今天，你一開機(jī)可能就不得不損失300美元！
今天，你一開機(jī)所有文件將被加密無法讀?。?/font>
What？
什么是“永恒之藍(lán)”勒索蠕蟲？
中了“永恒之藍(lán)”勒索蠕蟲如何緊急處置？
。。。。。。
針對大家最關(guān)心的“永恒之藍(lán)”勒索蠕蟲的相關(guān)問題
360企業(yè)安全專家進(jìn)行專業(yè)解答，集成《“永恒之藍(lán)”勒索蠕蟲最全知識手冊》。
關(guān)于“永恒之藍(lán)”勒索蠕蟲，你該知道的都在這里
▌1. 什么是蠕蟲病毒？
答：蠕蟲病毒是一種常見的計(jì)算機(jī)病毒，它的主要特點(diǎn)是利用電腦存在的漏洞，通過網(wǎng)絡(luò)進(jìn)行自主的復(fù)制和傳播，只要一釋放出來，就會在無人干預(yù)的情況下以指數(shù)級快速擴(kuò)散。
▌2. 這個(gè)病毒到底什么原理？
答：這個(gè)病毒是勒索軟件和蠕蟲病毒的合體，利用了Windows操作系統(tǒng)的一個(gè)漏洞，投送勒索軟件到受害主機(jī)。在有蠕蟲的環(huán)境中，有漏洞的用戶電腦只要開機(jī)就會很快被感染，不需要任何用戶操作，并且被感染的受害主機(jī)還會對其他主機(jī)發(fā)起同樣的攻擊，所以傳播速度極快。
▌3. 中了這個(gè)病毒會有什么危害？
答：受害主機(jī)中招后，病毒就會在受害主機(jī)中植入勒索程序，硬盤中存儲的文件將會被加密無法讀取，勒索蠕蟲病毒將要求受害者支付價(jià)值300/600美元的比特幣才能解鎖，而且越往后可能要求的贖金越多，不能按時(shí)支付贖金的系統(tǒng)會被銷毀數(shù)據(jù)。
▌4. 這個(gè)病毒為什么影響這么嚴(yán)重？
答：本次事件被認(rèn)為是迄今為止影響面最大的勒索交費(fèi)惡意活動事件，一旦受害主機(jī)存在被該病毒利用的漏洞，在連接網(wǎng)絡(luò)的情況下，即使不做任何操作，病毒就會在受害主機(jī)中植入勒索程序，此外，由于其屬于蠕蟲病毒，具有自我復(fù)制、傳播的特性，因此擴(kuò)散速度極快。據(jù)360統(tǒng)計(jì)，短短一天多的時(shí)間，病毒已經(jīng)攻擊了近百個(gè)國家的上千家企業(yè)和公共組織，包括至少1600家美國組織，11200家俄羅斯組織和28388個(gè)中國機(jī)構(gòu)，全球超過10萬家機(jī)構(gòu)中招。病毒已經(jīng)覆蓋了國內(nèi)幾乎所有地區(qū)，影響范圍遍布高校、火車站、自助終端、郵政、加油站、醫(yī)院、政府辦事終端等多個(gè)領(lǐng)域，被感染的電腦數(shù)字還在不斷增長中。
▌5. 這個(gè)病毒傳播面有多大，國內(nèi)多少機(jī)構(gòu)中招？
答：該勒索蠕蟲病毒已經(jīng)攻擊了近百個(gè)國家，中國、英國、美國、德國、日本、土耳其、西班牙、意大利、葡萄牙、俄羅斯和烏克蘭等國家的上千家企業(yè)及公共組織。據(jù)360威脅情報(bào)中心監(jiān)測，國內(nèi)至少有28388個(gè)機(jī)構(gòu)被感染，有數(shù)十萬臺機(jī)器被加密勒索，覆蓋了國內(nèi)幾乎所有地區(qū)。目前攻擊事態(tài)仍在蔓延，被感染的電腦數(shù)字還在不斷增長中。
▌6. 誰是這個(gè)病毒的制造者？
答：該病毒的制作者尚未查清，但可以確認(rèn)該病毒爆發(fā)所利用的植入工具，是4月14日由Shadow Brokers組織泄漏的美國國家安全局(NSA)專用黑客工具，名字叫做“永恒之藍(lán)”，是基于Windows網(wǎng)絡(luò)共享協(xié)議漏洞進(jìn)行攻擊的。
▌7. 該勒索蠕蟲病毒在局域網(wǎng)內(nèi)是怎么傳播的？
