“熊猫烧香”之后，蠕虫病毒为何又卷土重来

对于专业人士来说，熊猫烧香病毒曾经也只是菜鸟级别程序，而就是这种在专业人士里眼里非常普通的病毒程序，在当年却让近百万电脑瘫痪，至今让人心有余悸。

5月12日，肆虐全球的比特币勒索病毒开始迅速蔓延，影响遍及全球近百国家，目前受到攻击的主要是各国医院的医疗系统、校园网络、政府机关和一些企业。最先遭受攻击的英国，目前有25家医院遭到大范围攻击，中国众多高校和企业机关也中招。

此次的勒索病毒给国内众多的企业和机构造成了一定程度的破坏，导致无法正常办公，像医院、机场、银行、加油站等人众多消费场景，因网络瘫痪而无法使用微信和支付宝付款。很难想象，如今在中国连乞丐要饭都要用二维码，而网络瘫痪必定会影响商家正常经营，而一部分消费者也会因为商家网络瘫痪而遭遇支付问题。

据了解，“永恒之蓝”传播的勒索病毒以ONION和WNCRY两个家族为主，受害机器的磁盘文件会被篡改为相应的后缀，图片、文档、视频、压缩包等各类资料都无法正常打开，勒索病毒是由NSA泄漏的“永恒之蓝”黑客武器进行传播。

该事件实际上是一次蠕虫攻击。蠕虫一旦攻击进入能链接公网的用户机器，就会利用内置了“永恒之蓝”的攻击代码，自动寻找开启445端口(文件共享)的机器进行渗透。微软公司称在三月已经向视窗使用者发出补丁，修复那个弱点，但全球可能有许多电脑尚未安装。如果系统没有安装今年3月的微软补丁，无需用户任何操作，只要开机上网，一旦发现存在漏洞的机器，“永恒之蓝”就能在电脑里执行任意代码，不仅继续传播蠕虫病毒，还会传播勒索病毒，导致用户机器上所有文档被加密。

根据中国国家信息安全漏洞共享平台(CNVD)秘书处普查的结果，互联网上共有900余万台主机IP暴露445端口(端口开放)，而中国大陆地区主机IP有300余万台。

由于国内曾多次出现利用445端口传播的蠕虫病毒，部分运营商对个人用户封掉了445端口。但是教育网并无此限制，存在大量暴露着445端口的机器，因此成为不法分子使用NSA黑客武器攻击的重灾区。目前，山东大学、浙江大学、南昌大学、宁波大学等多所高校电脑“中招”。学生电脑中文档被锁定，有黑客留下联系方式，表示要恢复文档必须支付比特币，只有支付赎金才能解密恢复。这两类勒索病毒，勒索金额分别是5个比特币和300美元，折合人民币分别为5万多元和2000多元。

事实上，各大高校通常接入的网络是为教育、科研和国际学术交流服务的教育科研网，此骨干网出于学术目的，大多没有对445端口做防范处理，这是导致这次高校成为重灾区的原因之一。此外，如果用户电脑开启防火墙，也会阻止电脑接收445端口的数据。但中国高校内，一些同学为了打局域网游戏，有时需要关闭防火墙，也是此次事件在中国高校内大肆传播的另一原因。

其实早在10年前，一种名为“熊猫烧香”的蠕虫病毒就大规模的侵入过个人电脑、感染门户网站、击溃数据系统。它主要透过下载的档案传染。给上百万个人用户、网吧及企业局域网用户带来无法估量的损失。该病毒采用“熊猫烧香”头像作为图标，诱使用户运行，也是一种经过多次变种的蠕虫病毒变种。该变种会感染用户计算机上的EXE可执行文件，被病毒感染的文件图标均变为“熊猫烧香”，所以也被称为“熊猫烧香”病毒。

除了通过网站带毒感染用户之外，此病毒还会在局域网中传播，在极短时间之内就可以感染几千台计算机，严重时可以导致网络瘫痪。同时，受感染的计算机还会出现蓝屏、频繁重启以及系统硬盘中数据文件被破坏等现象。该病毒会在中毒电脑中所有的网页文件尾部添加病毒代码。

一些网站编辑人员的电脑如果被该病毒感染，上传网页到网站后，就会导致用户浏览这些网站时也被病毒感染。该病毒的代码必须手动清除，如果不手动清除，在打开带有病毒的网页文件后，电脑会再次感染病毒，并进行传播。

如今“熊猫烧香”病毒案早已成为过去式，但熊猫烧香案并没有引起人们的高度警觉。相反，随着时间的推移，人们对网络安全的警惕性反而在逐渐减弱。随着移动互联网发展迅猛，利新技术和智能终端进行制造与传播计算机病毒、盗取银行账号、诈骗等新形式网络安全问题将更加严峻。

虽然此次勒索病毒攻击的只是一些局域网和没有及时升级更新的系统，但足以证明大部分企业和机构对网络安全问题认识依然不足，导致反病毒技术的滞后，并缺乏针对网络安全的有效预警和紧急防护机制。