两周过去了，“想哭”勒索蠕虫近来可好？

雷锋网编者按：距离“想哭”勒索病毒爆发已经过去了两周时间，然而永恒之蓝勒索蠕虫并没有就此停下脚步，此次基于MS17-010多个漏洞也极有可能会一直存活下去，持续制造麻烦。

以下为360威胁情报中心提供给雷锋网的关于“永恒之蓝”勒索蠕虫及值得警惕的趋势。授权雷锋网发布。

360威胁情报中心从截至到5月26日的数据中监测到，5月23日以来，对445端口发起扫描的独立IP数在大量增加，又开始呈现上升趋势，26日创下历史新高，甚至高出5月12日永恒之蓝爆发时11%左右。这个现象令人不安，暗示着基于NSA工具的SMB服务漏洞正在被积极地蠕虫式利用传播。

在永恒之蓝勒索蠕虫肆虐期间就出现了很多个去除Kill Switch修改版本，之后还发现了捆绑NSA几乎所有可用SMB漏洞攻击工具进行传播的EternalRocks（永恒之石）家族，这些派生和其他家族理论上具备更强的传播力，甚至会逐渐取代永恒之蓝蠕虫的主流地位。

如果利用SMB漏洞进行传播的蠕虫只是秘密地潜伏控制，不做更多引起用户注意的事情，则可能持续保持活动状态，2008年爆发的Conficker蠕虫到现在都还处于活跃状态，此次基于MS17-010多个漏洞的蠕虫（不一定是“永恒之蓝”）也极有可能会一直存活下去，持续地制造麻烦。目前扫描源IP数量的持续增长暗示还有很多系统没有打上补丁，蠕虫还能进入大量系统扫描攻击传播。

永恒之蓝勒索蠕虫的现状

距离永恒之蓝勒索蠕虫（WannaCry）的爆发已经差不多两周时间了，360威胁情报中心一直在做持续地跟踪。基于360网络研究院的数据，显示“永恒之蓝”勒索蠕虫的感染量在初期的暴增以后在近期保持平稳，偶有不大的起伏。

下图为WannaCry蠕虫家族Kill Switch域名的访问量曲线：

在5月12日蠕虫爆发以后，蠕虫的感染量在最初的几小时内冲高到顶点，在北京时间5月12日23点左右Kill Switch域名被注册启用以后受到极大地抑制，在后续的几天内安全厂商与用户的协同处理后，整体感染情况基本得到控制。

下图为感染蠕虫的独立IP数曲线：