答：該勒索蠕蟲病毒一旦被植入受害主機(jī)后，該受害主機(jī)會自動隨機(jī)掃描網(wǎng)絡(luò)內(nèi)的開放445端口的有漏洞的其他主機(jī)，并通過SMB協(xié)議將勒索蠕蟲病毒再植入到新的目標(biāo)主機(jī)中，新的受害主機(jī)將會執(zhí)行同樣的動作，因此擴(kuò)散傳播速度極快。
▌8. 封閉內(nèi)網(wǎng)的主機(jī)無法連接互聯(lián)網(wǎng)，是如何感染勒索蠕蟲病毒的？
答：該勒索蠕蟲病毒屬于蠕蟲類勒索蠕蟲病毒，自我復(fù)制能力極強(qiáng)，首次被植入的途徑較多，例如有可能是已經(jīng)感染的終端接入內(nèi)網(wǎng)。
▌9. WannaCry病毒除了利用SMB漏洞傳播復(fù)制，還有其他方式嗎，會通過郵件、IM文件、U盤傳播嗎？
答：此威脅可能會通過郵件、IM文件或U盤發(fā)送傳播，所以建議安裝360提供的免疫工具并及時(shí)安裝補(bǔ)丁。同時(shí)建議安裝360天擎、安全衛(wèi)士等殺毒軟件，確保對該病毒的及時(shí)查殺。
360天擎一鍵免疫修復(fù)工具：http://b.#/other/onionwormimmune
▌10.感染的PC是立即爆發(fā)還是有個(gè)潛伏期
答：該勒索蠕蟲病毒一般情況下會立即生效，并會在后臺進(jìn)行文件加密，完成加密后將彈出勒索通知的窗口。
▌1. 我的電腦已經(jīng)中了該勒索病毒，是否還能挽救？
答：因?yàn)槔账魅湎x病毒使用的是復(fù)雜的加密算法，理論上很難逆向破解。受害主機(jī)一旦中招，將很難通過繳納贖金以外的方法還原文件，值得強(qiáng)調(diào)的是，即便繳納贖金，一些信譽(yù)較差的攻擊者也并不一定會信守承諾。
▌2. 我付費(fèi)給勒索者，是否真的能夠解密文件？
答：并不確保所有勒索蠕蟲病毒攻擊者在收到贖金后均會對受害主機(jī)執(zhí)行解密操作。
▌3. 感染勒索蠕蟲病毒后如何緊急處置？
答：一旦電腦中招，應(yīng)首先斷開已被感染主機(jī)的網(wǎng)絡(luò)連接，隔離被感染的電腦，防止勒索蠕蟲病毒進(jìn)一步擴(kuò)散至網(wǎng)內(nèi)其他主機(jī)；其次是通過安裝360天擎、安全衛(wèi)士清除該病毒，并在確定病毒清除后迅速更新系統(tǒng)補(bǔ)?。蝗魯?shù)據(jù)價(jià)值較高，在確認(rèn)攻擊者信譽(yù)度后（360可以基于所掌握的情報(bào)幫助用戶評估攻擊者的信譽(yù)度），可考慮支付贖金取回。
▌4. 用戶主機(jī)中招后，免費(fèi)的360安全衛(wèi)士是否可以清除該病毒？
答：360安全衛(wèi)士已可以清除該病毒，但對于已被加密的文件無能為力。在這種情況下，可以嘗試360公司提供的恢復(fù)工具，有可能恢復(fù)部分?jǐn)?shù)據(jù)，但無法保證是最新版本。
▌5. 該病毒在部分用戶單位的專網(wǎng)中正在泛濫，而很多生產(chǎn)主機(jī)無法執(zhí)行關(guān)機(jī)操作，這種情況下如何有效抑制蔓延？
答：建議盡快將生產(chǎn)主機(jī)斷網(wǎng)，待更新補(bǔ)丁并采取必要查殺措施后再接入網(wǎng)絡(luò)，斷網(wǎng)過程中，系統(tǒng)可保持開機(jī)狀態(tài)。
▌1. 該病毒危害如此嚴(yán)重，需要打什么補(bǔ)丁？
答：強(qiáng)烈建議用戶檢查、安裝相關(guān)的系統(tǒng)補(bǔ)丁。對于Windows 7及以上版本操作系統(tǒng)，需安裝MS17-010補(bǔ)丁，微軟官方下載地址為：
https://technet.microsoft.com/zh-cn/library/security/MS17-010
