我这是不是被wannaren攻击了啊

Midnight.Coup · 发表于 2020-4-9 13:40

火绒的拦截日志显示有多次 Svchost.exe -dnscache 也就是 DNS Client 访问 img.vim-cn.com 这个网站的记录，这网站是个 CLI Image Pastebin
贴上火绒分析 wannaren 的帖子 https://www.52pojie.cn/thread-1151815-1-1.html
通过“匿影”病毒传播脚本那里的url就是这个网站

平时裸奔，这次看贴吧说这病毒会主动上门就开了火绒，没想到7号和今天就有2次访问记录，扫了下关键位置都没什么问题，找了下“匿影”病毒的可能在几个位置也正常，接下来该关机拿WD扫全盘吗

一百三十万颗星 · 发表于 2020-4-9 15:31

感觉很可能中招了

yikka · 发表于 2020-4-9 15:42

我看了下我七号也有这个记录。

Chunuou · 发表于 2020-4-9 15:46

WannaRen勒索病毒作者主动提供解密密钥

gofbayrf · 发表于 2020-4-9 15:53

所以到底這是利用了哪個漏洞?

foxlxr · 发表于 2020-4-10 08:55

我也发现了有访问这个地址，然后看了下是因为用迅游的加速器。感觉可以去问问什么情况了。

勇者护手 · 发表于 2020-4-10 09:41

国内下载站提供的开源编辑器被发现捆绑了恶意代码安全公司报告，国内下载站西西软件园提供的开源编辑器 Notepad++ 被发现捆绑了恶意代码，而这个恶意脚本代码与勒索软件 WannaRen 有关联，该勒索软件可能通过国内下载站进行传播。在中文搜索引擎百度搜索 Notepad++，排在前几位的都是下载站，而不是官网 notepad-plus-plus.org，如果下载站的版本存在恶意代码，那么可能会有很多中国用户受到影响。Media https://www.solidot.org/story?sid=64075

navarra · 发表于 2020-4-10 09:59

gofbayrf 发表于 2020-4-9 15:53
所以到底這是利用了哪個漏洞?

永恒之蓝，加了个powershell下载器

—— 来自 samsung SM-G9650, Android 10上的 S1Next-鹅版 v2.2.2.1

小妻水亚美 · 发表于 2020-4-10 10:39

主要的问题是很多国外的软件不挂代理或者加速官网直连下载速度太慢了
我电信这边 yandex浏览器内部更新基本上没成功过全是下载软件到官网拖之后覆盖安装。

—— 来自 motorola XT1929-15, Android 8.1.0上的 S1Next-鹅版 v2.1.2

nanoka111 · 发表于 2020-4-10 11:31

勇者护手发表于 2020-4-10 09:41
国内下载站提供的开源编辑器被发现捆绑了恶意代码安全公司报告，国内下载站西西软件园提供的开源编辑器 N ...

我的Notepad++是从官网上下载的，不过中途软件提示更新让我更新了一次，这个升级包有没有可能来自国内网站？
我现在软件都是从官网上下载的，除非遇到比较古早在外网已经找不到下载或是特殊的软件否则一般不会从国内下载站上下载，多年前我就不信任这些网站了。

fireandstar · 发表于 2020-4-10 13:13

nanoka111 发表于 2020-4-10 11:31
我的Notepad++是从官网上下载的，不过中途软件提示更新让我更新了一次，这个升级包有没有可能来自国内网 ...

西西软件园的KMS也被绑了，西西软件园的KMS也被绑了，回忆下最近有没有在国内软件站(特别是西西)下过没有官网的东西可能会有用

pgain2004 · 发表于 2020-4-10 14:46

https://www.mpyit.com/wannarenkey.html
病毒作者可能是发现没人服软，自己提供了解密密钥。

p2h · 发表于 2020-4-10 20:16

没装杀毒软件的有点慌，除了全盘扫描有什么方法可以自查一下的吗？

pgain2004 · 发表于 2020-4-10 21:54

我都发了链接，为什么还会慌啊……

月亮上的珊瑚 · 发表于 2020-4-10 22:05

火绒在哪里看日志啊？

p2h · 发表于 2020-4-10 23:48

虽然作者怂了但是还是觉得不太踏实

qwased · 发表于 2020-4-11 02:04

pgain2004 发表于 2020-4-10 14:46
https://www.mpyit.com/wannarenkey.html
病毒作者可能是发现没人服软，自己提供了解密密钥。 ...

是这个憨批没擦干净屁股怕网警上门

—— 来自 Xiaomi MI 6, Android 9上的 S1Next-鹅版 v2.2.2.1

win8 · 发表于 2020-4-11 07:45

fireandstar 发表于 2020-4-10 13:13
西西软件园的KMS也被绑了，西西软件园的KMS也被绑了，回忆下最近有没有在国内软件站(特别是西西)下过没有 ...

额我这周可能下载了kms和.net 包如何确认自己有没有中呢？应该扫什么文件？

fireandstar · 发表于 2020-4-11 11:23

win8 发表于 2020-4-11 07:45
额我这周可能下载了kms和.net 包如何确认自己有没有中呢？应该扫什么文件？ ...

http://blog.nsfocus.net/wannaren-report-0409/
按照这个链接里说明的文件位置排查下看看

		自动登录	找回密码
密码			立即注册

[网络] 我这是不是被wannaren攻击了啊