勒索病毒席卷全球始末，深剖黑客肆意进攻的透明世界
钛媒体 TMTPost.com
TMT ｜创新｜ 创业
关注这个不一样的微信号：钛媒体 （ ID：taimeiti ）
钛媒体【周末深阅读】推荐最有钛度的原创深度长文
“到了人工智能时代，AI时代，人人都可能成为黑客”。正如Tay被污染的过程中，扮演污染源的人类不需要会写代码。可以肆意攻入手机、单车、智能家居⋯⋯这就是网络黑客眼里的透明世界⋯⋯
钛媒体记者 ︳张霖 朱涛伟
5月13号，网络安全领域又爆出了一个巨大的负面消息引爆全球：一款勒索病毒横行全球上百国家，而欧洲、中国和美国成为重灾区，中国多所大学遭到攻击。
根据360情报中心的统计，截至5月13日19：00，中国国内有28388个机构被感染，其中江苏为受灾最严重地区。
令所有人意外的是，病毒很快被拦截中止了，但原因并非有什么“杀毒工具”，而是网络安全人员的一个意外发现。
比特币勒索病毒爆发后，英国一名网络安全工程师分析病毒代码时，发现一个特殊域名地址：www.iuqerfsodp9ifijaposdfjhgosurijfaewrwergwea.com，通过分析在昨天之前，网络上完全针对这个域名的访问，而昨天开始域名访问量激增加，这位工程师出于职业习惯就把该域名注册了。
得亏了这个职业反射，此后分析病毒代码时，安全人员发现，这个域名是黑客为防止自己对事情失去控制，给自己预留的一个紧急开关。
逻辑代码翻译成白话就是，每一个感染病毒的机器，在发作之前都会事先访问这个域名，如果这个域名依旧不存在，那就继续传播，如果已经被人注册，无论是病毒本身还是被感染者，就会停止继续传播。
阻止了这场病毒传播的安全工程师坦白承认这是个美丽的巧合，同时提醒需要为电脑打上补丁，以免病毒变种，绕过这一域名，发动下一波攻击。
阿里云安全专家分析称：
“此次全球比特币勒索病毒是由NSA泄露的Windows系统 SMB/RDP远程命令执行漏洞引起。利用该漏洞，黑客可远程实现攻击Windows的445端口（文件共享）。”
针对NSA黑客武器利用的Windows系统漏洞， 微软在今年3月曾发布补丁修复。此前，阿里云第一时间发布预警，并推出一键检测修复NSA黑客武器攻击漏洞的工具。如果系统没有安装今年3月的微软补丁，无需用户任何操作，只要开机上网，黑客即可在电脑里执行任意代码，植入勒索病毒等恶意程序。
考虑到Windows系统 SMB/RDP远程命令执行漏洞的危险性，国内外不少云服务厂商都在4月封掉了445端口。但全球不少个人电脑、IDC物理机房仍存在大量暴露着445端口的机器，这给了黑客可乘之机。
阿里云安全专家分析，此次勒索事件在校园网传播速度之快，影响面之大主要原因是当前大部分学校基本是一个大的内网互通的局域网，不同的业务未划分安全区域。例如：学生管理系统、教务系统等都可以通过任何一台连入的设备访问，同时，实验室、多媒体教室、机器IP分配多为公网IP，如果学校未做相关的权限限制，所有机器直接暴露在外面。
安全补丁对个人用户来说相对简单。只需自学装载，就能完成止血。但是对大型企业或组织机构而言，面对成百上千台机器，最好还是能使用客户端进行集中管理。比如，阿里云的安骑士就提供实时预警、防御、一键修复等功能。此外，可靠的数据备份可以将勒索软件带来的损失最小化。建议启用阿里云快照功能对数据镜像备份，并同时做好安全防护，避免被感染和损坏。
针对关于大型机构的 “永恒之蓝”勒索蠕虫攻击防范，360安全监测与响应中心的专家表示：
首先应该确认影响范围，确保Win7及以上版本的系统安装MS17-010补丁。Win7以下的Windows XP/2003开启SMB服务。
针对大型机构的应急防范措施，专家建议应从DMZ非军事化隔离区、生产区域、办公区域、互联网边界的网络和终端层面全面做好紧急抑制工作。
安全专家强烈建议 网络管理员在网络边界的防火墙上阻断445端口的访问，如果边界上有IPS和360天堤智慧防火墙之类的设备，请升级设备的检测规则到最新版本并设置相应漏洞攻击的阻断，直到确认网内的电脑已经安装了MS17-010补丁或关闭了Server服务。
