關(guān)于防范感染勒索病毒的緊急通知

( 來源:現(xiàn)代教育技術(shù)中心 發(fā)布者:xjzx 發(fā)布日期:2017年05月14日 )

各網(wǎng)絡(luò)用戶:

  2017年5月12日20時(shí)左右,全球爆發(fā)大規(guī)模勒索軟件感染事件。據(jù)公安部通報(bào),中國(guó)大批高校也出現(xiàn)感染情況,眾多師生的電腦文件被病毒加密,只有支付贖金才能恢復(fù),情況嚴(yán)重(見附件1)。為控制病毒感染擴(kuò)散,確保我校網(wǎng)絡(luò)不發(fā)生網(wǎng)絡(luò)安全事件,現(xiàn)緊急通知如下:

  1、中心已在校園網(wǎng)邊界上設(shè)置了阻止該勒索病毒傳播的安全策略,但由于病毒的傳播方式有多種,不排除校內(nèi)主機(jī)會(huì)通過其他途徑感染該病毒。請(qǐng)全校師生提高安全防范意識(shí),做好電腦中重要文件的離線備份(拷貝到U盤或移動(dòng)硬盤等),安裝防病毒軟件并升級(jí)到最新的病毒庫。

  2、Windows XP、Windows 2003、Windows 8、windows vista等微軟已經(jīng)不再提供技術(shù)支持(鑒于問題嚴(yán)重性微軟緊急發(fā)布了針對(duì)Windows XP、Windows Server 2003、Windows 8三款系統(tǒng)的修補(bǔ)補(bǔ)丁,編號(hào):KB4012598)。建議各單位用戶盡快將操作系統(tǒng)升級(jí)到windows7以上版本,服務(wù)器系統(tǒng)升級(jí)到Windows 2012以上版本并為操作系統(tǒng)打齊補(bǔ)丁。

  3、各網(wǎng)絡(luò)用戶請(qǐng)及時(shí)開啟計(jì)算機(jī)系統(tǒng)防火墻,以便啟到防護(hù)作用。

  4、特別提醒:不要打開來源不明的電子郵件附件,尤其是帶有各種誘惑性語言和電子郵件附件;不要點(diǎn)擊安全狀態(tài)不明的網(wǎng)頁地址等。

  為防范該病毒對(duì)各網(wǎng)絡(luò)計(jì)算機(jī)系統(tǒng)的感染和傳播,盡可能減少其危害和影響,中心整理出具體防范措施建議(見附件2)、針對(duì)敲詐病毒(WanaCrypt0r2.0)的解決方案(見附件3)、各操作系統(tǒng)版本補(bǔ)丁下載地址及360公司下載工具(免疫工具、專殺工具、文件恢復(fù)工具等)(見附件4),建議各單位用戶盡快下載安裝。

  一旦出現(xiàn)類似事件第一時(shí)間反饋到中心,以便中心提供技術(shù)支持和幫助,聯(lián)系電話:65790463(潘老師、梁老師)

      

                                                                                                   現(xiàn)代教育技術(shù)中心

                                                                                                    2017年5月13日

           

      附件1:關(guān)于近日大量電腦感染勒索病毒的說明.doc

      附件2:關(guān)于勒索病毒中招的具體防范措施建議.doc

      附件3:針對(duì)敲詐病毒(WanaCrypt0r2.0)的解決方案.doc

      附件4:各操作系統(tǒng)版本補(bǔ)丁下載地址及360公司下載工具(免疫工具、專殺工具、文件恢復(fù)工具等).doc


   

        附件1   關(guān)于近日大量電腦感染勒索病毒的說明

  2017年5月12日起,全球范圍內(nèi)爆發(fā)基于Windows網(wǎng)絡(luò)共享協(xié)議進(jìn)行攻擊傳播的蠕蟲惡意代碼,這是不法分子通過改造之前泄露的NSA黑客武器庫中“永恒之藍(lán)”攻擊程序發(fā)起的網(wǎng)絡(luò)攻擊事件,用戶只要開機(jī)上網(wǎng)就可被攻擊。五個(gè)小時(shí)內(nèi),影響覆蓋美國(guó)、俄羅斯、整個(gè)歐洲等100多個(gè)國(guó)家,國(guó)內(nèi)多個(gè)高校校內(nèi)網(wǎng)、大型企業(yè)內(nèi)網(wǎng)和政府機(jī)構(gòu)專網(wǎng)中招,被勒索支付高額贖金才能解密恢復(fù)文件,對(duì)重要數(shù)據(jù)造成嚴(yán)重?fù)p失。

