎应用到医疗企业内部，有效防御医疗企业内网终端的病毒木马攻击。

腾讯御界防APT邮件网关系统依托哈勃分析系统的核心技术，结合大数据与深度学习，能够迅速识别APT攻击邮件、钓鱼邮件、病毒木马附件等；腾讯御见智能态势感知平台，通过对企业全面的基础网络信息进行集中采集、存储和持续深层分析，能够为企业用户构建自适应安全体系，弹性应对来自外部和内部的各种威胁，实现企业全网安全态势可知、可见、可控的闭环。

对于普通个人用户，腾讯电脑管家整合推出的“文档守护者”功能，帮助用户构建一站式文档保护方案，可实现对包括“WannaCry”在内的430种勒索病毒样本的免疫，还能提供对未知的勒索病毒的拦截能力，并自动备份全盘文档，全面保证用户文档安全。

对抗勒索病毒仍然长路漫漫，在互联网全面介入各个产业的当下，安全不再是单独个人和安全产商的事，提高全民网络安全意识，加强社会多方力量协作，叠加多元优势，形成合力，才能构筑坚不可摧的网络安全新防线。