联想到去年，美国遭受了瘫痪半个国家的物联网黑客攻击，是否这样的事情会成为一种悲剧的轮回？
就在同一天，Geekpwn2017年的年中赛上，作为全球首次海上安全极客大赛，一群白帽黑客在进行网络安全攻防战。这次到了公海上，他们自然会将网络安全的演习进行的彻彻底底。
钛媒体编辑也得以一窥这些网络黑客眼里的透明世界：可以肆意攻入手机、单车、智能家居⋯⋯任何他们想攻入的网络世界⋯⋯
形同虚设的智能门锁
来自百度安全实验室的谢海阔与黄正，将自己破解课题的目标指向了A220果加互联网智能锁。
由于现场的网络比较差，给审核人员通过后台修改智能锁密码造成了困扰，然而就在密码修改成功之后，他们在不接触门锁，只是靠近的情况下，便几乎瞬间破解了智能锁的密码，这样王琦直呼“我就跟托一样”。
根据谢海阔、黄正介绍，这款智能锁的漏洞在于其网关不严谨的默认设置，导致了任何人只要来到锁的附近，都能获取设备的序列号，通过逆向分析，便可破解通信协议、得知密码加解密算法，最终获得门锁的密码。评委万涛认为，理论上利用这个漏洞可实现十分钟内获得此品牌销往全国的所有智能锁的密码。
“我住的公寓用的就是果加的锁”，当被问到为什么针对果加时，他们给出了这个答案，而且对于在相似逻辑的产品，他们认为这个问题也可能同样存在着。
他们对钛媒体讲，自己曾经做过一个解锁的App，结果在小区溜达的时候，便拿到了很多小区用户的门锁密码，当然他们从来没有去解锁。
他们讲，解决这个漏洞首先是厂商要下发新的固件，把智能锁网关的外发信息关闭，或是多加一层加密；其次是网关和智能锁的加密算法要改进，不能说拿到加密数据后，通过逆向运算便可以还原锁的地址和密码。
作为拥有百万用户的果加智能产品，其在链家自如、万科、绿地、途家小猪等企业中有着广泛的应用，一道形同虚设的门锁，能够保护谁的安全呢？
25万漏洞设备，思科或埋下祸根
企业与运营商级别的网络出现岔子，引发的往往就不会是一个小事故。去年的Geekpwn大会上，来自战斗民族的黑客选手就喜欢以“城市”为计量单位，今年来自俄罗斯圣彼得堡的George Nosenko，这个曾经获得有 “黑客奥斯卡”之称的Pwnie奖提名的黑客，选择了挑战Cisco Catalyst2960交换机。
经过一波三折的调试，他还是完成了挑战：不通过console连接交换机，事先未获得交换机配置和密码信息的情况下，获得了其系统的最高权限，能够修改最高权限用户的密码，并且将某个端口流量完全同步到另一个端口，从而监控其他用户。
在现场的展示中，能够看到被监控的一台电脑，其所搜索的页面图片能够实时展现在黑客的电脑桌面上。
而且通过扫描研究，他发现了全球有252000台漏洞设备暴露在互联网上，大约800万缺陷设备端口开放，其型号包括Catalyst 3850 Series，Catalyst 2960 Series等等。
作为传递着互联网将近80%信息流量的思科，这样的漏洞是否隐藏着下一个威胁到全球数亿网民安全的因素？
我骑单车，你付账
如今街头巷尾的共享单车，数量俨然是要朝向超越使用人数的方向发展。以共享的名义，借助资本的力量，共享单车如今已经是一个庞大的市场。在这样一个资本推动着前进的领域中，“安全”到底会被拉到怎样底的底限上呢？
来自上海的女黑客“tyy”，便在Geekpwn的现场挑战了四款共享单车：小鸣、永安行、享骑和百拜。
因为法律法规的问题，共享自行车并没有搬到现场的场地上。评委事前在手机中下载了上述四个公司的App，并且已经使用过，账户中也存在着余额。
“tyy”在整个的攻击过程中，一是没有接触手机，二是也不知目标的账户与密码信息。然而在现场，就在评委一个接一个打开四款App的同时，选手很快也一一获得了各个账户中的信息，包括行程、余额的具体细节。
而通过视频，“tyy”连线了远在上海的助手，同步了攻击后获得的信息，上海助手的手机APP中已经有了评委手机中的行程和余额，并能够在上海打开共享单车，实现了人在香港之外的公海上，但账户却能解锁上海的单车。
“tyy”在接受钛媒体的采访时，称自己在一个月的时间内研究了一个月的时间研究了十几款单车，除了这四款单车之外，还有三款单车也存在着类似的漏洞问题。
