過去24小時(shí)，除了朝鮮以外，幾乎所有國家都有wannacry病毒活動(dòng)

勒索病毒爆發(fā)前微軟早就開發(fā)了WindowsXP補(bǔ)丁但秘而不宣

上周五，在震驚全球的Wannacry勒索蠕蟲病毒爆發(fā)當(dāng)天（香菇病毒），微軟第一時(shí)間就發(fā)布了導(dǎo)致病毒大面積肆虐的 WindowsXP漏洞的補(bǔ)丁 (微軟同時(shí)發(fā)布了winxp_sp3 至 win10、win2003 至 win2016 的全系列補(bǔ)丁)。對于安全業(yè)內(nèi)人士來說微軟能在如此短的時(shí)間內(nèi)開發(fā)并發(fā)布WindowsXP補(bǔ)丁并“不科學(xué)”，更合理的解釋是： 微軟早就準(zhǔn)備好了WindowsXP的補(bǔ)丁，只是出于某些原因并未提供給全球的WindowsXP用戶。

事實(shí)上早在今年3月份，微軟就已經(jīng)了解到這個(gè)漏洞并且開發(fā)了windows全系產(chǎn)品的補(bǔ)丁，但不幸的是，根據(jù)金融時(shí)報(bào)的最新報(bào)道，微軟出于商業(yè)目的考慮，有選擇性地推送補(bǔ)丁，免費(fèi)給Windows 10系統(tǒng)用戶推送，而對繼續(xù)使用WindowsXP這樣已經(jīng)停止技術(shù)支持的老版本Windows系統(tǒng)的“釘子戶”，微軟采取了收費(fèi)更新策略，而且更新的費(fèi)用很高，這直接導(dǎo)致大量WindowsXP用戶難以負(fù)擔(dān)而選擇不升級。

對此，微軟的發(fā)言人告訴美聯(lián)社的記者表示：“對于那些不愿意升級Windows系統(tǒng)的用戶來說，可以選擇跟微軟簽訂定制化技術(shù)支持服務(wù)協(xié)議作為權(quán)宜之計(jì)。”

根據(jù)金融時(shí)報(bào)的報(bào)道，2014年微軟停止WindowsXP技術(shù)支持時(shí)，升級windows系統(tǒng)的成本約為每臺設(shè)備200美元，第二年就暴漲到了400美元。微軟還對一些客戶給出了更高的收費(fèi)標(biāo)準(zhǔn)。

如此高的升級費(fèi)用導(dǎo)致wannacry勒索病毒的第一批受害者之一——英國國家醫(yī)療服務(wù)體系這樣的機(jī)構(gòu)都無法負(fù)擔(dān)，當(dāng)然也包括大量在本次勒索病毒攻擊中中招的交通、能源、政府、金融、電信、教育等機(jī)構(gòu)用戶也都面臨類似的問題而沒有選擇升級。

但是Wannacry勒索病毒的重災(zāi)區(qū)中國，除了WindowsXP升級費(fèi)用門檻之外，盜版泛濫也是一個(gè)重要因素，紐約時(shí)報(bào)就曾 撰文 指出:

安全公司 F-Secure 的研究人員認(rèn)為，大量運(yùn)行盜版 Windows 的計(jì)算機(jī)或許為勒索軟件的入侵打開了方便之門。 目前并不清楚是否所有遭該勒索軟件入侵的中國企業(yè)與機(jī)構(gòu)都在使用盜版軟件。BSA 去年進(jìn)行的一項(xiàng)研究發(fā)現(xiàn)，2015 年中國計(jì)算機(jī)上安裝的軟件有 70% 沒有獲得正當(dāng)授權(quán)。一位學(xué)習(xí)網(wǎng)絡(luò)工程的人士將這次襲擊的大面積傳播歸因于許多問題，盜版是其中一個(gè)因素，“目前大多數(shù)的學(xué)校，全部都是用盜版軟件的，包括 操作系統(tǒng)和專業(yè)軟件，在中國，大部分人用的 Windows 都是盜版的，這就是一個(gè)現(xiàn)狀吧。”周一，中國的一些機(jī)構(gòu)還在清理因這次襲擊而癱瘓的系統(tǒng)。中國三大國營電信運(yùn)營商之一中國電信上周末也出現(xiàn)了類似的混亂景象，該消息來自一名沒有被授權(quán)談判此事的員工。這名員工表示，公司提供的軟件補(bǔ)丁不起作用，之后被告知使用奇虎360的一個(gè)補(bǔ)丁，后者支持盜版和授權(quán)過期的 Windows系統(tǒng)。

微軟第一反應(yīng)是甩鍋給NSA和用戶

上周微軟在wannacry勒索病毒爆發(fā)后不久就快速反應(yīng)，微軟負(fù)責(zé)法務(wù)的總裁Brad Smith在 微軟官方聲明 中指責(zé)NSA對此次病毒爆發(fā)負(fù)有不可推卸的責(zé)任，隨后國內(nèi)外安全專家在社交媒體上也普遍把矛頭對準(zhǔn)了奧巴馬時(shí)代開始執(zhí)行的VEP政府情報(bào)機(jī)構(gòu)漏洞披露機(jī)制（是選擇囤積戰(zhàn)備還是披露給廠商打補(bǔ)丁的一個(gè)決策流程）。下面我們回顧一下微軟聲明的部分內(nèi)容，有心的讀者可以自行腦補(bǔ)：

周五以來，我們就24小時(shí)連軸工作幫助實(shí)踐中受影響的用戶，這些工作還包括協(xié)助那些已經(jīng)失去技術(shù)支持的老用戶，…作為科技公司，我們微軟對于網(wǎng)絡(luò)攻擊響應(yīng)責(zé)無旁貸。微軟擁有超過3500名安全工程師，負(fù)責(zé)全面應(yīng)對網(wǎng)絡(luò)安全威脅，從持續(xù)更新到高級威脅防御服務(wù)（ATP）。具體到本次事件來說，我們?nèi)�月份就開發(fā)和發(fā)布了補(bǔ)丁，上周五第一時(shí)間更新了Windows Defender來檢測WannaCrypt攻擊。

事實(shí)上，本次攻擊表明，網(wǎng)絡(luò)安全是科技公司和用戶的共同責(zé)任，在（win10）補(bǔ)丁發(fā)布長達(dá)兩個(gè)月時(shí)間后依然有如此多的電腦(WindowsXP)存在漏洞就是最好的說明。這次攻擊也為企業(yè)敲響了警鐘：及時(shí)打補(bǔ)丁人人有責(zé)，應(yīng)當(dāng)?shù)玫礁吖艿闹С帧?/p>

此外，這次攻擊再次凸顯了一點(diǎn)，那就是政府囤積漏洞是多么的危險(xiǎn)。此前我們在維基解密上看到過CIA“窖藏”的漏洞，如今又是NSA泄露的漏洞給全世界用戶帶來了災(zāi)難。再一次，政府手中的漏洞泄露到公眾領(lǐng)域引發(fā)災(zāi)難，這就好比美國軍方丟失了一批戰(zhàn)斧式巡航導(dǎo)彈