春節將至，針對網絡安全的威脅卻一點沒有要消停的意思。根據360互聯網安全中心監測發現，讓人糟心的勒索病毒家族里又出現了一位新成員——alanwalker勒索病毒。該病毒在入侵Windows服務器后，會利用PowerShell執行勒索病毒，通過加密機器上的重要文件，要挾用戶支付0.2比特幣贖金。
圖1 alanwalker勒索病毒勒索信息
可加密超420種文件 利用“永恒之藍”蔓延局域網
據監測統計，alanwalker勒索病毒可加密文件類型較多，目前已加密超過420種文件類型，主要為在Windows服務器中較為重要的數據庫文件、壓縮包、文檔和可執行文件等。而且值得注意的是，alanwalker勒索病毒通過PowerShell執行遠程載荷時，全程無文件落地，這在目前勒索病毒中較為少見。
圖2 alanwalker勒索病毒加密的文件類型
除此之外，alanwalker勒索病毒還會用另一種方式擴大勒索范圍。加密完成后，alanwalker勒索病毒還會使用“永恒之藍”漏洞攻擊武器攻擊局域網中的其他機器，試圖將勒索病毒植入局域網中其他機器內。
圖3 alanwalker勒索病毒使用“永恒之藍”漏洞攻擊武器部分代碼
疑為Greystars的變種或近親 360第一時間攔截
360安全大腦經過分析后發現，alanwalker勒索病毒的主體代碼、加密文件類型、勒索信息與2018年4月發現的Greystars勒索病毒極其相似，而存儲載荷的方式也與Greystars勒索病毒相同。據此，360安全專家推斷，alanwalker勒索病毒可能為Greystars的變種，或是兩者使用了同一開發者所開發的勒索病毒。
360互聯網安全中心還發現，alanwalker勒索病毒在1月30日傳播時曾經使用github倉庫存儲PowerShell載荷，不過載荷地址在第一時間已經失效。但alanwalker勒索病毒通過github等代碼倉庫存儲惡意載荷的情況，仍將可能成為未來的一種主流趨勢。
不過，廣大用戶不必過分擔心，360安全衛士已經可以有效攔截alanwalker勒索病毒的攻擊。但需注意的是，服務器管理員還是應當及時修補操作系統、Web應用漏洞，使用強度高的系統登錄密碼和Web應用后臺登錄密碼，防止被勒索病毒重復攻擊。
