永恒之藍(lán)蠕蟲病毒爆發(fā)，解決方案看這里
01 永恒之藍(lán)蠕蟲肆虐全球 就在昨日，勒索病毒大規(guī)模襲擊全球，近100個(gè)國家被攻擊！英國、意大利、俄羅斯等全球74個(gè)國家近6萬臺(tái)電腦遭比特幣勒索病毒攻擊。
據(jù)悉策劃者是一名俄羅斯黑客，在FBI通緝的十大黑客名單中排名第二，利用美國NSA黑客武器攻擊windows漏洞。
今早，國內(nèi)多所大學(xué)反饋遭遇此勒索病毒攻擊，至截稿時(shí)間，已致使許多實(shí)驗(yàn)室數(shù)據(jù)和畢業(yè)設(shè)計(jì)被鎖。包括山東財(cái)經(jīng)大學(xué)、南昌大學(xué)、廣西師范大學(xué)、東北財(cái)經(jīng)大學(xué)在內(nèi)十幾家高校發(fā)布通知等多家高校發(fā)布緊急通知，提醒師生注意。
由于國內(nèi)曾多次出現(xiàn)利用445端口傳播的蠕蟲病毒，部分運(yùn)營商對個(gè)人用戶封掉了445端口。但是教育網(wǎng)并無此限制，存在大量暴露著445端口的機(jī)器，因此成為不法分子使用NSA黑客武器攻擊的重災(zāi)區(qū)。正值高校畢業(yè)季，勒索病毒已造成一些應(yīng)屆畢業(yè)生的論文被加密篡改，直接影響到畢業(yè)答辯。
02 永恒之藍(lán)來自何處將去何方 經(jīng)技術(shù)調(diào)查，該病毒是一個(gè)名為“wannacry”的新型勒索軟件。目前無法解密受到該類型的勒索軟件感然的文件。該勒索軟件利用了基于445端口傳播擴(kuò)散的SMB漏洞MS17-010.攻擊者掃描全網(wǎng)開放的445端口，再利用自動(dòng)化攻擊腳本生成惡意文件感染主機(jī)。當(dāng)系統(tǒng)遭受攻擊后，會(huì)彈出索要贖金的對話框
“永恒之藍(lán)”傳播的勒索病毒以O(shè)NION和WNCRY兩個(gè)家族為主，受害機(jī)器的磁盤文件會(huì)被勒索軟件以AES+RSA的加密算法加密。加密文件內(nèi)容以“WANACRY!”開頭，文件后綴名統(tǒng)一改成“.WNCRY”。圖片、文檔、視頻、壓縮包等各類資料都無法正常打開。
讓我們先回顧一下時(shí)間線：
2017年3月14日，微軟發(fā)布安全公告 MS17-010，Microsoft Windows SMB 服務(wù)器安全更新 (4013389)，等級為嚴(yán)重。漏洞說明是：如果攻擊者向 Windows SMBv1 服務(wù)器發(fā)送特殊設(shè)計(jì)的消息，那么其中最嚴(yán)重的漏洞可能允許遠(yuǎn)程執(zhí)行代碼。
4月，黑客組織 Shadow Brokers 從美國國家安全局（NSA）盜取了多個(gè) Windows 攻擊工具并公布。此次勒索蠕蟲攻擊代碼部分即基于這些攻擊庫中的EtenalBlue（永恒之藍(lán)）。
如果3月份的安全公告和4月份的攻擊工具泄漏還沒有被引起重視的話，僅僅1個(gè)月后，基于EtenalBlue（永恒之藍(lán)）的勒索蠕蟲肆虐，真實(shí)的發(fā)生在我們身邊。
讓我們把時(shí)間再提前，2003年8月，沖擊波病毒（W32.Blaster.Worm）肆虐全球，病毒運(yùn)行時(shí)會(huì)不停地利用IP掃描技術(shù)尋找網(wǎng)絡(luò)上系統(tǒng)為Win2000或XP的計(jì)算機(jī)，找到后利用DCOM/RPC緩沖區(qū)漏洞攻擊該系統(tǒng)，一旦攻擊成功，病毒體將會(huì)被傳送到對方計(jì)算機(jī)中進(jìn)行感染，使系統(tǒng)操作異常、不停重啟、甚至導(dǎo)致系統(tǒng)崩潰。另外，該病毒還會(huì)對系統(tǒng)升級網(wǎng)站進(jìn)行拒絕服務(wù)攻擊，導(dǎo)致該網(wǎng)站堵塞，使用戶無法通過該網(wǎng)站升級系統(tǒng)。
當(dāng)時(shí)，為了控制蠕蟲病毒的擴(kuò)散，部分運(yùn)營商在主干網(wǎng)絡(luò)上封禁了445端口，但是教育網(wǎng)及大量企業(yè)內(nèi)網(wǎng)并沒有此安全策略的部署與端口限制而且并未及時(shí)安裝補(bǔ)丁，仍然存在大量暴露445端口且存在漏洞的電腦，導(dǎo)致此次目前勒索蠕蟲病毒的泛濫。
03 迅維網(wǎng)專業(yè)止損建議
建議大家采取以下措施來防止損失進(jìn)一步擴(kuò)大：
1. 查看445端口是否開放并決定是否關(guān)停server服務(wù)：
點(diǎn)擊“開始”->“運(yùn)行”->輸入“cmd”->輸入“netstat -an ”->回車->查看445端口狀態(tài)
如果處于“l(fā)istening”->暫時(shí)關(guān)停server服務(wù)：
點(diǎn)擊“開始”->搜索框輸入“cmd”->右鍵菜單選擇“以管理員身份運(yùn)營”->執(zhí)行“net stop server”命令
2、微軟已發(fā)布補(bǔ)丁MS17-010，修復(fù)了“永恒之藍(lán)”攻擊的系統(tǒng)漏洞。
https://technet.microsoft.com/zh-cn/library/security/MS17-010
3. 個(gè)人用戶應(yīng)急解決方案
開啟系統(tǒng)防火墻->利用系統(tǒng)防火墻高級設(shè)置阻止向445端口進(jìn)行連接->安裝相應(yīng)系統(tǒng)安全更新。
win7/win8/win10：
控制面板->系統(tǒng)與安全->啟用Windows防火墻->點(diǎn)擊"高級設(shè)置"->點(diǎn)擊“入站規(guī)則”->選擇"新建規(guī)則"->規(guī)則類型選擇“端口”->應(yīng)用于“TCP”協(xié)議 特定本地端口并輸入“445”->“操作”選擇“阻止連接”->“配置文件”中“規(guī)則應(yīng)用”全部勾選->罪責(zé)名稱任意輸入并點(diǎn)擊完成
winxp：
控制面板->安全中心->啟用“Windows防火墻”->點(diǎn)擊“開始”->“運(yùn)行”->輸入“cmd”->依次執(zhí)行“net stop rdr”、“net stop srv”和“net stop netbt”三條命令->升級操作系統(tǒng)版本并進(jìn)行安全更新
4、盡快（今后定期）備份自己電腦中的重要文件資料到移動(dòng)硬盤、U盤，備份完后脫機(jī)保存該磁盤。
同時(shí)，迅維網(wǎng)提醒：如果您遭遇蠕蟲病毒，并且有重要文件，可以和我們迅維網(wǎng)取得聯(lián)系。我們有專業(yè)數(shù)據(jù)安全和數(shù)據(jù)恢復(fù)工程師解決此類問題。
本內(nèi)容部分來自上海云盾，如果您遭受安全攻擊且急需專業(yè)的技術(shù)支持，請及時(shí)聯(lián)系上海云盾。