NSA黑客武器库泄露事件回顾：永恒之蓝、方程式组织到底是怎么回事
2017年5月，勒索病毒WannaCry在全球爆发，几天之内感染了150多个国家的几十万台电脑，医院、加油站、学校、政府机构全都中招。这个病毒之所以能传播得这么快，根源在于它用了美国国家安全局（NSA）被泄露的网络武器，代号永恒之蓝。
先说这份武器库是怎么流出来的。2016年到2017年，一个自称影子经纪人的黑客组织，分批在网上公开了据称来自NSA下属方程式组织的工具包。NSA一直没正面承认，但微软和安全厂商的分析基本印证了这些工具的真实性。泄露的工具有漏洞利用、后门、远程控制好几类，永恒之蓝是其中影响最大的一个。
永恒之蓝利用的是Windows SMB协议的漏洞，编号MS17-010。攻击者只要能让目标机器开放445端口，就能远程执行代码，拿到系统权限，不需要用户点任何东西。这个特性让它的传播速度远超传统的钓鱼邮件，一台机器中招，同一网段的其他机器很快被扫到。
WannaCry不是第一个用它的，但它是把危害放大到极致的那个。病毒在内网横向扫描，把文件加密后索要比特币赎金。更麻烦的是，很多单位的内网还在跑Windows 7甚至XP，从来没有打过补丁，445端口直接暴露，等于门没锁。
微软其实在2017年3月就发布了补丁，但大量用户没装。事件爆发后微软罕见地给已经停止支持的XP和Windows 8也出了补丁。国内不少单位是在中招之后才开始全网打补丁、封端口，代价很大。
这件事暴露出来的问题比病毒本身更值得琢磨。第一，国家级网络武器的储备和使用缺乏约束，一旦泄露就是全球性的灾难。第二，企业的基础安全太薄弱，补丁管理、端口管控、内网隔离这些基本功没做好，再高级的防护设备也白搭。第三，安全不是IT部门一家的事，得有制度、有演练、有应急响应。
对普通企业和运维人员来说，这件事留下的教训很具体：关掉不必要的445端口，尤其是别让它直接暴露在公网；建立补丁管理制度，高危漏洞限期修复；内网分段，别让一台机器失守就全网沦陷；重要数据离线备份，勒索病毒最喜欢没备份的环境。
后来NSA的武器库还在陆续泄露，永恒之蓝也衍生出一堆变种，被挖矿木马、僵尸网络反复利用。这说明泄漏的武器不会过期，只会被更多人捡起来用。安全这件事，永远是在跟已经流出去的攻击能力赛跑。
上一篇：人脸识别黑产是怎么运作的：照片活化、AI换脸和普通人该怎么防
下一篇：没有了