web-dev-qa-db-ja.com

WannaCry Proxy Awareはありますか?

私は malwaretech.com のWannaCryの記事を読みましたが、これは次のように機能することを理解しています:

  • HTTP経由でwww.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.comに接続してみてください
  • 応答があった場合は終了します。
  • そうでない場合は、次の部分を実行します(暗号化など)

Flow on malwaretech.com

私の知る限り、未登録のドメインを登録したことで、(最初の)WannaCryは動作しなくなりましたか?

これは、コードの一部が、そのドメインへのネットワーク接続を開いたときに応答があったかどうかをチェックするためです。

したがって、(理論上)存在しないドメインとプロキシに送信されるリクエストが、接続を試行して「接続拒否」メッセージを取得する代わりに、トラフィックを既存のホストにリダイレクトする場合(ほとんどの場合、 URLに到達できない)、(最初の)WannaCryがアクティブになることはありませんか?

2
Serverfrog

反対投票にもかかわらず、これは実際には貴重な質問です。 WannaCryはシステムのプロキシ設定ではうまく機能しないため、プロキシを使用する場合は、killswitchをアクティブにするためにこれを行う必要があります。

私はサンプルをテストしましたが、プロキシに対応していません。 HTTPプロキシがあり、インターネットに直接接続されていない環境では、サンプルはkillswitchドメインに接続できず、ホストに感染します。 https://blog.didierstevens.com/2017/05/13/quickpost-wcry-killswitch-check-is-not-proxy-aware/

だからあなたの質問に

ある種のネットワークで、ユーザーとインターネットの間にあるファイアウォールまたはある種のハードウェア/ソフトウェアが、リモートサーバーにアクセスできない場合にトラフィックをローカルサーバーにリダイレクトする場合、(最初の)WannaCryがアクティブになることはありませんか?

ええ、それはトリックを行うでしょう。実行可能ファイルがiuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.comに到達できる場合、実行は停止され、それ以上拡散することはありません。

2
J.A.K.