专栏名称: 安天集团
安天是引领威胁检测与防御能力发展的网络安全国家队，依托自主先进核心技术与安全理念，致力为战略客户和关键基础设施提供整体安全解决方案。安天产品和服务为客户构建端点防护、边界防护、流量监测、导流捕获、深度分析、应急处置等基础能力。
目录
相关文章推荐
林小奇笔记  ·  市场已经找到切换的方向 ·  18 小时前  
林小奇笔记  ·  市场已经找到切换的方向 ·  18 小时前  
FreeBuf  ·  Chainsaw：一款基于Windows事件 ... ·  2 天前  
计算机与网络安全  ·  国庆特辑 | 纪录片《开国纪事》 ·  3 天前  
中伦视界  ·  闻弦歌而知雅意：京津沪自贸区数据跨境流动政策 ... ·  4 天前  
中伦视界  ·  闻弦歌而知雅意：京津沪自贸区数据跨境流动政策 ... ·  4 天前  
计算机与网络安全  ·  GB 44495-2024 ... ·  1 周前  
51好读  ›  专栏  ›  安天集团

安全行动，只为中国（一）——分析响应重大蠕虫与僵尸网络事件篇

安天集团  · 公众号  · 互联网安全  · 2024-10-03 23:40

正文

点击上方"蓝字"
关注我们吧！

      

 



国庆75周年之际，安天CERT将安全事件处置、重大事件研判、高级威胁分析等方面的历史工作进行汇聚梳理。以总结经验、提炼规律、改善不足，让我们后续的分析和响应工作，能更有效的支撑国家安全斗争。

威胁分析响应，是安天重要的能力频谱。安天面向攻击活动、攻击装备和威胁行为体，展开威胁感知、捕获、分析、处置、溯源、报送、曝光等系列工作，持续推动核心引擎和产品与服务能力迭代改进，有效支撑公共安全治理和国家安全斗争。
2004年，安天以病毒分析组为基础，组建了安天应急处理小组，后更名为安天安全研究与应急处理中心，即安天CERT。按照“第一时间启动，同时应对多线威胁。三体系联动，四作业面协同”的工作原则，构建了工作机制。面向重大安全事件和高级威胁响应处置，形成了整体战备动员机制。安天已经连续八届（十六年）蝉联国家互联网应急中心国家级（甲级）支撑单位。
今天带来，安天应急处置与威胁分析工作轨迹的第一部分——响应处置重大蠕虫传播、僵尸网络感染事件篇。
伴随着互联网的普及，发生了多起大规模的蠕虫爆发事件，包括红色代码、震荡波、冲击波等等，这些蠕虫快速传播，严重干扰了互联网基础设施运行，快速感染甚至控制大量主机节点。在响应处置这些蠕虫的过程，让安天逐渐形成了一套包括漏洞传播可用性分析、蠕虫感染捕获、样本分析、编写免费免疫和处置工具、发布分析报告等动作在内的分析流程，也使安天最早的创业者们完成了从传统的病毒分析工程师和开发程序员，向网络安全工程师的转型。形成安天“第一时间启动”的应急意识基础，相关的能力沉淀也为安天后续在针对APT攻击、定向勒索攻击等更为复杂的攻击活动分析时，形成了良好的工作基础。
安天响应处置重大蠕虫、僵尸网络传播感染的历史轨迹


时间：2001年8月  
事件：“红色代码Ⅱ”(Red Code Ⅱ)蠕虫
贡献：率先捕获、分析报告、专杀工具、普查工具    

“红色代码Ⅱ”(Red Code Ⅱ)蠕虫专杀工具

更多信息参见：

《ⅡS 蠕虫 红色代码( RED CODE )》（刊载于安天技术文章汇编（三））


2003年1月 
事件：SQL Slammer蠕虫
贡献：率先捕获、传播机理分析、快速修复工具

Slammer蠕虫补丁检查工具


2003年3月

事件：口令（Dvldr）蠕虫
贡献：率先捕获、深度分析报告、全网普查支撑、地理溯源

口令（Dvldr）蠕虫专杀工具    

安天为高校提供的安全补丁批量分发工具
更多信息参见：
《紧急蠕虫Worm.Dvldr事态分析报告》
《基于口令破解机制的蠕虫家族关联分析报告》
（均刊载于安天技术文章汇编（三））

