与其他勒索软件变种类似，该恶意软件也会删除受害人电脑上的任意卷影副本，以增加恢复难度。它通过使用WMIC.exe、vssadmin.exe和cmd.exe完成此操作。
WannaCry使用多种方法辅助其执行，它使用attrib.exe来修改+h标记（hide），同时使用icacls.exe来赋予所有用户完全访问权限（“icacls ./grant Everyone:F /T /C /Q”）。
该恶意软件被设计成一种模块化服务。我们注意到与该勒索软件相关的可执行文件由不同的攻击者编写，而非开发服务模块的人员编写。这意味着该恶意软件的结构可能被用于提供和运行不同的恶意载荷。
加密完成后，该恶意软件会显示以下勒索声明。这一勒索软件非常有趣的一点是，其勒索屏幕是一个可执行文件，而非图像、HTA文件或文本文件。
组织应该意识到，犯罪分子在收到勒索赎金后，并无义务提供解密秘钥。Talos强烈呼吁所有被攻击的人员尽可能避免支付赎金，因为支付赎金的举动无疑就是在直接资助这些恶意活动的壮大。
规避与预防
希望避免被攻击的组织应遵循以下建议：
• 确保所有Windows系统均安装了全部补丁。至少应确保安装了Microsoft公告MS17-010。
• 根据已知的最佳实践，具有可通过互联网公开访问的SMB（139和445端口）的任意组织应立即阻止入站流量。
此外，我们强烈建议组织考虑阻止到TOR节点的联接，并阻止网络上的TOR流量。ASA Firepower设备的安全情报源中列出了已知的TOR出口节点。将这些节点加入到黑名单将能够避免与TOR网络进行出站通信。
