韩国遭受的大规模网络攻击或祸起非正版Windows服务器

【相关新闻】

【围攻苹果】（二）“第三势力”吹响集结号角

谷歌或将推出在线笔记服务“Google Keep”

IDC：Q1全球个人电脑出货量可出现两位数下滑

英特尔：智能手机版Atom的卖点是强大的摄影功能

【围攻苹果】（一）产业大变局，苹果是否就此枯萎？

韩国3月20日发生大规模网络攻击事件。此次攻击带有同时多发的性质，因此最合理的解释是，这是一次使用恶意软件的网络恐怖活动（网络战争）。

笔者推测，此次事件问题出在韩国存在的非正版Windows上。下面就来解释一下为何如此判断。

首先，笔者想说一下2003年流行的SQL Server 2000感染的SQL Slammer病毒。当时，与美国一样，该病毒在韩国也造成了很大混乱，导致网络一时无法使用。其重要原因是，韩国有大量盗版Windows，有很多服务器未得以合理运用并打上补丁，导致病毒感染在韩国迅速扩大，最终造成韩国国内的互联网陷入瘫痪。

从这一事件中反省的韩国此后开始推进普及正版Windows。事实上，通过这一举措，韩国长期再未发生过类似事件。

目前或尚存非正版授权的Windows服务器

但是，这项举措最多只是到了客户端层级，在被称为Windows Server Update Services（WSUS）的公司内部的补丁管理服务器层级上，很可能还存在着非正版Windows。这些非正版的WSUS不能按照正版的流程下载安全补丁。

当微软发布安全补丁时，各企业内部的WSUS服务器就会将自己保存的列表与微软提供的列表进行对照，以SSL加密的形式下载应下载文件的一览表。这时，在实际下载开始前，WSUS系统会通过检查来确认是否为正版。如果查出是非正版的WSUS服务器，就只能获得应下载文件的列表，而不会下载补丁本身。

由于这些WSUS是由非正版的Windows构筑的，因此实际上会通过与微软毫无关系的网站下载与微软提供的补丁基本相同的数据包。不过，这些网站并不是微软的管理对象，因此发布的补丁中就会掺有病毒。微软发布的安全补丁往往被认为其本身是用SSL加过密的，但其实只是通信路径做了SSL加密。实际上，文件是通过Akamai的网络提供的。

因此，运用非正版WSUS的管理者及企业很可能不会注意到问题（深信是正版Windows）而继续使用。这样，非微软提供的安全补丁就会进入WSUS，正版的客户端Windows在定期升级时也会用这些安全补丁来更新。

笔者以研究为目的安装了从中国购买的盗版Windows XP，对其Windows Update机制进行了调查。结果发现了与上述情况十分相似的结果（不同的是客户端直接去获取文件）。调查显示，盗版系统在执行Windows Update时，虽然也会向微软征询下载列表，但实际的补丁文件却是从非正规的网站上下载来的。对下载的文件实施分析后证实，其中除了正常的补丁之外，还植入了多个病毒。从这些情况来看，韩国发生的网络恐怖活动估计也存在着同样的情况。

在此次攻击事件中，向非正版WSUS提供信息的服务器只有接收到来自目标企业的访问时才会发生下载行为，这表明很可能是事先植入了目标型病毒。因此笔者推测，这些目标型病毒是在企业管理者深信WSUS管理的情况下误使其进入客户端Windows的，随后病毒便于某天（3月20日）发动了破坏主引导区（MBR）的行动。（日经技术在线！ 供稿）