CNNVD关于“永恒之石”病毒的预警报告

   <p style="text-align:center"><img alt="CNNVD关于“永恒之石”病毒的预警报告" src="https://simg.open-open.com/show/9c52f84aae5ff9a47cc979f80e81dd14.jpg" /></p>    <p>近日，国家信息安全漏洞库（CNNVD）收到关于“永恒之石”（EternalRocks）病毒的分析报告。该病毒与不久前广泛传播的“WannaCry”勒索病毒类似，均利用了今年 4 月方程式组织泄露的漏洞利用工具进行传播。“永恒之石”感染存在漏洞的主机之后，会潜伏下来，等待远程C&C（命令与控制）服务器的指令，比“WannaCry”病毒更加隐蔽，不易察觉。</p>    <p>国家信息安全漏洞库（CNNVD）对此进行了分析研究，情况如下：</p>    <p><strong>一、“永恒之石”背景</strong></p>    <p>“永恒之石”最早由克罗地亚安全专家 Miroslav Stampar 发现和命名，并在 5 月 17 日通过推特发布相关信息。</p>    <p style="text-align:center"><img alt="CNNVD关于“永恒之石”病毒的预警报告" src="https://simg.open-open.com/show/1ff843e60d2c9fc74df0908eeed2eef6.jpg" /></p>    <p>“永恒之石”主要借鉴了 7 款针对微软 Windows 系统漏洞的利用工具进行传播扩散（见表1）。2017 年 4 月 14 日，黑客组织 Shadow Brokers（影子经纪人）公布了黑客组织 Equation Group（方程式组织）的部分泄露文件，其中即包括上述 7 款漏洞利用工具。</p>    <p style="text-align:center"><img alt="CNNVD关于“永恒之石”病毒的预警报告" src="https://simg.open-open.com/show/c9368442d22d8e78520d21e56a3085f2.jpg" /></p>    <p style="text-align:center">表1：“永恒之石”漏洞利用工具列表 </p>    <p><strong>二、“永恒之石”技术特点及危害</strong></p>    <p>（一）技术特点</p>    <p>“永恒之石”扫描 SMB 端口，利用 Windows 操作系统在 445 端口的安全漏洞（<a href="/misc/goto?guid=4959008540607891211">CNNVD-201703-721</a> ~<a href="/misc/goto?guid=4959008540719423098"> CNNVD-201703-726</a>）通过网络感染受害主机，进而使其主动下载 Tor 浏览器并与暗网中的C&C服务器建立通信，连接服务器 24 小时后，可在躲避沙盒技术检测的情况下，主动下载相关漏洞利用工具，进而感染其他主机。同时该病毒会从C&C服务器接收其他指令，可能进行其他攻击。</p>    <blockquote>     <p>a)“永恒之石”利用了方程式组织泄露的 7 个利用工具，与“WannaCry”相比更为复杂；</p>     <p>b)“永恒之石”仅通过网络进行传播扩散，而“WannaCry”对感染主机的文件进行难以破解的加密，并勒索比特币；</p>     <p>c)“永恒之石”并未像“WannaCry”一样，设置域名开关用于控制病毒传播；</p>     <p>d)“永恒之石”会在被感染的主机上安装后门，远程攻击者可利用该后门控制被感染主机；</p>     <p>e)“永恒之石”感染主机后，会延迟 24 小时下载攻击工具，目的在于拖延安全研究人员的响应时间。</p>    </blockquote>    <p>（二）潜在危害</p>    <p>a)“永恒之石”经过预定义的休眠期（目前为 24 小时），C＆C服务器才会做出回应，不易被安全检测沙盒和安全研究人员发现；</p>    <p>b)攻击者可以通过C&C服务器对受此“永恒之石”感染的计算机设备发出指令进行控制，并将新的恶意软件发送到已被感染的主机中。</p>    <p>c)与“WannaCry”相比，“永恒之石”虽尚未造成严重的危害，但若攻击者将“永恒之石”与勒索软件、木马等绑定，将可能对存在漏洞的主机造成严重的威胁。</p>    <p>d)如今尚未出现爆发大规模感染的情况，但结合“WannaCry”对内网的破坏情况可知，内网蔓延的隐患仍然存在。</p>    <p><strong>三、处置建议</strong></p>    <p>1、个人用户采取应急措施，安装漏洞修复补丁。“永恒之石”利用了与“WannaCry”勒索蠕虫相同的微软安全漏洞，请个人用户及时检查安装 MS17-010 修复补丁，补丁链接如下：</p>    <p><a href="/misc/goto?guid=4959008540813716244">https://technet.microsoft.com/zh-cn/library/security/ms17-010.aspx</a></p>    <p>与此同时，及时采取临时解决方案，一是关闭计算机的 445 端口和 135、137、138、139 等不必要开放的端口；二是配置主机级 ACL 策略封堵 445 端口；三是打开“Windows 防火墙”，进入“高级设置”，在入站规则中禁用“文件和打印机共享”相关规则。</p>    <p>2、网络管理员修改网络配置，监控网络接口。建议各网络管理员在网络防火墙上配置相关策略，限制外部对 445 端口的访问，加强内网审计。同时在接入交换机或核心交换机抓包，查看是否存在大量扫描内网 139、135、445 端口的网络行为，及时定位扫描发起点，对扫描设备进行病毒查杀，一旦发现被感染主机，立即断网防止进一步扩散。</p>    <p>3、日常使用规范。在日常计算机使用过程中，对重要信息数据定期及时进行备份；浏览网页和使用电子邮件的过程中，切勿随意点击可以链接地址；及时更新操作系统及相关软件版本，实时安装公开发布的漏洞修复补丁。 </p>    <p>本文作者：CNNVD（政企帐号），本通报由 CNNVD 技术支撑单位——亚信科技（成都）有限公司、杭州安恒信息技术有限公司、北京神州绿盟科技有限公司提供支持。</p>    <p>CNNVD 将继续跟踪上述漏洞的相关情况，及时发布相关信息。如有需要，可与 CNNVD 联系。联系方式: cnnvd@itsec.gov.cn</p>    <p>来自: <a href="/misc/goto?guid=4959008540909468847" id="link_source2">www.freebuf.com</a></p>