2003年7月

事件：冲击波（Blaster）蠕虫

贡献：捕获预警、深度分析报告、专杀、免疫工具

Blaster蠕虫专杀与免疫工具（哈工大-安天联合制作）

MSBlast免疫程序

2003年8月

事件：WelChia蠕虫    
贡献：捕获预警、分析报告、免疫工具、网管批量处置工具

AV Lecah之流行蠕虫专杀工具增加对WelChia蠕虫


2004年5月  

事件：震荡波（Sasser）蠕虫
贡献：捕获预警、分析报告、专杀工具、与网络天空同源性分析和源头地点判定

AV Lecah之流行蠕虫专杀工具增加对Sasser蠕虫

更多信息参见：
《基于典型开发方法和编码心理学的病毒同源性分析》
（刊载于安天技术文档汇编（一））

2005年1月

事件：RBOT及SDBOT僵尸网络
贡献：捕获预警、分析报告、专杀工具、提供线索捕获作者   

AV Lecah之流行蠕虫专杀工具增加对RBOT及SDBOT僵尸网络


2006年8月

事件：魔波（Mocbot）蠕虫
贡献：专杀工具、监测分析、大规模遏制方案

AVL PK终极专杀工具对当时流行蠕虫和木马查杀


2006年12月

事件：熊猫烧香蠕虫
贡献：捕获预警、分析报告、专杀工具    

“熊猫烧香”病毒专杀工具


2017年5月

事件：魔窟“WannaCry”

贡献：首发完整分析、专杀、免疫工具、内存密钥提取（恢复）工具、溯源支撑    

魔窟“WannaCry”专杀工具

魔窟“WannaCry”免疫工具

魔窟“WannaCry”文件解密工具

更多内容参见：

安天针对勒索蠕虫“魔窟”（WannaCry）的深度分析报告   

安天应对勒索软件“WannaCry”防护手册

安天对勒索者蠕虫“魔窟”WannaCry支付解密流程分析

安天蠕虫式勒索软件WannaCry免疫工具FAQ 4

应对勒索软件“WannaCry”，安天发布开机指南


2017年6月

事件：暗云Ⅲ

贡献：分析报告、专杀工具     

 

暗云Ⅲ专杀工具
更多内容参见：
安天针对“暗云Ⅲ”的样本分析及解决方案

2018年1月
事件：Gafgyt僵尸网络
贡献：与电信云堤联合发布、感染情况
更多内容参见：
揭秘物联网僵尸网络Gafgyt家族与NetCore 53413后门的背后故事

2019年8月
事件：Mykings僵尸网络
贡献：分析报告、感染情况
更多内容参见：
Mykings僵尸网络近期活动分析报告

2020年8月
事件：Tsunami僵尸网络
贡献：分析报告、全球感染情况
更多内容参见：
精准投放Tsunami僵尸网络和“魔铲”挖矿木马的行动分析

 



2015年 




2022年9月
事件：Lilith僵尸网络
贡献：分析报告、溯源背景
更多内容参见：
Lilith僵尸网络及其背后的Jester黑客团伙跟进分析

时间：2022年11月-2023年3月
事件：挖矿
贡献：分析报告、挖矿专题
更多内容参见：
典型挖矿家族系列分析四丨LemonDuck挖矿僵尸网络
典型挖矿家族系列分析三丨Sysrv-hello挖矿蠕虫    
典型挖矿家族系列分析二 | TeamTNT挖矿组织
典型挖矿家族系列分析一 丨Outlaw（亡命徒）挖矿僵尸网络

2023年12月
事件：Mirai僵尸网络
贡献：分析报告、新变种
更多内容参见：
Mirai僵尸网络变种“Aquabot“分析
yayaya Miner挖矿木马分析

推荐文章
林小奇笔记  ·  市场已经找到切换的方向
18 小时前
林小奇笔记  ·  市场已经找到切换的方向
18 小时前
FreeBuf  ·  Chainsaw：一款基于Windows事件日志的信息安全取证工具
2 天前
计算机与网络安全  ·  国庆特辑 | 纪录片《开国纪事》
3 天前
中伦视界  ·  闻弦歌而知雅意：京津沪自贸区数据跨境流动政策对比解析
4 天前
中伦视界  ·  闻弦歌而知雅意：京津沪自贸区数据跨境流动政策对比解析
4 天前
计算机与网络安全  ·  GB 44495-2024 汽车整车信息安全技术要求，智能汽车解决方案2030（2024版），2024支付现代化与云：制胜战略
1 周前
大楚网  ·  腾讯做家装啦 喊你来当创始人名利双收待遇丰厚
7 年前
158Lab  ·  博士生、麻省理工教授、诺贝尔奖获得者……都因为「禁穆令」无法与家人团聚
7 年前
半岛晨报  ·  每天八杯水不可随便喝 食品级304钢电水壶 喝安全热水 远离锰超标
7 年前
TechWeb  ·  勒索病毒席卷全球这十天：治它的“药”还没出来？
7 年前
相约新会  ·  【赏荷】大鳌4000多亩莲藕，十里荷田飘香！
7 年前
Sov5搜索   ·   小百科   ·   移动版
51好读 - 好文章就要读起来!