  這次的“永恒之藍(lán)”勒索蠕蟲,是NSA網(wǎng)絡(luò)軍火民用化的全球第一例。一個(gè)月前,第四批NSA相關(guān)網(wǎng)絡(luò)攻擊工具及文檔被Shadow Brokers組織公布,包含了涉及多個(gè)Windows系統(tǒng)服務(wù)(SMB、RDP、IIS)的遠(yuǎn)程命令執(zhí)行工具,其中就包括“永恒之藍(lán)”攻擊程序。

  漏洞描述

  近期國(guó)內(nèi)多處高校網(wǎng)絡(luò)和企業(yè)內(nèi)網(wǎng)出現(xiàn)WannaCry勒索軟件感染情況,磁盤文件會(huì)被病毒加密,只有支付高額贖金才能解密恢復(fù)文件,對(duì)重要數(shù)據(jù)造成嚴(yán)重?fù)p失。

  根據(jù)網(wǎng)絡(luò)安全機(jī)構(gòu)通報(bào),這是不法分子利用NSA黑客武器庫泄漏的“永恒之藍(lán)”發(fā)起的蠕蟲病毒攻擊傳播勒索惡意事件。惡意代碼會(huì)掃描開放445文件共享端口的Windows機(jī)器,無需用戶任何操作,只要開機(jī)上網(wǎng),不法分子就能在電腦和服務(wù)器中植入勒索軟件、遠(yuǎn)程控制木馬、虛擬貨幣挖礦機(jī)等惡意程序。

  由于以前國(guó)內(nèi)多次爆發(fā)利用445端口傳播的蠕蟲,部分運(yùn)營(yíng)商在主干網(wǎng)絡(luò)上封禁了445端口,但是教育網(wǎng)及大量企業(yè)內(nèi)網(wǎng)并沒有此限制而且并未及時(shí)安裝補(bǔ)丁,仍然存在大量暴露445端口且存在漏洞的電腦,導(dǎo)致目前蠕蟲的泛濫。

  風(fēng)險(xiǎn)等級(jí)

  360安全監(jiān)測(cè)與響應(yīng)中心對(duì)此事件的風(fēng)險(xiǎn)評(píng)級(jí)為:危急

  影響范圍

  掃描內(nèi)網(wǎng),發(fā)現(xiàn)所有開放445 SMB服務(wù)端口的終端和服務(wù)器,對(duì)于Win7及以上版本的系統(tǒng)確認(rèn)是否安裝了MS17-010補(bǔ)丁,如沒有安裝則受威脅影響。

   

       附件2     關(guān)于勒索病毒中招的具體防范措施建議

  個(gè)人計(jì)算機(jī)用戶的預(yù)防措施:

  1、使用Widnows Vista、Windows 7、Windows 8.1、Windows 10、Windows Server 2008、Windows Server 2012、Windows Server 2016 系統(tǒng)的用戶,請(qǐng)啟用系統(tǒng)自帶的更新功能將補(bǔ)丁版本升級(jí)到最新版本;

  2、仍然使用Windows XP、Windows 8 及 Windows Server 2003 系統(tǒng)用戶,建議升級(jí)操作系統(tǒng)到 Windows 7、Windows 2012及以上,如果因?yàn)樘厥庠驘o法升級(jí)操作系統(tǒng)版本的,請(qǐng)手動(dòng)下載XP和win2003補(bǔ)丁程序進(jìn)行安裝,補(bǔ)丁下載地址:

  http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012598。

  二、自建局域網(wǎng)預(yù)防措施:

  在自建局域網(wǎng)的自有設(shè)備上阻斷TCP 135、137、139、445 端口的連接請(qǐng)求,將會(huì)有效防止該病毒的傳播,但是同時(shí)也阻斷了校內(nèi)外用戶正常訪問使用Windows系統(tǒng)相應(yīng)文件共享機(jī)制的信息系統(tǒng)和網(wǎng)絡(luò)服務(wù)。因此,必須謹(jǐn)慎使用下列預(yù)付措施:

  1、在網(wǎng)絡(luò)邊界(如自建局域網(wǎng)出口)上阻斷 TCP 135、137、139、445 端口的連接請(qǐng)求。這個(gè)操作可有效阻斷病毒從外部傳入內(nèi)部網(wǎng)絡(luò),但無法阻止病毒在內(nèi)部網(wǎng)絡(luò)傳播。

