上周末WannaCry勒索軟件肆虐互聯(lián)網(wǎng),無(wú)數(shù)主機(jī)被感染,從醫(yī)療保健到交通運(yùn)輸,多種關(guān)鍵系統(tǒng)被鎖定,密碼學(xué)家們都在找尋破解加密困局的良藥。畢竟,找到WannaCry加密機(jī)制中的漏洞,就能解密所有這些被感染的系統(tǒng),不讓網(wǎng)絡(luò)罪犯的勒索陰謀得逞。
現(xiàn)在,一名法國(guó)研究員稱,至少發(fā)現(xiàn)了一個(gè)非常有限的補(bǔ)救措施。該修復(fù)方案看起來(lái)似乎仍然缺陷多多,遠(yuǎn)未達(dá)到WannaCry受害者們期望的靈丹妙藥的程度。但如果阿德里安·圭奈特是對(duì)的,他的工具就可以解鎖被感染的 Windows XP 機(jī)器——分析師認(rèn)為該老舊操作系統(tǒng)占了WannaCry受害范圍的一部分。
沒有萬(wàn)靈丹
上周五,圭奈特在開源代碼倉(cāng)庫(kù)GitHub上發(fā)布了“WannaKey”。這位QuarksLab安全公司的員工稱,該軟件能從 Windows XP 機(jī)器的內(nèi)存中提取私鑰痕跡,用于解密被WannaCry感染PC的文件。
圭奈特稱,在感染了WannaCry的測(cè)試XP機(jī)上,他已使用該解密工具成功了數(shù)次。但他警告道,由于這些痕跡存儲(chǔ)在易失存儲(chǔ)器中,只要該惡意軟件或任意其他進(jìn)程剛好重寫了解密密鑰存儲(chǔ)區(qū),或者電腦在被感染后重啟過(guò),他的招數(shù)就失效了。
如果你運(yùn)氣好,你可以訪問(wèn)內(nèi)存的某些部分,重新生成密鑰。或許密鑰依然存在,你可以檢索到密鑰來(lái)解密文件。但并不是每次都有效的。
圭奈特特別警告:
尚有可能恢復(fù)文件的任何 XP WannaCry 受害者,必須在運(yùn)行他的程序前讓電腦保持原樣。別重啟!
其他安全研究人員還沒有驗(yàn)證WannaKey的能力,而且至少有一名研究員——Comae Technologies 創(chuàng)始人馬特·舒徹,稱該程序在他最初的測(cè)試中沒能解密文件。但看過(guò)該工具代碼和圭奈特在GitHub和推特上備注的其他研究人員認(rèn)為,該工具似乎利用了WannaKey加密中的缺陷,最起碼在 Windows XP 上是這樣的。約翰·霍普金斯大學(xué)計(jì)算機(jī)科學(xué)教授馬修·格林說(shuō):“看起來(lái)像是合法的。”但他也警告道,對(duì)具體受害者是否有效也是個(gè)運(yùn)氣問(wèn)題,跟中彩票似的。
解密看門人
WannaKey的解密機(jī)制,利用了微軟某加密函數(shù)中的一個(gè)怪癖,而這個(gè)加密函數(shù)是用來(lái)從內(nèi)存中刪除密鑰的。這個(gè)怪癖似乎被WannaCry的作者給忽略掉了。WannaCry會(huì)在受害者機(jī)器上產(chǎn)生一對(duì)密鑰:一個(gè)“公”鑰用來(lái)加密文件,一個(gè)“私”鑰用來(lái)解密——如果受害者支付了贖金的話。(WannaCry的無(wú)良作者到底會(huì)不會(huì)為已支付贖金的受害者解密文件尚是個(gè)未知數(shù)。)為防止受害者得到私鑰并自行解密文件,WannaCry把該密鑰也給加密了,讓該密鑰只有在勒索軟件操作人員解密的時(shí)候才可以訪問(wèn)到。
但圭奈特發(fā)現(xiàn),WannaCry加密私鑰之后,一個(gè)微軟設(shè)計(jì)的刪除函數(shù)還會(huì)到內(nèi)存中清除掉未加密版本的密鑰。很明顯,勒索軟件作者并不清楚該函數(shù)在 Windows XP 系統(tǒng)中實(shí)際上刪不掉內(nèi)存中密鑰,只是留了個(gè)指向密鑰的句柄而已。芬蘭安全公司F-Secure研究人員米柯·希波能,同樣研究了圭奈特的代碼,他說(shuō):“為什么要用個(gè)實(shí)際上不能清除密鑰的密鑰銷毀函數(shù)呢?真的特別奇怪?;蛟S也是為什么之前沒人發(fā)現(xiàn)的原因吧。”
不知道有多少 Windows XP 機(jī)器中了WannaCry。爆發(fā)初期,微軟匆忙發(fā)布了一個(gè)補(bǔ)丁保護(hù)XP設(shè)備,思科研究人員稱,至少64位的 Windows XP 機(jī)器是受周五開始泛濫的WannaCry蠕蟲影響的。該勒索軟件的大肆傳播造成了新的恐懼,怕XP機(jī)器被這波感染潮淹沒,畢竟,2014年起,微軟就已經(jīng)不再支持該16歲高齡的操作系統(tǒng)了。XP雖老,其使用卻依然十分廣泛,甚至某些關(guān)鍵系統(tǒng),比如WannaCry幾大著名受害者之一的英國(guó)國(guó)民健康服務(wù),都還在用它。
無(wú)論被感染的XP機(jī)器有多少,鑒于其重啟和重寫限制,WannaKey都只對(duì)少部分的被感染XP有效。“周五到現(xiàn)在已經(jīng)幾天了,不太可能有太多受害者的機(jī)器沒被動(dòng)過(guò)。”
不過(guò),對(duì)WannaCry的受害者及其被鎖定的數(shù)據(jù)而言,有一絲希望總比沒希望好。而且諷刺的是,少數(shù)幸運(yùn)用戶的救世主,竟然是微軟加密軟件的怪異特性——微軟起初可是因讓XP漏洞多多而廣受指責(zé)。“Windows漏洞往往讓人憤怒,但這個(gè)漏洞卻可能幫助WannaCry受害者恢復(fù)他們的文件。”塞翁失馬焉知非福?
最新:360企業(yè)安全19日下午發(fā)布解密工具,增加了 Windows 7 版本,在未重啟的情況下,通過(guò)內(nèi)存還原私鑰。