Creeper Virus: Unleashing Digital Chaos in the 1970s

最早的计算机病毒Creeper(根据老卡通片《史酷比(Scooby Doo )》中的一个形象命名)出现在1971年。当然在那时，Creeper还尚未被称为病毒，因为计算机病毒尚不存在。Creeper由BBN技术公司程序员罗伯特·托马斯(Robert Thomas)编写，通过阿帕网( ARPANET，互联网前身)从公司的DEC PDP-10传播，显示

“我是Creeper，有本事来抓我呀!(I'm the creeper， catch me if you can!)”。

Creeper在网络中移动，从一个系统跳到另外一个系统并自我复制。但是一旦遇到另一个Creeper，便将其注销。

我是爬行者

为了对付“爬行者”，有人便写出了“收割者（Reaper）”。它的唯一生存目的便是找到爬行者，把它们毁灭掉。当所有爬行者都被收割掉之后，收割者便执行程序中最后一项指令：毁灭自己，从电脑中消失。

“我是爬行者：如果可以的话，请抓住我。” 这个消息听起来像是从维多利亚时代的童谣中直接传出来的，是1971年编程历史上第一个病毒Creeper展示的。今天，我们会告诉你一切！

爬行者的目标

Creeper由BBN Technologies 的开发人员Bob Thomas 创建，BBN Technologies处于新兴技术行业的前沿。托马斯编程爬行器测试是否可以创建一个程序在计算机之间移动。换句话说，他的想法并不是破坏个人电脑，实际上，仅仅几年之后，Creeper才认为是病毒，因为直到80年代这个概念才被应用到电脑上。

爬行者通过ARPANET （美国国防部使用的第一个计算机网络之一）传播并复制到系统中，在那里显示我在本文开头写的信息。一旦显示，它就开始打印文件，但随后停止并切换到另一台PC，并进行相同的处理。

尽管它在第一次出现时感染了电脑，但效果并没有持续太久：跳到下一台电脑，它从前一台电脑中消失，依此类推。

今天，这可能看起来像一个失败，但在1971年，鲍勃托马斯的实验得到了很多关注，因为在没有人为干预的情况下，获得程序在PC之间跳转的壮举是不可能实现的。他的成功是创建了一个从个人电脑到个人电脑快速运行的程序...... 并且是创建第一个防病毒 程序的原因！

收割者：爬行者的敌人

Creeper之后，来到Reaper（完美的工具来切断爬行者）。该程序创建于1973年，从系统中删除了爬行者“病毒”，因此它可被视为第一个“防病毒程序”。

再一次，尽管这更像是一个现代概念，但我们可以称之为防病毒软件，因为它执行的功能与防病毒软件的功能相同。

我们不确定的是编程Reaper的人。有人说这是鲍勃托马斯本人，他决定控制他的“生物”。其他人则认为其创建者是Ray Tomlinson，这位开发人员在多年后将创建电子邮件。

爬行者和收割者的遗产

虽然Creeper没有达到其目标的100％，Reaper是一款非常简单的 杀毒软件，但都标志着计算机历史上的里程碑。

1973年，Reaper创立的同一年，作者和编剧Michael Crichton 率先将“病毒”概念应用于科技领域。他在电影“ 西部世界”（Westworld） 中做过这样的事情，游乐园里的人形机器人就像他们不应该这样做。是的，最近的HBO系列是基于这部传奇电影。

在1974年创建Rabbit时谈论这类PC病毒。Rabbit是一个不间断复制的程序，在单台计算机上复制自身，直到阻止其系统，降低其性能并最终将其清除。是的，在这里我们看到坏意图开始出现。

几年之后，1981年，Elk Cloner 被创建， 这是一种影响Apple II的病毒（是的，苹果过去并不是很安全）。

而在1986年，我们向“Brain”病毒问好，这是第一个大型病毒，影响了当时庞大的20,000台PC（这次是ibm）。我是爬行者

扩展阅读

WannaCry有时也被称为WCry或WanaCryptor，是一种勒索软件恶意软件，这意味着它会加密受害者的文件，并要求支付恢复被盗信息的费用，通常是比特币，赎金金额从300美元到600美元不等。

该病毒可以描述为具有蠕虫功能的勒索软件，因为它能够利用EternalBlue漏洞在受感染的网络中传播自身。此外，该病毒利用DoublePulsar漏洞将自身的副本上传并执行到新机器。

