WannaCry的傳播腳步今晨戛然而止
今天一大早，全網(wǎng)的WannaCry蠕蟲病毒攻擊突然減弱消退了！所有這一切功勞來自于英國研究人員@malwaretech，他通過逆向發(fā)現(xiàn)WannaCry代碼中有一個特殊域名地址：
www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com

這就像隨機敲打出來的域名。與此同時，思科研究人員也發(fā)現(xiàn)，昨天之前，網(wǎng)絡上完全沒有針對這個域名的訪問流量，僅昨天一天時間，這個域名的訪問量就達到每小時1400多次。

不可思議的是，@malwaretech竟然發(fā)現(xiàn)，該域名是個未經(jīng)注冊域名，出于職業(yè)習慣，他打算進行一些sinkhole攻擊，于是他果斷出手，花費了8.29英鎊就把它注冊在自己名下。注冊成功后，他發(fā)現(xiàn)這個域名可以接收到世界各國電腦系統(tǒng)的連接請求，這難道是WannaCry的C2域名嗎？隨著各路安全人員的逆向深入，發(fā)現(xiàn)該域名像是病毒制作者為防止事態(tài)失去控制，而故意留下的一個緊急停止開關，因為逆向代碼中有這樣一段程序邏輯：

意思是這樣的：請求這個域名，如果該域名存在，則退出；如果該域名不存在，則繼續(xù)攻擊….，GOD，該域名竟然控制著WannaCry病毒的傳播，它就是WannaCry病毒傳播的“緊急開關”（kill switch ）。@malwaretech的隨手注冊，立了大功！，他在推特中說道，“在注冊這個域名之前，我完全不知道能有此效果，這完全是個意外之舉。”

最終，媒體記者通過其注冊預留的郵箱聯(lián)系到了@malwaretech。

其實，在該事件一發(fā)生時，身為僵尸網(wǎng)絡研究人員的@malwaretech就及時對WannaCry病毒進行了跟蹤分析，其制作了動態(tài)分析趨勢圖被多家安全公司和媒體采用報道。

我國繼續(xù)呈高危感染態(tài)勢
雖然WannaCry蠕蟲傳播被臨時“制止”了，但這只能阻止其通過網(wǎng)絡繼續(xù)感染傳播，并不能防止本機中毒被加密勒索。而且，從當前情況來看，我國還在處于感染傳播嚴重階段，從malwaretech動態(tài)圖分析，我國華東多個地區(qū)內(nèi)還繼續(xù)有WannaCry感染情況。

專家預測升級版的WannaCry2.0將會繼續(xù)發(fā)起攻擊
另外，據(jù)安全人員表示，這還沒完，攻擊者可能還會發(fā)起第二波WannaCry攻擊，新一波的變異WannaCry程序?qū)⒉粫��?nèi)置“緊急開關”（kill switch）了，到時這種WannaCry升級版的傳播感染態(tài)勢將不可預計。希望人們盡快利用這段時間及時修復補丁，采取相關預防措施。
卡巴斯基研究人員Costin Raiu表示：
“我敢肯定，那些沒有緊急開關（kill switch）域名的變異版本已經(jīng)在傳播了！”
Hacker House專家Matthew Hickey也透露：
“作為攻擊者來說，只需要使用十六進制編輯器簡單更新一下程序，刪除那個所謂的緊急開關或進行其它的功能更新，這就是一個升級版的WannaCry2.0，所以，下一波攻擊將難以避免。在未來幾周或數(shù)月內(nèi)，我們將會看到不同的WannaCry變體傳播。對于我們廣大用戶來說，請盡快升級補丁才是當務之急！”
Hickey還表示：
“WannaCry不僅僅可以當成蠕蟲病毒，它還可以被其它惡意軟件利用，或搭載漏洞利用Payload發(fā)起多種形式的攻擊。”
目前，針對不包含”緊急開關”域名的升級版本W(wǎng)annaCry2.0，在安全社區(qū)和Twitter中也出現(xiàn)了討論。我們將持續(xù)關注。也希望相關機構(gòu)和個人及時參照相關方法，修復補丁，采取相關安全預防措施。