  2、在自建局域網(wǎng)的核心交換設(shè)備處阻斷 TCP 135、137、139、445 端口的連接請(qǐng)求,該操作可阻斷病毒在自建局域網(wǎng)間進(jìn)行傳播,但無法阻止病毒在自建局域網(wǎng)內(nèi)傳播。

  3、在自建局域網(wǎng)子網(wǎng)邊界處阻斷 TCP 135、137、139、445 端口的連接請(qǐng)求,該操作可最大限度保護(hù)子網(wǎng)的安全,但是無法阻擋該病毒在同臺(tái)交換機(jī)下傳播。

  綜上所述,自建局域網(wǎng)的自有設(shè)備上阻斷網(wǎng)絡(luò)的TCP 135、137、139、445 端口連接請(qǐng)求只是臨時(shí)措施,盡快完成各單位用戶Windows系統(tǒng)軟件的升級(jí)或修復(fù)漏洞才是防范該病毒的根本措施。

   

      附件3     針對(duì)敲詐病毒(WanaCrypt0r2.0)的解決方案

  一、病毒背景

  5月12日起,Onion、WNCRY兩類敲詐者病毒變種在全國(guó)乃至全世界大范圍內(nèi)出現(xiàn)爆發(fā)態(tài)勢(shì),中國(guó)大陸大量教育網(wǎng)用戶和企業(yè)用戶中招。

  與以往不同的是,這次的新變種病毒添加了NSA(美國(guó)國(guó)家安全局)黑客工具包中的“永恒之藍(lán)”0day漏洞利用,通過445端口(文件共享)在內(nèi)網(wǎng)進(jìn)行蠕蟲式感染傳播。

  微軟在今年3月10日已發(fā)布補(bǔ)丁MS17-010修復(fù)了“永恒之藍(lán)”攻擊的系統(tǒng)漏洞,請(qǐng)盡快安裝此安全補(bǔ)丁,網(wǎng)址為https://technet.microsoft.com/zh-cn/library/security/MS17-010。

  沒有安裝安全軟件或及時(shí)更新系統(tǒng)補(bǔ)丁的其他內(nèi)網(wǎng)用戶極有可能被動(dòng)感染,所以目前感染用戶主要集中在企業(yè)、高校等內(nèi)網(wǎng)環(huán)境下。

  一旦感染該蠕蟲病毒變種,系統(tǒng)重要資料文件就會(huì)被加密,并勒索高額的比特幣贖金,折合人民幣2000-50000元不等。

  從目前監(jiān)控到的情況來看,全網(wǎng)已經(jīng)有數(shù)萬用戶感染,QQ、微博等社交平臺(tái)上也是哀鴻遍野,后續(xù)威脅也不容小覷。

  二、病毒感染現(xiàn)象

  中毒系統(tǒng)中的文檔、圖片、壓縮包、影音等常見文件都會(huì)被病毒加密,然后向用戶勒索高額比特幣贖金。

  WNCRY變種一般勒索價(jià)值300-600美金的比特幣,Onion變種甚至要求用戶支付3個(gè)比特幣,以目前的比特幣行情,折合人民幣在3萬左右。

  此類病毒一般使用RSA等非對(duì)稱算法,沒有私鑰就無法解密文件。WNCRY敲詐者病毒要求用戶在3天內(nèi)付款,否則解密費(fèi)用翻倍,并且一周內(nèi)未付款將刪除密鑰導(dǎo)致無法恢復(fù)。

  從某種意義上來說,這種敲詐者病毒“可防不可解”,需要安全廠商和用戶共同加強(qiáng)安全防御措施和意識(shí)。

  http://himg2.huanqiu.com/attachment2010/2017/0513/20170513034420996.jpg

                                   中毒后的勒索提示

  http://himg2.huanqiu.com/attachment2010/2017/0513/20170513034420712.jpg

                                        部分系統(tǒng)桌面變化

  三、針對(duì)未中病毒系統(tǒng)解決方案

  1、為計(jì)算機(jī)安裝最新的安全補(bǔ)丁,微軟已發(fā)布補(bǔ)丁MS17-010修復(fù)了“永恒之藍(lán)”攻擊的系統(tǒng)漏洞,請(qǐng)盡快安裝此補(bǔ)丁,請(qǐng)參考本文檔《安全補(bǔ)丁下載》章節(jié)內(nèi)容進(jìn)行下載安裝。

