最近，一种名为“WannaRen”的新型比特币勒索病正大规模传播，在各类贴吧、社区报告中招求助人数更是急剧上升，真可谓闹得满城风雨！不幸感染“WannaRen”勒索病的用户，重要文件会被加密并被黑客索要0.05BTC赎金。
在检测异常的第一时间，360安全大脑率先出击，首家发现“WannaRen”勒索病来源并且关联到幕后黑客团伙，并首家分析出真正的勒索攻击代码。经360安全大脑分析确认，“WannaRen”勒索病的作者正是此前借“永恒之蓝”漏洞祸乱网络的“匿影”组织。
此次“匿影”组织一改借挖矿木马牟利的方式，变换思路通过全网投递“WannaRen”勒索病，索要赎金获利。不过，广大用户不必太过担心，360安全大脑极智赋能下的360安全卫士已第一时间发现并支持对“WannaRen”新型勒索病的拦截查杀。
AWS香港启动“Web3解决方案日&社区Meetup”:金色财经报道，亚马逊云服务AWS香港公司在社交媒体宣布启动“Web3解决方案日&社区Meetup”，旨在推动Web3公司了解如何使用各种AWS产品和服务，以及如何提供企业所需的Web3基础设施、上市速度和可见性，据悉将于8月17日进行，参与Web3项目包括公链Avalanche、区块链安全公司Beosin、DIInfinity、Polygon、Sei等。[2023/8/10 16:18:33]
谁是“匿影”组织？“加密币挖掘机”变身“勒索病投递者”
从360安全大脑追踪数据来看，“匿影”家族在加密货币非法占有方面早有前科。早在以往攻击活动中，“匿影”家族主要通过“永恒之蓝”漏洞，攻击目标计算机，并在其中植入挖矿木马，借“肉鸡”挖取PASC币、门罗币等加密数字货币，以此牟利发家。
网传“WETH资不抵债、孙宇晨和V神投资20亿美元救助”系玩笑:11月28日消息，最近WBTC/BTC脱锚引发加密社区成员的质疑，社区趁机发布恶搞推文嘲笑WBTC，“WETH已与ETH脱锚，poordart.weth宣布筹集资金已填补其20亿美元的亏空。”实际上WETH是用合约直接封装ETH的代币，合约层面可实现1:1刚兑。
Wrapped Ethereum （WETH ）基金会联合创始人poordart.weth也调侃称，不幸的是，传言是真的。整个项目将返还给社区（金库除外），我会去一个非引渡国休养精神。孙宇晨表示，作为加密货币行业的一员，我亲自与Vitalik Buterin进行了讨论，我们将共同向WETH基金会投资20亿美元，以恢复所有资金。
据此前报道，Dune数据显示，已申请破产的Alameda Research是WBTC最大的铸造者。[2022/11/28 21:07:14]
在攻击特征上，“匿影”黑客团伙主要利用BT下载器、激活工具等传播，也曾出现过借“永恒之蓝”漏洞在局域网中横向移动扩散的情况。“匿影”黑客团伙在成功入侵目标计算机后，通常会执行一个PowerShell下载器，利用该加载器下载下一阶段的后门模块与挖矿木马。
马斯克发推加入“Web3辩论战” 并再次重申支持DOGE:12月23日消息，马斯克发推加入“Web3辩论战”，他在回复狗狗币创始人“比特币只为富人提供权力”的推文中回复称，这正是他支持DOGE的原因。过去，他多次表示DOGE是“人民的加密货币”。[2021/12/23 7:59:10]
而此次新型比特币勒索病“WannaRen”的扩散活动中，从表面看与此前的“WannaCry”病类似，都是病入侵电脑后，弹出勒索对话框，告知已加密文件并向用户索要比特币。但从实际攻击过程来看，“WannaRen”勒索病正是通过“匿影”黑客团伙常用PowerShell下载器，释放的后门模块执行病。
动态 | 荷兰银行推出加密货币存储工具“Wallie”:据bitcoinist消息，荷兰银行（ABN AMRO）推出了加密货币存储工具“Wallie”，其客户可以将比特币（BTC）与法定货币一起存入。不过，荷兰银行(ABN)有关加密货币的官方网页仍显示该行不支持比特币存储，这显示出此次允许比特币存储只是一种试验。ABN官网网页仍警告称:“加密货币不受央行的控制、发行或担保。”[2019/1/23]
旧瓶装新：“匿影”家族后门模块下发“WannaRen”勒索病
正如上文所述，“匿影”组织转行勒索病，但其攻击方式是其早起投放挖矿木马的变种。唯一不同，也是此次“WannaRen”扩散的关键，就在于PowerShell下载器释放的后门模块。
从360安全大脑追踪数据来看，该后门模块使用了DLL侧加载技术，会在“C:\ProgramData”释放一个合法的exe文件WINWORD.EXE和一个恶意dll文件wwlib.dll，启动WINWORD.EXE加载wwlib.dll就会执行dll中的恶意代码。
后门模块会将自身注册为服务，程序会读取C:\users\public\you的内容，启动如下图所示的五个进程之一并将“WannaRen”勒索病代码注入进程中执行。
在注入的代码中，可以看到是此次勒索病的加密程序部分：
完整的攻击流程如下面两图所示：
追踪过程中，360安全大脑还发现“匿影”组织下发的PowerShell下载器中，包含了一个“永恒之蓝”传播模块。该模块会扫描内网中的其他机器，一旦有机器未修复漏洞就会惨遭感染，成为又一个“WannaRen”勒索病受害者。
除此之外，PowerShell下载器还会在中招机器上安装一个名叫做的everything后门，利用everything的“HTTP服务器”功能安全漏洞，将受害机器变为一台文件服务器，从而在横向移动时将木马传染至新的机器中。
不难看出，企业用户一旦不幸中招，“WannaRen”勒索病则可能在内网扩散。不过广大用户无需过分担心，360安全卫士可有效拦截此勒索病。面对突袭而来的“WannaRen”勒索病，360安全大脑再次提醒广大用户提高警惕，并可通过以下措施，有效防御勒索病：
1、及时前往weishi.360.cn，下载安装360安全卫士，查杀“匿影”后门，避免机器被投递勒索病；
2、对于安全软件提示病的工具，切勿轻信软件提示添加信任或退出安全软件运行；
3、定期检测系统和软件中的安全漏洞，及时打上补丁。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。