“4月初，最早就在摩拜上找到了问题，但是摩拜很快便进行了修复”，她讲到自己主要关注的是网络协议和APP，现场破解的四个APP，虽然造成的后果是一样的，但是出的问题不一样，不能概括来讲，但是“其中有的漏洞，可以说是非低级的。”
那么数以百万计的单车所积累下来的庞大用户群，他们的实名制、定位等隐私问题该怎么办呢？
移动的病毒库，传染式的手机链条攻击
传统的攻击模式，一般都会选择静态的方式，而来自腾讯玄武实验室的郭大兴、刘惠明，提供了一种移动的安全攻击思路。
而且这种攻击不但可以实现传染式散播，而且攻击过程不依赖互联网，需要的只是“我的手机靠近你的手机”这么简单。
在现场的实时演示中，可以清楚的看到，攻击手机 A 会入侵附近的手机 B ，并将其改造为新的攻击者。当手机 B 靠近手机 C 时就会入侵手机 C 并窃取数据。当手机 B 回到手机 A 附近时，手机 A 就能从手机 B 上得到手机 C 中照片等数据。
“手机 A” 攻击“手机 B”
“手机 B”攻击“手机 C”
根据刘惠明的介绍，在演示中他们主要是使用WiFi协议，对手机的核心固件进行了修改，从而可以攻击到手机里的数据。
现场的演示中，被攻击者点击浏览器看网页成为触发条件，而郭大兴则将其实这种传染完全可以在毫不知情的方式下进行，但是攻击手机的感染范围不好确定，这样的设定也是为了保护现场观众的网络安全。
其次，这样的攻击是可以自动传染下去的，并不是非需要一个“手机 B ”这样的角色进行反馈。只是在船体这样的环境中，这样能够展示这个攻击的另一个特点，它的攻击并不依赖互联网。
现在的测试只是在安卓手机上，至于苹果手机并没有一个明确的结果。
小米与Oppo，还有被攻击的常客——路由器
除了上述的攻击试验，本次Geekpwn大会上，依然是新面孔与旧面孔齐放：
比如去年10月破解了华为P9的指纹，今年的大会上露面的变成了OPPO R9系列手机。通过在手机中安装一个app，便可以发送指令抹去手机原本的解锁密码与指纹，再次解锁手机时则不需要密码、指纹；再者还可以伪造并替换合法的应用程序，从而完成窃取隐私的目的。
还有针对小天才y03，小寻儿童智能手表的攻击，攻击者可以利用儿童手表的通讯协议漏洞，在电脑端操控手表，替换手机号、修改联系人名称；还可以对信号进行劫持，当儿童给家长打电话时，号码可以接到攻击者手机上……
路由器则是当然不让的常客，黑客们变着法的折腾。各种花式的获取最高权限、劫持流量、替换浏览网页等等。
人工智能与网络安全
GeekPwn大赛的创办人王琦，在大会上提出了这么一个想法：黑客对决AI。并宣布：将以500万的奖金池，启动10月24日在上海和硅谷的人工智能安全挑战赛的招募，接受全球顶尖AI安全极客的报名。
人工智能在我们日常生活中的应用，正在一点一点加深它角色的比重，尤其是现在已经比较成熟的语音识别，图像识别等技术，但是硬币的另一面，也就是它存在了很多的安全隐患。
王琦讲到人工智能领域的一个概念——深度学习，他认为人工智能的判断，无非就是通过大量样本通过深度学习来得出结论。
那么，人工智能通过“脏（攻击）样本”，经过深度学习得出的，那就是“错误的行为”。这与黑客挖漏洞的过程又是及其的相似——生成大量的样本，交给软件，改变数据流程，最后导致一个错误的决策。那么黑客通过离线模拟产生的AI攻击样本，则可能给人工智能带来错误的决策和行为。
就像是微软的聊天机器人——Tay上线不到一天的时间内，其语言中就脏话不断、并充满了种族主义。因为它通过网络的学习，认为这是一种正常的人跟人之间交流沟通的方式。
王琦讲，“到了人工智能时代，AI时代，人人都可能成为黑客”。正如Tay被污染的过程中，扮演污染源的人类不需要会写代码。
还有像波士顿动力在训练机器狗时，用脚踹的方式，让它学习维持平衡的能力，但如果这个机器人觉得踹一脚或是给别人一拳是正常的呢？
所以王琦认为，“如果时代的发展，从伪智能到弱智能到强智能。真的走到那一天，我们有义务让AI为我们安全的服务”。（本文首发钛媒体，记者/张霖）
微信推送太少，下个钛媒体App更及时
了解这个新奇世界
做你的专业助手，钛媒体Pro（专业版）来了，更丰富的专业信息服务体系，点击“阅读原文”，注册成为钛媒体专业用户。