  2、開啟Windows防火墻。請(qǐng)參考《打開Windows 防火墻》章節(jié)進(jìn)行Windows防火墻啟用。

  3、針對(duì)暫時(shí)無法安裝補(bǔ)丁的Windows Server 2003以及Windows XP系統(tǒng),可以通過關(guān)閉445端口(監(jiān)控其他關(guān)聯(lián)端口如: 135、137、139)來避免病毒侵害。

 ?。?)快捷鍵WIN+R啟動(dòng)運(yùn)行窗口,輸入cmd并執(zhí)行,打開命令行操作窗口,輸入命令:netstat -an

  *用于檢測(cè)445端口是否開啟

  

                           上圖為未關(guān)閉445端口

 ?。?)如445端口開啟(如上圖),依次輸入以下命令進(jìn)行關(guān)閉:

  net stop rdr  / net stop srv / net stop netbt

  功后的效果如下:

  

  4、強(qiáng)化網(wǎng)絡(luò)安全意識(shí):不明鏈接不要點(diǎn)擊,不明文件不要下載,不明郵件不要打開。 

  5、盡快(今后定期)備份自己電腦中的重要文件資料到移動(dòng)硬盤、U盤,備份完后脫機(jī)保存該磁盤。

  6、建議仍在使用Windows XP,Windows Server 2003操作系統(tǒng)的用戶盡快升級(jí)到 Window 7/Windows 10,或 Windows 2008/2012/2016操作系統(tǒng)。

  7、若是Windows 7、Windows 8/8.1、Windows 10(不包含LTSB)以上操作系統(tǒng)在啟用自動(dòng)更新情況下對(duì)此病毒免疫。

  8、安裝正版操作系統(tǒng)、Office軟件等。

  四、針對(duì)已中病毒系統(tǒng)解決方案

  在沒有解密密鑰情況下,中病毒計(jì)算機(jī)中的文件恢復(fù)的成本非常高昂、難度非常大。若確定計(jì)算機(jī)已經(jīng)中毒,應(yīng)將該計(jì)算機(jī)隔離或斷網(wǎng)(拔網(wǎng)線),以免進(jìn)行病毒擴(kuò)散。若存在該計(jì)算機(jī)備份,則啟動(dòng)備份恢復(fù)程序。若沒有重要文件,可通過對(duì)磁盤全盤進(jìn)行格式化,重裝系統(tǒng)恢復(fù)使用。

   五、安全補(bǔ)丁下載

  針對(duì)不同的系統(tǒng)所安裝的補(bǔ)丁不同,請(qǐng)嚴(yán)格按照系統(tǒng)版本下載相對(duì)應(yīng)的安全補(bǔ)丁對(duì)系統(tǒng)進(jìn)行更新。

  ------------------------------------------------------------------------

  以下系統(tǒng)版本:

  Windows XP 32位/64位/嵌入式

  Windows Vista 32/64位

  Windows Server 2003 SP2 32位/64位

  Windows 8 32位/64位

  Windows Server 2008 32位/64位/安騰

  對(duì)應(yīng)補(bǔ)丁下載地址:

  http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012598

  ------------------------------------------------------------------------

  以下系統(tǒng)版本:

  Windows 7 32位/64位/嵌入式

  Windows Server 2008 R2 32位/64位

  對(duì)應(yīng)補(bǔ)丁下載地址:

  http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012212

  ------------------------------------------------------------------------

  以下系統(tǒng)版本:

  Windows 8.1 32位/64位

  Windows Server 2012 R2 32位/64位

  對(duì)應(yīng)補(bǔ)丁下載地址:

  http://catalog.update.microsoft.com/v7/site/Search.aspx?q=KB4012213

   

        附件4    各操作系統(tǒng)版本補(bǔ)丁下載地址及360公司下載工具(免疫工具、專殺工具、文件恢復(fù)工具等)

  Win7 ms17-010官方補(bǔ)丁md5值及下載地址

   

  win7 x64 

  md5:d745f8983f0433be76e0d08b76113563 sha1:6bb04d3971bb58ae4bac44219e7169812914df3f

  下載地址:

  http://download.windowsupdate.com/d/msdownload/update/software/secu/2017/02/windows6.1-kb4012212-x64_2decefaa02e2058dcd965702509a992d8c4e92b3.msu

