作者mayuyu (有終の美)
看板AntiVirus
標題Re: [新聞] WannaCry勒索病毒苦主出爐，Windows 7高
時間Mon May 22 12:58:47 2017
這篇報導沒有說明形成這個圖表背後的原因，
可能會讓人產生誤解。
1. 為什麼WIN7和Windows Server 2008R2被感染的比例最高？
因為WannaCry是利用EternalBlue這個工具掃描網路上的主機，
主動入侵具有漏洞的系統，
而這個工具只有在WIN7和Windows Server 2008R2上才能攻擊成功，
在其他系統上會因為發生錯誤而無法執行惡意程式碼，
所以工具的選項也只有選WIN7或Windows Server 2008R2，
利用這個工具攻擊，當然受害的對象只有WIN7和Windows Server 2008R2，
而其中使用WIN7的主機當然比伺服器用的作業系統Windows Server 2008R2多，
所以最後WIN7的比例自然會最高。
2. EternalBlue被釋出後，有駭客繼續修改這個初步的工具，利用相同的漏洞，
修改後的工具在Windows 8/8.1/Windows Server 2012上也可以攻擊成功，
如果當初WannaCry攻擊時使用的是修改後的工具，
現在受害的主機就會追加Windows 8/8.1/Windows Server 2012。
3. 那麼圖表裡的WIN10是怎麼回事？
3.1 WIN10雖然有相同的SMB漏洞，
但是被惡意程式碼覆蓋的記憶體區塊在WIN10的設計中是不可執行的區塊，
所以無法利用這個漏洞執行惡意程式碼，
所以WIN10並不會受到EternalBlue的攻擊而感染WannaCry。
3.2 既然WIN10不會因為漏洞入侵而感染，那圖表裡為什麼有數字？
根據公布這個圖表的卡巴斯基表示，
WIN10的數字是由測試人員和手動點擊執行WannaCry的樣本所產生的，
並不是EternalBlue主動攻擊造成的感染。
有些報導將EternalBlue和WannaCry混為一談，
讓人搞不清楚真正受到感染的原因是什麼。
EternalBlue是利用漏洞的工具，可以主動利用漏洞從遠端入侵系統，
入侵以後可以隨便想要幹什麼，放勒索病毒只是其中一種。
WannaCry是勒索病毒，這次的攻擊是結合EternalBlue從遠端主動入侵以後，
再放置和執行WannaCry病毒。
二者是不同的二個軟體，即使不由遠端入侵，
使用者也可能經由下載和手動執行WannaCry而中毒。
圖表裡沒有WIN8和其他系統，是因為這次利用的工具只鎖定
WIN7和Windows Server 2008R2攻擊。
圖表裡會有WIN10，是因為WannaCry可以經由手動執行而感染。
報導應該要說明清楚，否則這個圖表變得毫無意義。
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 61.219.36.121
※ 文章網址: https://webptt.com/m.aspx?n=bbs/AntiVirus/M.1495429133.A.155.html
1F：推 HGJman: 有記者會是理工系嗎？ 05/22 13:05
2F：推 Radiomir: 國外有醫師兼職記者, 國內就呵呵... 05/22 13:45
3F：推 imasa: 第1點要改一下，當初釋出EtenalBlue時就可以攻擊XP了 05/22 14:46
感謝提醒 我把XP遺忘了xD
※ 編輯: mayuyu (61.219.36.96), 05/22/2017 15:14:28
4F：→ hock747: 我遇到的案例是WIN7跟XP是1:1 05/22 15:44
5F：推 canandmap: 記者會統計學就奇了... 05/22 18:04
6F：→ hock747: 卡巴說7成是win7,可能是我的產業比較低階,5成電腦用xp 05/23 08:30