[转帖]WannaCry惊天大发现！疑似朝鲜黑客组织Lazarus所为

mlcml

2019-11-02

WannaCry惊天大发现！疑似朝鲜黑客组织Lazarus所为

2017-05-16共588524人围观，发现 17 个不明物体系统安全

https://www.freebuf.com/articles/system/134846.html
据说朝鲜也在攻击印度的核设施.
编号: TB-2017-0007
报告置信度:65
TAG:勒索软件 WannaCry Lazarus朝鲜蠕虫秘密开关域名
TLP: 白(报告转发及使用不受限制)
日期: 2017-05-16

摘要

今日凌晨，Google、卡巴斯基和赛门铁克等公司安全研究者相继发布消息称，5月12日爆发的WannaCry勒索蠕虫与朝鲜黑客组织Lazarus存在联系，微步在线分析师迅速对相关样本进行了同源性分析，发现二者确实具备较高相似度，出自同一组织的可能性较大。

其他发现还有：

微步在线长期跟踪朝鲜Lazarus团伙，曾先后发布包括《APT攻击团伙对SWIFT系统发起定向攻击》、《朝鲜黑客组织对多国银行发起定向攻击》在内的多个报告，披露朝鲜黑客组织Lazarus对孟加拉、印尼、越南等多个国家银行的攻击细节。
此次攻击目的表面为经济利益，但对于发起攻击日期的选择尚存疑。
最新捕获的WannaCry蠕虫出现第三个kill switch秘密开关。
具体域名见下文

微步在线的威胁情报平台已支持相关攻击的检测。已部署的客户可查看报警迅速锁定失陷主机，减少损失。如需微步在线协助，与我们联系。

事件概要

攻击目标	所有存在MS17-010漏洞主机
时间跨度	2017年5月12日至今
攻击复杂度	中。丰富的编程经验和基础资源
后勤资源	丰富的基础资源及开发能力
攻击向量	高危漏洞
风险承受力	高
最终目标	未知（加密敏感数据，勒索赎金？）

详情

Lazarus组织是谁？

Lazarus组织自 2009 年被首次发现，近年来频繁针对全球范围内的金融业发起攻击，目标范围包括菲律宾、越南、孟加拉等东南亚国家以及波兰等欧洲国家，其攻击手段十分隐蔽，攻击工具高度定制化，攻击目的非常明确，即盗取银行的资金，危害性极大。调查认为，该组织由朝鲜政府支持。

WannaCry与Lazurus组织的联系？

通过对本次爆发的WannaCry勒索蠕虫分析发现，该恶意软件早在今年2月就已经在互联网出现，只是当时的版本不具备利用MS17-010漏洞进行大范围传播的功能，因此未引起关注。Google研究者Neel Mehta今日在Twitter率先发布消息称，早期的WannaCry样本与Lazarus团伙使用的一款后门程序Contopee存在较高相似度.稍后卡巴斯基和赛门铁克研究者基于此发布了更多分析结果。