wannacry 2 0如何应对,WannaCry 2.0 攻击案例 2024

题图来自Unsplash，基于CC0协议

导读

WannaCry 2.0指的不是2017年原始WannaCry勒索软件的升级版，而是一种利用新型攻击技术——无文件勒索软件（Fileless Ransomware）进行传播和加密的攻击行为。尽管这不是一个官方命名的正式版本，但“WannaCry 2.0”这种说法被一些媒体和安全社区用来描述类似的攻击事件，暗示它们与原始2017年版本的攻击方式有本质区别。

首先，我们需要了解WannaCry威胁的演变。原始WannaCry是在2017年爆发的全球性勒索软件攻击事件，其主要传播是利用CVE-2017-0143的EternalBlue漏洞，通过网络横向移动传播。而新兴的“WannaCry 2.0”或与WannaCry家族不同的变种，如Petya、Jaff等，更多地采用无文件攻击技术，这意味着它们不在设备上留下大量的恶意软件文件，增加了检测和清除的难度，让传统的基于文件扫描的防病毒工具往往失效。

一、WannaCry 2.0是什么，与WannaCry有什么区别？

在术语上，WannaCry 2.0并不是作为官方命名的勒索软件版本，它更多是对攻击趋势的一种描述。具体来说：

• 从攻击机制上：原始的WannaCry主要依赖远程协议传播，通过EternalBlue和漏洞利用工具如DoublePulsar进行渗透；而所谓的“WannaCry 2.0”指的是无文件攻击，其恶意载荷不是静态的文件，而是驻留在内存中运行，利用系统自带工具或合法脚本来隐藏自身活动。

• 传播方式：原始WannaCry是点对网攻击，依赖特定的网络漏洞传播。而无文件攻击通常是隐身行动，通过钓鱼邮件、窃取凭证、利用第三方远程接入工具（如TeamViewer）等方式获得初始突破后执行加密脚本。

• 攻击目标覆盖范围：WannaCry主要针对Windows系统，而“WannaCry 2.0”类别的无文件攻击也主要集中在Windows平台上，但由于其无文件特性，同样可能感染更高版本的安全环境。

• 攻击效果：原始WannaCry出现了称为“Wanna Decryptor”的解密工具，虽然其有效性受到争议。而最新的无文件勒索软件几乎没有修复工具。

二、WannaCry 2.0攻击案例（近年趋势）

尽管全球范围内的WannaCry勒索软件事件主要集中在2017年，一些后续的变种的确是威胁格局的一部分：

• 2022年至2024年相关攻击趋势：根据安全公司报告，无文件勒索软件活动呈现上升趋势。例如，一些名为“WannaCry-like”的攻击事件，可能模仿原始WannaCry的行为模式（如借助相似文件名），借助EternalBlue漏洞、RDP未保护访问等，影响全球多个组织。但严格意义上，这些攻击并不一定是WannaCry的变种，而是不同攻击者的变种或对其代码的复刻。

• Petya及Petya v2（NotPetya）等类似家族：这些攻击有时因为加密期间显示“WannaCry”字样而被误认为是WannaCry攻击，如Petya勒索软件，其活跃时间为2017年下半年，利用无文件技术并且攻击范围更广，不受微软紧急停止攻击的影响。

• 2024年年初有无新爆发：目前尚未有权威报告表明出现针对“WannaCry 2.0”的大规模勒索事件，但无文件攻击整体威胁并未停止。

三、如何防御 WannaCry 2.0勒索软件

由于攻击方式从网络漏洞传播转向了内存中的无文件攻击，防御策略需要全面升级：

1. 网络隔离与限制访问：严格控制RDP和远程桌面访问，仅允许必要人员通过强密码或双因子认证访问。在网络边界部署防火墙或SD-WAN控制横向移动攻击。

2. 及时补丁管理：即使不是针对CVE-2017-0143，也要保持操作系统、系统管理工具以及安全软件等全面更新，以防止任何已知漏洞被利用。

3. 配置防火墙和网络安防：关闭不必要的网络共享和端口；严格控制网络中对ICMP协议、远程访问端口（如3389）的访问；部署防病毒和EDR工具。

4. 强化员工安全意识：定期对员工进行网络安全培训，识别钓鱼邮件和攻击信号（如诱饵链接、异常活动日历），教导抵制不开的附件或链接。

5. 部署内网审计和沙箱检测：沙箱技术有助于检测异常脚本行为，EDR可以提供对内存中活动（无文件攻击）的实时监控。

6. 使用网络分区和隔离网络安全区域：多个隔离的办公区域对不同用户分别隔离，防止感染者影响整网。

7. 配置安全解决方案：采用Next-Gen防火墙、端点安全、防EDR（Microsoft Defender for Endpoint）、端点检测和响应（EDR）工具，配备高级沙箱（如Cylance、W Digital Guardian）。

四、WannaCry 2.0使用的漏洞 CVE 编号存在吗？

原始WannaCry使用的漏洞是CVE-2017-0143，但“WannaCry 2.0”的无文件攻击并没有一个固定的CVE漏洞编号，因为攻击行为常利用多种漏洞，甚至不依赖某个特定补丁。所以，防御的关键不只是打补丁，而是增强整体防御体系。

五、WannaCry 2.0是否有解密工具？

原始的WannaCry有ExternalBlue加解密工具，但“WannaCry 2.0”通常采用的是无文件攻击，并无解密工具。因此，如果数据被感染，唯一可行的恢复方法是备份恢复，因而强化备份和恢复方案极其必要。

总结

面对新型“WannaCry 2.0”风格的无文件勒索软件攻击，企业与个人已经从单纯的防御文件传播时代过渡到必须面对复杂的内存攻击时代。防御策略必须整合网络隔离、补丁管理、用户教育、终端监控、事件响应和备份机制。将“防止是最佳的防御”，才是面对新一代更隐蔽、更难以检测的勒索软件威胁的正确姿势。保持网络健康与设备解密，必须靠体系化的安全策略，而非依赖某一款单一防病毒工具。