WannaCry

此次爆发的电脑恶意程序对漏洞的利用基于“永恒之蓝”（）工具。黑客组织“影子掮客”（）在2017年4月14日发布了一批从方程式组织（）泄露的工具，其中便包括“永恒之蓝”[25][26][27]；而方程式集团据信是属于美国国家安全局[28][29]。

永恒之蓝利用了Windows服务器消息块1.0（SMBv1）的數個漏洞，這些漏洞在通用漏洞披露（CVE）網站中分別被列為CVE-2017-0143至CVE-2017-0148。而就这些漏洞，微软公司已于2017年3月14日在TechNet發佈“MS17-010”的資訊安全公告，並向用户推送了Windows系统修复补丁“KB4013389”封堵此漏洞。[23]但因该補丁只適用於仍提供服务支持的Windows Vista或更新的作業系統（注：此补丁不支持Windows 8），較舊的Windows XP等作業系統並不适用。[23]不少用户也因各种原因而未开启或完成系统补丁的自动安装。

2017年4月21日起，安全研究者检测到数以万计被安装DoublePulsar后门的计算机[30]，该后门是另一款从NSA外泄的黑客工具[31]。截至4月25日，感染该后门的计算机估计有几十万台，数字每天还在呈指数增长[32][33]。除EternalBlue外，WannaCry的本轮攻击也利用了这一名为DoublePulsar的后门[34][35]。

2017年5月12日[36]，WannaCry在国际互联网开始广泛传播，感染了全球很多运行Windows系统的设备。该病毒进入目标主机之后，就会对主机硬盘和存储装置中许多格式的文件进行加密[37][38]，然后再利用网络文件共享系统的漏洞，传播到任意的其他联网的主机[39]，而处于同一局域网的相邻主机也会被感染。[40]这个漏洞不是零日攻击的漏洞（还没有补丁的安全漏洞），而微软早在2017年3月14日就推送了更新，封堵了这个漏洞。[23]与此同时，微软也通告用户，不要再使用老旧的第一代服务器消息块，应该以最新的第三代服务器消息块取而代之。[41]

没有及时下载这个补丁的Windows主机很可能被感染，而到目前为止，没有证据显示攻击者是有目标的进行攻击。还在运行已被微软淘汰的Windows XP的主机则非常危险，因为微软早已不对Windows XP提供安全更新与支持。[42]但由于此次事件的严重性，微软后已为部分已经淘汰的系统发布了漏洞修复补丁，Windows XP、Windows Server 2003和Windows 8用户都可从微软网站下载修复补丁[43]。但部分腾讯电脑管家用户因补丁遭到屏蔽而未能接受到安全更新，事后据官方回应，部分第三方修改系统安装补丁后可能致使蓝屏、系统异常，因此有部分用户补丁被屏蔽[44][45]。

以下以2017年5月第一次大规模传播的病毒版本为主；该病毒早前的一个版本曾于4月透過电子邮件和有害Dropbox链接传播，但没有利用Windows漏洞进行主动传播的能力[83]。

通过利用漏洞，病毒不需要打搅用户，可以静默获得操作系统的特权，然后得以在本地网络中传染。[84]

简而言之，程序在加载完成后会调用Windows的CryptoAPI，新生成一对2048位的RSA密钥。密钥对包括私钥和公钥，它们会被存储至被感染计算机；但解密时需要的私钥在存储前会使用程序自带的另一RSA公钥加密，该公钥对应的私钥由攻击者持有。[85]

随后程序会遍历存储设备（部分系统文件夹等除外[12]），加密特定扩展名的文件；程序在加密文件时使用AES算法，会为每一个文件随机生成一个128位AES密钥，密钥随后会被程序加载完后生成的RSA公钥加密，并在当前文件加密完后存储在该文件的头部[11]。程序还会调用命令提示符删除设备上的卷影副本（Shadow copy）备份[86]。早先有报道认为这一操作可能会引起UAC弹框而被用户注意到[87]，但后续分析指出，病毒是通过内核漏洞注入系统进程来执行的，传染过程中并不会有UAC弹窗出现[88]。

加密过程结束后，病毒会把系统壁纸替换成英语告示[87]，并显示一封提供28种语言版本的勒索信[60]，其中部分可能使用了机器翻译[89][90]。程序要求用户支付与300至600美元等值的比特币[87][91]，并在勒索信中給予被感染者3天期限，如若超過贖金會翻倍，超过一周仍未付款則會“撕票”[92]。在勒索信中，病毒还声称今后可能举行免费复活动，对是运气好且“半年以上没钱付款的穷人”[93]。

