两周过去了，“想哭”勒索蠕虫近来可好？

360威胁情报中心从截至到5月26日的数据中监测到，5月23日以来，对445端口发起扫描的独立IP数在大量增加，又开始呈现上升趋势，26日创下历史新高，甚至高出5月12日永恒之蓝爆发时11%左右。这个现象令人不安，暗示着基于NSA工具的SMB服务漏洞正在被积极地蠕虫式利用传播。

在永恒之蓝勒索蠕虫肆虐期间就出现了很多个去除KillSwitch修改版本，之后还发现了捆绑NSA几乎所有可用SMB漏洞攻击工具进行传播的EternalRocks（永恒之石）家族，这些派生和其他家族理论上具备更强的传播力，甚至会逐渐取代永恒之蓝蠕虫的主流地位。

如果利用SMB漏洞进行传播的蠕虫只是秘密地潜伏控制，不做更多引起用户注意的事情，则可能持续保持活动状态，2008年爆发的Conficker蠕虫到现在都还处于活跃状态，此次基于MS17-010多个漏洞的蠕虫（不一定是“永恒之蓝”）也极有可能会一直存活下去，持续地制造麻烦。目前扫描源IP数量的持续增长暗示还有很多系统没有打上补丁，蠕虫还能进入大量系统扫描攻击传播。

永恒之蓝勒索蠕虫的现状

距离永恒之蓝勒索蠕虫（WannaCry）的爆发已经差不多两周时间了，360威胁情报中心一直在做持续地跟踪。基于360网络研究院的数据，显示“永恒之蓝”勒索蠕虫的感染量在初期的暴增以后在近期保持平稳，偶有不大的起伏。

下图为WannaCry蠕虫家族Kill Switch域名的访问量曲线：

在5月12日蠕虫爆发以后，蠕虫的感染量在最初的几小时内冲高到顶点，在北京时间5月12日23点左右KillSwitch域名被注册启用以后受到极大地抑制，在后续的几天内安全厂商与用户的协同处理后，整体感染情况基本得到控制。

下图为感染蠕虫的独立IP数曲线：

可以看到蠕虫的感染量基本保持稳定，但近几天有少量的增长。

值得警惕的趋势

以上的分析显示“永恒之蓝”勒索蠕虫家族已经得到的很大程度地控制，但是360威胁情报中心在分析全网扫描活动的数据后发现了一个令人不安的趋势：对445端口发起扫描的独立IP数在大量增加。

下图是蠕虫爆发前的5月2日对445端口进行扫描的独立IP数：

在5月12日前，445端口的扫描源IP数基本保持稳定，这个数据可以理解为一个背景参考量。

下图显示5月12日蠕虫爆发时扫描源IP数，上升11%左右：

基本可以认为超出的IP数绝大部分来自于感染了蠕虫的机器。在接下来的几天全球采取应对蠕虫的措施以后，扫描IP数有所下降，蠕虫的传播受到控制。但是，5月23日以来，扫描源IP数又开始呈现上升的趋势，到26日创下历史新高（今天27日的数据还不完整），如下图。

这个现象令人不安，暗示着基于NSA工具的SMB服务漏洞正在被积极地蠕虫式利用传播。在永恒之蓝勒索蠕虫肆虐期间就出现了很多个去除KillSwitch修改版本，之后还发现了捆绑NSA几乎所有可用SMB漏洞攻击工具进行传播的EternalRocks（永恒之石）家族，这些派生和其他家族理论上具备更强的传播力，甚至会逐渐取代“永恒之蓝”蠕虫的主流地位。

“永恒之蓝”蠕虫的加密勒索行为会促使中招用户尽快处置，重装系统安装补丁，减少后续的感染源。但是，如果其他利用SMB漏洞进行传播的蠕虫只是秘密地潜伏控制，不做更多引起用户注意的事情，则可能持续地保持活动状态，2008年爆发的Conficker蠕虫到现在都还处于活跃状态，此次基于MS17-010多个漏洞的蠕虫（不一定是“永恒之蓝”）也极有可能会一直存活下去，持续地给我们制造麻烦。

处理建议

无论是什么蠕虫，封堵其进入渠道永远是最有效最根本的解决方案，所以打补丁无论怎么强调都不过分。目前扫描源IP数量的持续增长暗示还有很多系统没有打上补丁，蠕虫还能进入大量系统扫描攻击传播。

对网络始终保持监控也是体系化防御的重要部分，做网络安全不能有银弹思维，攻击者通过利用漏洞取得突破而不被检测到是完全可能的，但后续扫描探测的行为则可能有可检测的迹象。具体到利用NSA工具SMB漏洞的蠕虫，如果通过某些漏网未打补丁的系统进入内网，安全系统能够及时发现其自动化的扫描行为加以处置也不算太晚。可以预见，利用MS17-010漏洞的蠕虫的扫描活动在互联网上会作为背景攻击长期存在，我们需要时刻保持警惕，加固门窗随时恭候来砸门的僵尸。