计算机蠕虫.

计算机蠕虫是一类通过利用网络服务、开放共享或未修补漏洞,将自身从一台系统复制到另一台,而无需附着于宿主程序的恶意软件。蠕虫可能耗尽链路带宽、影响服务可用性,投放勒索软件或后门等二级载荷,并能感染未直接暴露在互联网上的内部系统。

蠕虫如何传播。 蠕虫会扫描可达主机,针对每台主机尝试某个漏洞利用或凭证组合,并安装一份重复这一循环的副本——在易受攻击的主机被耗尽或网络在扫描流量下崩溃之前,其增长呈指数级。2003 年的 SQL Slammer 蠕虫利用了 SQL Server 2000 Resolution Service 中的一个缓冲区溢出(该漏洞在六个月前已由 MS02-039 修补),仅用一个发往 1434 端口的 376 字节 UDP 数据包;它每约 8.5 秒感染主机数量翻一番,并在数分钟内使互联网的大片区域瘫痪。Conficker(2008)将 MS08-067 RPC 漏洞与 U 盘自动运行以及针对共享的字典攻击串联在一起,构建了一个数百万台规模的僵尸网络。WannaCry(2017)将泄露的 EternalBlue SMBv1 漏洞利用(MS17-010)与勒索软件融合,而 Stuxnet 则通过受感染的 U 盘跨越物理隔离(air gap),抵达伊朗离心机控制器。

防御措施包括快速修补面向网络的服务、禁用陈旧协议(SMBv1、弱配置 RDP)、通过网络分段切断横向可达性、出站流量过滤、对出站扫描流量限速,以及检测异常的东西向连接扇出。

flowchart LR
  A[受感染主机] --> B[扫描网络寻找<br/>易受攻击的服务]
  B --> C{目标<br/>是否易受攻击?}
  C -->|否| B
  C -->|是| D[漏洞利用 / 弱凭证]
  D --> E[将蠕虫复制到目标]
  E --> F[新主机运行蠕虫]
  F --> B
  E --> G[投放二级载荷<br/>勒索软件 / 后门]