WannaCry
勒索蠕虫

WannaCry 是什么

WannaCry 是 2017 年出现的勒索蠕虫：它加密 Windows 设备上的文件，同时利用 SMB 漏洞进行自动传播。微软在大规模事件发生前已通过 MS17-010 发布相关安全更新。该事件说明，补丁缺口与网络可达性相叠加，会让一个端点问题迅速成为全网业务中断。

“EternalBlue”通常指针对 SMB 漏洞的漏洞利用（exploit），而非漏洞本身；CVE-2017-0144 是与此次传播相关的重要漏洞编号之一。企业判断自身暴露时，应以具体 Windows 版本、微软公告和实际补丁状态为准，而不是只搜索一个漏洞名称。

典型迹象

• 多台 Windows 设备在短时间内同时出现文件加密和勒索界面。
• 终端之间的 SMB 连接、内部扫描或失败连接显著增加。
• 相同网段连续出现类似恶意行为告警，且受影响设备存在补丁缺口。
• 共享文件、业务工作站或遗留系统同时不可用，故障扩散速度明显高于人工操作。

这些现象也可能来自其他勒索软件、蠕虫或运维故障。不要仅凭界面、文件扩展名或扫描流量认定为 WannaCry；应结合可信检测、补丁状态与事件时间线确认。

历史业务影响与今天的意义

2017 年事件跨越多个国家和行业，造成终端与关键业务不可用。它所揭示的问题至今仍常见：关键系统因兼容性长期不修补、内部协议无分区限制、资产清单不完整、备份未验证，以及安全团队无法快速隔离多台设备。即使 WannaCry 不再代表当前最主要家族，这些条件仍会放大其他入侵。

授权管理员的安全处置建议

1. 按快速传播事件升级。指定事件负责人，记录首次告警、受影响设备、网段、业务服务和已采取动作。
2. 隔离设备与受影响网络。使用组织批准的终端隔离和网络控制限制传播，临时收紧非必要 SMB 通信。涉及生产或医疗等关键系统时，先与业务和安全负责人协调。
3. 保护备份并保全证据。隔离备份管理面，保存终端、网络、身份和安全平台日志；不要在范围未知时批量重装或覆盖记录。
4. 盘点补丁与暴露。确认 Windows 版本、支持状态、MS17-010 对应更新和 SMB 配置，查找同一网段内尚未报告告警但具有相同暴露的资产。
5. 在受控条件下修补。依据微软针对具体版本的正式指南，在备份和兼容性验证后更新系统；无法及时修补的资产应采用隔离与访问限制等补偿措施。
6. 从可信状态恢复。补丁不会自动解密文件。应验证备份完整性和恢复点，重建或清理受影响系统，再分批恢复业务并观察复发。
7. 确认根因和完整范围。现实事件未必就是 WannaCry，也可能存在其他入口或后续活动；持续调查身份、邮件、远程访问和相邻资产。

SMB 配置变化或系统更新可能影响文件共享和遗留业务。生产环境中的协议限制、补丁、停机和恢复，应由获授权管理员依据应用依赖、变更流程和业务连续性计划实施。

常见误区

“出现过阻断传播的机制，WannaCry 就永久消失了”

历史事件中的特定传播条件变化不等于所有变种、残留感染或相同漏洞风险消失。企业仍需验证自身系统和网络控制。

“安装补丁可以自动解密已受影响文件”

补丁用于修复漏洞、降低再次利用风险，并不会恢复已经加密的数据。恢复依赖可信备份、重建和事件范围确认。

“看到勒索界面就是 WannaCry”

许多勒索家族有相似表现。准确归类需要可靠的技术证据，处置则应优先围绕传播、身份、数据和业务影响。

“内网 SMB 不对公网，所以无需分段”

蠕虫一旦通过其他入口进入内网，过度开放的东西向访问仍会扩大影响。内部协议也需要最小可达原则。

长期防护基线

• 维护准确的资产、操作系统、支持周期和补丁状态清单，优先处理互联网暴露及关键业务资产。
• 依据微软正式指南禁用不需要的 SMBv1，并限制 SMB 在网段和角色之间的可达范围。
• 对无法升级的遗留系统实施网络隔离、访问白名单、增强监测和明确的淘汰计划。
• 统一部署终端防护和 EDR，确保离线设备、策略失败和严重告警有责任人处理。
• 维护离线或不可变备份，并演练包含目录服务、业务依赖和数据一致性的完整恢复。
• 用模拟演练验证大规模隔离、跨部门决策、应急通信和外部支持流程。

卡巴斯基产品能力的评估边界

可评估终端恶意软件与行为防护、漏洞和补丁管理、EDR 事件调查、终端隔离、XDR 关联及托管监测能力。遗留系统场景必须先核对操作系统版本、厂商支持状态、性能要求、管理方式和业务兼容性，再决定能否部署及采用何种补偿控制。

任何终端产品都不能替代微软安全更新、网络分段和可靠备份，也无法让不受支持系统自动变得安全。产品对具体系统和响应动作的支持，以当前兼容性、许可和正式技术文档为准。