   

  win7 x86 

  md5:883a7d1dc0075116789ea5ff5c204afc sha1:2decefaa02e2058dcd965702509a992d8c4e92b3

  下載地址:

  http://download.windowsupdate.com/d/msdownload/update/software/secu/2017/02/windows6.1-kb4012212-x86_6bb04d3971bb58ae4bac44219e7169812914df3f.msu

   

  win10 x64 補(bǔ)丁下載地址:

  http://download.windowsupdate.com/c/msdownload/update/softw

  are/secu/2017/03/windows10.0-kb4012606-

  x64_e805b81ee08c3bb0a8ab2c5ce6be5b35127f8773.msu

   

  win10 x86 補(bǔ)丁下載地址:

  http://download.windowsupdate.com/c/msdownload/update/softw

  are/secu/2017/03/windows10.0-kb4012606-

  x86_8c19e23de2ff92919d3fac069619e4a8e8d3492e.msu

   

  XP和win2003官方補(bǔ)丁地址:

  http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012598

   

  其他補(bǔ)丁下載地址:

  https://technet.microsoft.com/zh-cn/library/security/MS17-010

  點(diǎn)擊公告里對(duì)應(yīng)的系統(tǒng)下載對(duì)應(yīng)補(bǔ)丁。

   

  2003:

  http://0kee.#/ms/2003/kb4012598-x64-custom-chs.exe

  http://0kee.#/ms/2003/kb4012598-x64-custom-enu.exe

  http://0kee.#/ms/2003/kb4012598-x86.exe

  2008:

  http://0kee.#/ms/2008/kb4012598-x64.msu

  http://0kee.#/ms/2008/kb4012598-x86.msu

  2008R2:

  http://0kee.#/ms/2008R2/kb4012212-x64.msu

  http://0kee.#/ms/2008R2/kb4012212-x86.msu

  http://0kee.#/ms/2008R2/kb4012215-x64.msu

  http://0kee.#/ms/2008R2/kb4012215-x86.msu

  2012R2:

  http://0kee.#/ms/2012R2/kb4012213-x64.msu

  http://0kee.#/ms/2012R2/kb4012213-x86.msu

  http://0kee.#/ms/2012R2/kb4012216-x64.msu

  http://0kee.#/ms/2012R2/kb4012216-x86.msu

  8.1:

  http://0kee.#/ms/8.1/kb4012213-x64.msu

  http://0kee.#/ms/8.1/kb4012213-x86.msu

  http://0kee.#/ms/8.1/kb4012216-x64.msu

  http://0kee.#/ms/8.1/kb4012216-x86.msu

  vista:

  http://0kee.#/ms/vista/kb4012598-x64.msu

  http://0kee.#/ms/vista/kb4012598-x86.msu

  win7:

  http://0kee.#/ms/win7/kb4012212-x64.msu

  http://0kee.#/ms/win7/kb4012212-x86.msu

  http://0kee.#/ms/win7/kb4012215-x64.msu

  http://0kee.#/ms/win7/kb4012215-x86.msu

  xp:

  http://0kee.#/ms/xp/sp2-kb4012598-custom-enu-x86.exe

  http://0kee.#/ms/xp/sp3-embedded-kb4012598-custom-enu-x86.exe

  http://0kee.#/ms/xp/sp3-kb4012598-custom-enu-x86.exe

   

  win7 sp0-sp1升級(jí)包:

  http://0kee.#/ms/win7/sp0-sp1-X64.exe

  http://0kee.#/ms/win7/sp0-sp1-X86.exe

   

  漏洞檢測(cè)工具:

  http://0kee.#/ms/ms17010detect.exe

  http://0kee.#/ms/ms17-10.py

  http://0kee.#/ms/ms17-10_BSOD_shilei.exe   //藍(lán)屏

  http://0kee.#/ms/ms17-010-bsod.py   //藍(lán)屏

   

  免疫工具&處置指南:

  http://0kee.#/ms/010.zip

   

  360公司免疫工具下載鏈接:

  http://b.#/other/onionwormimmune

  360公司專殺工具下載鏈接:

  http://b.#/other/onionwormkiller

  360公司勒索蠕蟲病毒文件恢復(fù)工具下載鏈接:https://dl.360safe.com/recovery/RansomRecovery.exe

   


更新日期: 2017-05-14