對WindowsXP/2003等官方已停止服務(wù)的系統(tǒng)，微軟已推出針對該病毒利用漏洞的特別安全補(bǔ)丁，下載地址為:
http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012598
WindowsXP系統(tǒng)安裝此補(bǔ)丁需要預(yù)先升級至SP3。此外，已安裝360天擎系統(tǒng)的用戶，可使用其系統(tǒng)修復(fù)功能，對系統(tǒng)進(jìn)行修復(fù)掃描，安裝所有補(bǔ)丁。
在機(jī)器上線打補(bǔ)丁之前需要先拔除網(wǎng)線，暫時(shí)禁用系統(tǒng)上的Server服務(wù)，具體如何操作參照360企業(yè)安全提供的操作手冊。
▌2. 是否有什么殺毒工具能夠殺掉這個(gè)蠕蟲？
答：目前，360天擎、安全衛(wèi)士均可查殺此病毒，但一旦該病毒在查殺前被植入，或已經(jīng)成功鎖定、加密用戶的文件，則無法將數(shù)據(jù)恢復(fù)。以這種情況下，可以嘗試360公司提供的恢復(fù)工具，有可能恢復(fù)部分?jǐn)?shù)據(jù)。
360公司勒索蠕蟲病毒文件恢復(fù)工具：
https://dl.360safe.com/recovery/RansomRecovery.exe
▌3. 如何在主機(jī)上關(guān)閉445端口？
答：在Windows系統(tǒng)右鍵點(diǎn)擊“我的電腦”，在“服務(wù)和應(yīng)用程序”下的服務(wù)項(xiàng)中雙擊“Server”，在出現(xiàn)的Server屬性頁面中對“啟動類型”選擇禁用，并點(diǎn)擊“停止”按鈕關(guān)閉服務(wù)。操作成功后，建議重啟系統(tǒng)以確保生效。
▌4. 微軟官方提供的補(bǔ)丁包下載地址訪問速度極慢，如何解決？
答：360已將補(bǔ)丁文件打包存儲至360云盤供用戶下載，下載地址:https://eyun.#/surl_yZ3bTiZA2Mh （提取碼：8eb0）
▌5. 我已安裝了360天擎，是不是可以保證不受此病毒影響？
答：用戶主機(jī)正常運(yùn)行天擎，并確保開啟了補(bǔ)丁管理模塊，則可以強(qiáng)制網(wǎng)內(nèi)主機(jī)及時(shí)安裝補(bǔ)丁修復(fù)漏洞，如果漏洞修復(fù)及時(shí)，就可以避免被感染該勒索蠕蟲病毒。
▌6. 本次事件發(fā)生在周末，大部分用戶單位的PC均是關(guān)機(jī)狀態(tài)，周一上班后該如何排查和防御？
答：可先以安全的方式下載補(bǔ)丁升級文件，并拷貝至確認(rèn)無毒的U盤內(nèi)，周一PC開機(jī)前均先斷開網(wǎng)絡(luò)連接，確認(rèn)網(wǎng)內(nèi)所有PC離線安裝補(bǔ)丁后再恢復(fù)網(wǎng)絡(luò)連接。
▌7. 這個(gè)病毒對POS機(jī)有影響嗎？
答：首先確認(rèn)POS機(jī)使用的操作系統(tǒng)類型，一般的移動POS機(jī)采用的是非Windows系統(tǒng)，因此不會受到本次病毒的感染。如果用戶的特殊設(shè)備確實(shí)使用了Windows操作系統(tǒng)，則建議聯(lián)系設(shè)備供應(yīng)商尋求解決方案。
▌8. 該病毒是否會影響POS機(jī)、特殊行業(yè)的手持機(jī)、工控機(jī)？機(jī)場客戶的安檢機(jī)和顯示系統(tǒng)是否會受影響？該如何處理？
答：首先確認(rèn)POS機(jī)使用的操作系統(tǒng)類型，一般的移動POS機(jī)采用的是非Windows系統(tǒng)，因此不會受到本次病毒的感染。如果POS機(jī)、手持機(jī)、工控機(jī)、安檢機(jī)等特殊設(shè)備確實(shí)使用了Windows操作系統(tǒng)，則建議聯(lián)系設(shè)備供應(yīng)商尋求解決方案。