一旦WannaCry进入目标计算机，它就会通过检查硬编码的终止开关域(fferfsodp9ifjaposdfjhgosurijfaewrwergwea[.]com或iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea[.]com.)来开始恶意活动。在一个事件中，如果找到一个，恶意软件就会停止执行。但是，如果未找到终止开关域，勒索软件会加密机器上的文件，然后尝试利用SMB漏洞进行攻击。这样做是为了将病毒传播到其他随机PC和连接到本地网络中的所有PC。加密完成后，会向用户显示一张赎金纸条，攻击者要求在3天的时间跨度内支付300美元。如果受害人反抗，赎金金额将提高到600美元，并在7天内支付。支付被定向到多个硬编码比特币地址。对于加密货币来说，典型的情况是，任何人都可以检查他们的余额和交易历史，但无法追踪到这样的账户的真正所有者。

WannaCry恶意软件首次出现在野外，是2017年5月发生的毁灭性全球攻击的一部分。这次攻击利用了永恒之蓝(EternalBlue)的漏洞，据传该漏洞是由美国国家安全局(NSA)开发的，并被盟军“影子经纪人”(The Shadow Brokers)旗下的一个网络帮派泄露。

该漏洞利用了Windows操作系统中的一个漏洞，虽然该公司迅速发布了修复该问题的修补程序，但许多没有及时更新其计算机的个人和组织成为这次攻击的受害者。

据一些广泛估计，在攻击持续的那几天内，全世界有20多万台计算机被WannaCry感染。修正了“永恒之蓝(EternalBlue)”的漏洞，同时发现了允许停止执行恶意软件的“杀死开关”，这是帮助减缓这一恶意活动的两个主要贡献。然而，到袭击结束时，损失总额达到数十亿美元，来自150多个国家的受害者受到影响。

一场如此规模的运动引发了最高级别的国际调查，目的是找出谁是此次疫情的幕后黑手。专家调查了这些赎金纸条，发现它们很可能是手写的，正如语言学分析所表明的那样，作者似乎精通中文和英语。进一步的调查表明，作者的母语是中文，因为两个版本的赎金纸条都是用这种语言编写的-简体版本和繁体中文版本。此外，笔记中的一些打字错误使研究人员相信打字使用的是中文输入系统，因为使用任何其他形式的输入都不容易犯下像现在这样的错误。

应该指出的是，赎金纸条总共是用28种语言写的，包括两种中文变体。然而，对于这些语言中的大多数，都使用了机器翻译。

（赎金说明）

联邦调查局随后发现，Hangul字体安装在用于撰写赎金通知的机器上。汉格尔是一种字母和书写系统，在韩国和朝鲜都使用。对语言文件元数据的进一步分析显示，计算机被设置为韩国时区。

经过对恶意软件样本的进一步审查，来自谷歌、卡巴斯基实验室和赛门铁克的安全研究人员得出结论，WannaCry的代码与索尼影业(Sony Pictures)和一家孟加拉国银行的攻击中使用的其他恶意软件相似。这些袭击是由一个所谓的拉撒路集团实施的，该组织的成员与朝鲜有联系。

当然，这个证据并不是决定性的，因为其他小组可以简单地重复使用LazarusGroup产生的一些代码。更重要的是，这种代码的使用可能是故意的，目的是误导调查人员，并将责任推到其他网络罪犯身上。

然而，美国国家安全局的一份受欢迎的备忘录以及英国国家网络安全中心(NATIonal Cyber Security Centre)的调查结果也指出，朝鲜是此次攻击的发源国。美国政府随后正式宣布朝鲜是袭击的发源地。

尽管WannaCry攻击的规模确实史无前例，但与其他勒索软件相比，其影响被认为相对较低。如果不是发现了杀死开关，后果可能会更糟。此外，病毒的目标可能是运输控制系统和核电站等高水平的基础设施。如果是这样的话，一些专家估计可能会造成超过数亿美元的损失。

（WannaCry执行的主要过程）

说到实际的恶意软件--WannaCry是以滴管的形式出现的，它将各种组件作为ZIP存档，由密码保护。在执行过程中，将使用硬编码密码解压缩此归档文件，并将其放到执行该文件的目录中。