程序透過Tor匿名网络与攻击者的服务器连接[87]。此外，程序还会在计算机所属局域网内，隨機其他電腦SMB使用的TCP/UDP 445與139等埠以自我传播[40]，并尝试用同樣方式随机感染互联网上的其他计算机[39]。

据思科分析，病毒在感染其他计算机时会尝试透過DoublePulsar后门安装[94]。而根据《连线》的报道，此病毒也会同时在计算机上安装该后门[17]，现已有脚本可检测并移除[39]。

攻击者在程序中硬编码了至少3个比特币地址（或称“钱包”），以接收受害者的赎金[95]，这些钱包的真实拥有者身份不明，但交易情况和余额是公开的。有人在Twitter上设置了一个机器人，以实时追踪这三个钱包收到的转账。[96]截至2017年5月14日 (2017-05-14)，攻击者已获得约合3.2万美元的比特币[97]。

一些人士批评与此事件有关联的美国国家安全局（NSA）。棱镜计划告密人爱德华·斯诺登称，如果NSA“在发现用于此次对医院进行攻击的缺陷时就进行私下披露，而不是等到丢失时才说，（此次攻击）就可能不会发生”[60]。微软总裁布拉德·史密斯则表示：“政府手中的漏洞利用程序一次又一次地泄露到公共领域，造成广泛破坏。如果用常规武器来说，这种情况等同于美军的战斧导弹发生失窃。”[114][115]

也有人士聚焦于网络安全意识方面。德国联邦信息安全办公室主任Arne Schönbohm声明道：“现在发生的攻击突显出我们的信息社会是多么脆弱。这对公司是一次警醒，是时候认真考虑IT安全了。”[116][117]美国外交关系协会数字和网络政策项目负责人亚当·谢加尔认为政府和私营部门的补丁和更新系统运转不正常，不是所有人都会在第一时间为系统漏洞打上补丁[118]；半岛电视台在文章中引述观点称，许多企业的员工缺乏网络安全方面的训练[117]。《福布斯》网站上的一篇专栏文章则认为，该攻击生动地证明了安全备份和良好安全习惯的重要性，包括及时安装最新的安全更新[119]。英国首相特雷莎·梅也就此次攻击发表讲话，称英国国家网络安全中心正在与所有受攻击的机构合作调查[120]。特雷莎·梅还表示：“这不是针对国民保健署的攻击，这是国际性的攻击，全世界数以千计的国家和组织都受到了影响[121]。”

2017年5月29日，据CNET引述美国安全公司Flashpoint发布的报告称，根据对病毒附带的28种语言撰写的勒索信的文法分析研究，病毒制造者有可能是一名中文母语者[122]，其中文版勒索信文法道地，而英文版有一些语法错误，其他语言版本则更像是借助Google翻译以机器翻译而得[123]。在早前的5月16日，Google、卡巴斯基、闪点（Flashpoint）等多家安全公司的安全研究员曾发文认为，病毒的幕后黑手可能是源自朝鲜的“拉撒路组”（Lazarus Group）黑客组织[124]，而据传该组织成员居于中国[122]。但奇虎360和安天的安全工程师认为闪点网络情报公司仅以语言判断是十分不专业的臆测行为，質疑其只是為了吸引目光焦點[125]。

2017年6月17日，据《华盛顿邮报》报道，NSA的内部报告认为此恶意软件来自朝鲜情报机关赞助的黑客团体，并对这份报告有“中等信心（moderate confidence）”。[126]英国国家网络安全中心（NCSC）也发布报告将此事件源头指向北韓的黑客团队[127][128]。

2017年10月，微软总裁布莱德·史密斯（Brad Smith）接受ITV采访称，他非常相信北韓是影响全球150个国家摧毁20万台电脑的幕后黑手[129]。

2017年5月15日，臺灣一名Windows XP使用者遭受WannaCry的攻擊後，因電腦配備老舊，導致WannaCry程式運作到一半，突然「停止回應」而無法運作。[130] [131]

• 知名病毒及蠕蟲的歷史年表
• Petya
• WannaRen

维基共享资源中相关的多媒体资源：WannaCry

• Microsoft安全公告MS17-010
• 用户指导 页面存档备份，存于（微软中国翻译）
• 微软恶意软件防护中心上Ransom:Win32/WannaCrypt相关资料（英文）
• 勒索软件席卷全球国内多种网络系统中招 - 新浪网专题（简体中文）
• MalwareTech网站发布的WannaCry世界各地感染实况（英文）
• 香港電腦保安事故協調中心WannaCry (WannaCrypt)加密勒索軟件加密受害者數據