▌9. 為什么之前已經(jīng)打了補(bǔ)丁還是中招了？
答：本次對應(yīng)漏洞利用的補(bǔ)丁編號是MS17-010，用戶有可能未更新對應(yīng)的補(bǔ)丁，尤其對于Windows XP/2003這類老操作系統(tǒng)，之前微軟并沒有提供安全補(bǔ)丁，由于本次事件影響重大才于5月13日發(fā)布了對老系統(tǒng)的補(bǔ)丁，因此必須在當(dāng)前及時(shí)安裝。
▌10.是否有掃描工具可以檢測未打補(bǔ)丁的主機(jī)？
答：可通過下載運(yùn)行NSA漏洞檢測工具 http://b.#/other/onionwormfix，下載運(yùn)行檢測是否存在漏洞，但該工具不支持在服務(wù)器系統(tǒng)上使用。對于服務(wù)器系統(tǒng)，建議手工確認(rèn)補(bǔ)丁是否已安裝。目前諸如OpenVAS的網(wǎng)絡(luò)漏洞掃描器可以執(zhí)行遠(yuǎn)程漏洞探測功能，管理員如有需要可以使用，重點(diǎn)關(guān)注MS17-010相關(guān)的漏洞，這些漏洞被本次的蠕蟲病毒所用，發(fā)現(xiàn)后需要及時(shí)處理。
▌11.為什么我在在沒有聯(lián)網(wǎng)的情況下，開機(jī)就發(fā)現(xiàn)被感染了該病毒？
答：病毒是通過利用操作系統(tǒng)的漏洞進(jìn)行傳染的，如果主機(jī)開機(jī)時(shí)沒有聯(lián)網(wǎng)，很有可能是在上次關(guān)機(jī)之前已經(jīng)中招。
▌12.請問Windows XP/ 2003英文版系統(tǒng)是否可通過安裝補(bǔ)丁起到防護(hù)作用？
答：可以，目前微軟已經(jīng)為Windows XP/2003提供了相應(yīng)的補(bǔ)丁，到如下網(wǎng)址下載：
http://download.windowsupdate.com/c/csa/csa/secu/2017/02/windowsserver2003-kb4012598-x86-custom-enu_f617caf6e7ee6f43abe4b386cb1d26b3318693cf.exe
▌13.我在網(wǎng)絡(luò)出口已經(jīng)封堵了135/137/138/139/445端口，同時(shí)安裝了對應(yīng)的系統(tǒng)補(bǔ)丁，是否能夠有效防范該病毒，還有其他防范措施嗎？
答：通過封堵端口、安裝補(bǔ)丁，可以有效防范該病毒，但并不排除該病毒以其他形式被植入用戶系統(tǒng)，因此建議用戶安裝360天擎、安全衛(wèi)士對主機(jī)系統(tǒng)實(shí)現(xiàn)進(jìn)一步防護(hù)。
▌14.使用360提供的免疫工具后，是否可以省去安裝系統(tǒng)補(bǔ)丁的工作？
答：無論是否運(yùn)行免疫工具，都需要打補(bǔ)丁修補(bǔ)漏洞才可以從根本上避免被感染。此外，如果終端收到攜帶該病毒的文件并運(yùn)行，這個(gè)終端仍舊會被感染，所以建議用戶安裝360天擎，確保對病毒執(zhí)行有效防護(hù)。
▌15.我們網(wǎng)絡(luò)中部署有防火墻設(shè)備，能起到攔截作用嗎？
答：防火墻可以起到一定的攔截作用，通過設(shè)置安全策略，阻斷TCP445端口服務(wù)，或啟用防火墻的IPS功能，對利用該漏洞進(jìn)行攻擊的行為進(jìn)行阻斷。但是，防火墻僅能檢測經(jīng)過其轉(zhuǎn)發(fā)的流量，對于內(nèi)部主機(jī)之間的病毒傳播或通過郵件等形式的傳播并不能起到防護(hù)作用。最有效避免被植入該病毒的方法仍然是在系統(tǒng)上安裝對應(yīng)的補(bǔ)丁。
聯(lián)系客服