WannaCry Ransomware在其执行过程中使用两种加密方法：RSA和AES-128-CBC。为了混淆研究人员，包含在t.wnry文件中的加密场景实际上是以与恶意软件用于加密受感染计算机上的数据的方式完全相同的方式加密的。使用自定义加载程序将模块加载到内存中，因此文件的未加密版本永远不必记录在受害者的硬盘上。

在执行过程开始时，恶意软件使用RSA密钥解压缩t.wnry文件并对其进行解密。然后生成一个新的RSA密钥，并将其发送到C&C服务器，同时将公钥的副本保存在受感染的计算机上。

这是加密过程开始的地方，病毒在受感染的机器上搜索具有受支持扩展名的文件。然后，根据为加密选择的每个文件创建一个128位AES密钥，并使用前面创建的RSA密钥进行加密。RSA加密的AES密钥被放置在加密文件的头中.之后，恶意软件使用AES密钥加密文件中的数据。

加密是以这样一种方式执行的，即如果不访问存储在控制服务器中的私钥，则几乎不可能恢复丢失的数据。这意味着，对于受害者来说，重新获得他们的信息的唯一途径是满足攻击者提出的赎金要求。

为了持久化，WannaCry将自身写入注册表中的自动运行项，并创建几个服务。

扩展阅读

2010年3月15日，金山安全实验室捕获一种新型的电脑病毒，由于该病毒成功运行后，在进程中、系统启动加载项里找不到任何异常，同时即使格式化重装系统，也无法将彻底清除该病毒。犹如"鬼影"一般"阴魂不散"，所以称为"鬼影"病毒。该病毒也因此成为国内首个"引导区"下载者病毒。

鬼影病毒是指寄生在磁盘主引导记录（MBR），即使格式化重装系统，也无法清除的病毒。当系统再次重启时，该病毒会早于操作系统内核先行加载。而当病毒成功运行后，在进程中、系统启动加载项里找不到任何异常，同时即使格式化重装系统，也无法将彻底清除该病毒,病毒就象"鬼影"一样在中毒电脑上"阴魂不散"。

“鬼影”病毒的特征之一是安全软件不能正常运行，该病毒目前的累计感染量约30万台。若网民发现自己电脑上安装的安全软件莫名其妙不能正常运行，常见的修复工具也不能正常运行，请尝试使用金山安全中心发布的“鬼影”病毒专杀工具检查修复。2010年，此工具适用于尚未变种的鬼影病毒，一旦该病毒变种，该专杀将会无效，在这里要提醒大家要注意上网时的网络防护，要定期开启杀软扫描，2010年，金山毒霸已能够杀灭鬼影母体。“鬼影”病毒传播的广度分析金山云安全系统分析该恶意软件的下载频率，结合传播病毒的网站流量分析，评估该病毒的日下载量大约为2-3万之间。

扩展阅读

CryptoLocker通常会以电子邮件附件的类型，包装成一个看似无害的电子邮件（通常使用合法公司的电子邮件外观）进行发送，或是经由僵尸网络发送。所附上的ZIP文件格式包含了一个可执行的文件，通常是使用伪装的PDF文件附文件名与文件名称，利用Windows系统当中的文件扩展名规则，掩饰真正的EXE扩展名形式文件。部分情况下则会实际含有宙斯特洛伊木马病毒，以进行安装CryptoLocker。首次引导时，有效负载会以随机的名称，自行安装于我的文档，并于注册表登录一个编码，会导致于引导时引导。然后，该恶意软件会尝试连接被勒索者所控制的服务器与指令，一旦成功连接，该服务器就会产生一个2048位的RSA加密密钥配对，并且提交公开密钥到被感染的电脑。该服务器可能是一个本地代理服务器或其他的代理服务器，会频繁地在不同国家间进行重定位，增加追踪的困难度。

2013年11月，CryptoLocker的操作者开放了一个在线服务，允许用户不用CryptoLocker程序就能解密文件，并且必须于截止时间前下载解密密钥；这个过程包含了将解密文件样本上传到恶意软件的网站，然后在24小时内，网站会依据请求，查找匹配的密钥。一旦匹配成功，用户就能够进行在线付款；如果72小时的期限已过，付款价格将会增长到10比特币（在2013年11月上旬，换算汇率为超过3500美元）