奇安信率先实现WannaRen拦截，奇安信用户无一中招

　　针对互联网上出现了一种名为“WannaRen”的勒索病毒，奇安信病毒响应中心红雨滴团队发布了详细的技术分析报告，更多细节被披露。报告显示，部署了奇安信情报产品的用户并没有遭受此安全威胁，旗下的天擎杀毒软件也率先实现了对该病毒的查杀。

　　报告分析认为，WannaRen在被大量关注后，攻击者迅速删掉了下载勒索模块中的链接，从而试图逃避检测。安全研究人员也同时指出，记录程序运行时间的fm文件，使用了简体中文进行记录，这足以证明该病毒的作者极有可能是中国人。

　　“根据线索，该病毒的踪迹我们发现于4月2号天擎用户的拦截日志”，红雨滴团队分析发现，“WannaRen”会偷偷下载WINWORD.EXE和wwlib.dll两个文件，前者为微软office的正常程序，后者为病毒文件。这种典型的白加黑攻击手段极易躲过大多数杀毒软件的查杀。此外，该勒索病毒还同时兼备挖矿功能，这将导致正常文件被加密无法访问的同时，电脑还将耗费大量资源为攻击者“挖矿”牟利。

　　像真正的生物病毒一样，该病毒还将本身作为传染源，以传染同一内部网络的电脑。“该脚本还有一种很少见的横向移动辅助手法，该手法利用了Everything拥有的http服务器功能。首先，其会在受害器上下载aaaa.exe，并保存到C:\Users\Public\目录下，功能为释放everything并开启http服务器功能，这样在同一内网的其他受害者就可以通过该http服务器下载上面的恶意程序，从而进一步的扩散受害面。”安全专家介绍。

　　图：奇安信天擎拦截记录

　　分析发现，早在今年1月，通过攻击者的域名，奇安信病毒响应中心就已经将该域名与HideShadowMiner组织的攻击关联在一起，并将该域名置黑，因此部署相关情报产品的用户均无遭受此威胁。HideShadowMiner，国内统称为匿影组织，该组织此前一直进行挖矿攻击。同时发现，通过特征，分析人员发现匿影组织还使用了多个域名搭载同一套Powershell攻击框架发起攻击。

　　图：相关攻击域名在全网的访问趋势图，时间集中在近期，符合事件发生时段

　　“4月2日，奇安信天擎就已经检测并拦截了相关攻击行为，并且即便恶意软件已经执行，但是对应的勒索病毒模块同样被天擎查杀，因此目前奇安信用户无一中招。”奇安信安全专家表示。奇安信红雨滴团队同时提供了病毒攻击的IoC,已便于用户自查是否已经收到“WannaRen”的安全威胁：

　　wmi.sslsngyl90.com

　　cpu.sslsngyl90.com/xx.txt

　　cpu.sslsngyl90.com/wmi.txt

　　us.howappyoude.club/v.txt

　　cpu.goolecpuclan.xyz/vip.txt

　　xx.sslsngyl90.com

　　xx.sslsngyl90.com

　　wmi.sslsngyl90.com

　　wmi.sslsngyl90.com

　　d.sslsngyl90.com

　　d.sslsngyl90.com

　　cs.sslsngyl90.com

　　cs.sslsngyl90.com

　　cpu.sslsngyl90.com

　　cpu.sslsngyl90.com

　　相关恶意程序下发路径

　　C:\ProgramData\227.exe

　　C:\ProgramData\office.exe

　　C:\ProgramData\nb.exe

　　C:\ProgramData\WinRing0x64.sys

　　C:\ProgramData\officekms.exe

　　C:\ProgramData\xeexfrt.txt

　　C:\Users\Public\MicrosftEdgeCP.exe

　　C:\Users\Public\1\winlogtrf.exe

　　C:\ProgramData\227.txt

　　C:\Users\Public\ aaaa.exe

　　WannaRen勒索软件主体Hash

　　9854723bf668c0303a966f2c282f72ea

　　此外，奇安信分析人员特别提醒，攻击者会通过微当下载去下载APK程序，并重命名为exe文件，但这也意味着，微当下载并没有识别出该APK是恶意的PE程序并进行了放行，用户应注意从此通道下载的相关程序。