比特币勒索蠕虫病毒血洗互联网,服务器用户应该怎么检查怎么处理
5月12日晚, WannaCry 蠕虫病毒在全球大肆爆发。据BBC、CNN等媒体报道,恶意攻击者利用 NSA(美国国家安全局)泄露的 Windows 0day 利用工具对99个国家实施了超过75000次攻击。 其实在较早之前,就已经有用户被此病毒入侵,有的用户迫于文件重要性,还不得不向黑客支付赎金。

什么是比特币勒索蠕虫病毒?

这次攻击的始作俑者是一款名为“WannaCry”(中文名:想哭)的勒索病毒,带有加密功能,它利用 Windows 在 445 端口的安全漏洞潜入电脑并对多种文件类型加密并添加后缀(.onion)使用户无法打开,用户电脑存在文档被加密的情况,攻击者称需支付比特币解锁,如下图(图片来自互联网):

国内高校网络系统沦为感染重灾区事件影响
这次 WannaCry 的攻击,被感染的机器有六个小时的时间缴付大约 300 美元的赎金,随后每隔几小时赎金上涨一次。英国 NHS(National Health Service)系统中超过 1/3 的机构目前已受到攻击,这些机构已经取消了所有的门诊预约并劝告可能的情况下尽量避免急诊。

受到攻击的还包括西班牙的电讯公司 Telefónica、俄国内政部、 FedEx 等等。

是谁在开展攻击?
一些专家说,这种攻击应该是利用了微软系统的一个漏洞。该漏洞其实最早是美国国安局发现的,他们还给漏洞取名为EternalBlue。
然后,国安局研发的相关工具就被一个名为“影子经纪人”的黑客团体窃取了。 黑客们还尝试在一个网上拍卖中出售它们。
但是,黑客们之后又决定免费提供这些工具,并在4月8日发布了加密密码。
黑客们表示,他们发布密码,是为了对美国总统唐纳德·特朗普表示“抗议”。
当时一些网络安全专家表示,恶意软件可能是真的,但却已经过时,因为微软在3月份就发布了这个漏洞的补丁,但问题在于,很多系统可能尚未安装更新补丁。
微软周五表示,其工程师已经增加了针对WannaCrypt的检测和保护。微软还说,该公司正在为客户提供帮助。
攻击规模有多大?
目前已经有99个国家遭受了攻击,其中包括英国、美国、中国、俄罗斯、西班牙和意大利。
反病毒软件厂商 Avast表示,世界各地出现的WannaCry勒索病毒案例已经增加到了7.5万个。
反病毒厂商Avast的专家Jakub Kroustek说:“这个规模非常巨大。”
什么是勒索病毒?
很多研究人员说,这些勒索案例似乎彼此之间存在联系,但他们表示,这可能不是针对某些具体目标的有组织攻击。
与此同时,据说一些和勒索病毒有关的比特币钱包已经开始充满现金。
谁受到了攻击?
英国国家卫生服务局(NHS)受到攻击,一些手术被迫取消。一名NHS工作人员告诉BBC,在其中一些案例中,病人“几乎肯定会死亡”。
有报道说,俄罗斯的感染案例比其他任何一个国家都多。
一些西班牙公司,包括电信巨头Telefonica,电力公司Iberdrola和公用事业公司Gas Natural也遭受了攻击。有报道说,这些公司的工作人员被告知要关掉计算机。
葡萄牙电信公司、联邦快递公司、瑞典一个地区的政府,以及俄罗斯第二大移动运营商Megafon,也表示受到了攻击。
这个恶意软件的工作原理是怎样的?
一些安全研究人员指出,这次的感染似乎是通过一个蠕虫来部署的。蠕虫是一种程序,可以在计算机之间自我传播。
与许多其他恶意程序不同的是,这个程序只靠自己就能够在一个网络中移动传播。其他大多数恶意程序是依靠人类来传播的,也就是说,需要先有人去点击含有攻击代码的附件。
一旦WannaCry进入了一个组织机构的内部计算机网络,它就会找到一些脆弱的计算机并感染它们。这可能解释了为什么它的影响是如此巨大——因为每个受害的组织机构里都有大量的机器被感染。
防范勒索软件病毒攻击的方法在这里
近期国内多所院校出现勒索软件感染情况,磁盘文件会被病毒加密,加密使用了高强度的加密算法对难以破解,被攻击者除了支付高额赎金外,往往没有其他办法解密文件,只有支付高额赎金才能解密恢复文件,对学习资料和个人数据造成严重损失。根据网络安全机构通报,这是不法分子利用NSA黑客武器库泄漏的“永恒之蓝”发起的病毒攻击事件。“永恒之蓝”会扫描开放445文件共享端口的Windows机器,无需用户任何操作,只要开机上网,不法分子就能在电脑和服务器中植入勒索软件、远程控制木马、虚拟货币挖矿机等恶意程序。

在此提醒广大用户:
1、为计算机安装最新的安全补丁,微软已发布补丁MS17-010修复了“永恒之蓝”攻击的系统漏洞,请尽快安装此安全补丁,网址为https://technet.microsoft.com/zh-cn/library/security/MS17-010。
2、关闭445、135、137、138、139端口,关闭网络共享。(可以用后文的命令批量关闭)
3、强化网络安全意识:不明链接不要点击,不明文件不要下载,不明邮件不要打开。
4、尽快(今后定期)备份自己电脑中的重要文件资料到移动硬盘、U盘,备份完后脱机保存该磁盘。
5、建议仍在使用windows xp, windows 2003操作系统的用户尽快升级到 window 7/windows 10,或 windows 2008/2012/2016操作系统。
6、安装正版操作系统、Office软件等。

附:在cmd状态下批量执行以下命令可关闭危险端口:
net stop SCardSvr
net stop SCPolicySvc
sc config SCardSvr start= disabled
sc config SCPolicySvc start= disabled
sc config MpsSvc start= auto
net start MpsSvc
netsh advfirewall set allprofiles state on
netsh advfirewall firewall add rule name=”deny udp 137″ dir=in protocol=udp localport=137 action=block
netsh advfirewall firewall add rule name=”deny tcp 137″ dir=in protocol=tcp localport=137 action=block
netsh advfirewall firewall add rule name=”deny udp 138″ dir=in protocol=udp localport=138 action=block
netsh advfirewall firewall add rule name=”deny tcp 138″ dir=in protocol=tcp localport=138 action=block
netsh advfirewall firewall add rule name=”deny udp 139″ dir=in protocol=udp localport=139 action=block
netsh advfirewall firewall add rule name=”deny tcp 139″ dir=in protocol=tcp localport=139 action=block
netsh advfirewall firewall add rule name=”deny udp 445″ dir=in protocol=udp localport=445 action=block
netsh advfirewall firewall add rule name=”deny tcp 445″ dir=in protocol=tcp localport=445 action=block

云服务器用户修复建议:
当前已受影响的用户,建议对未被加密的重要数据进行备份,并开展重装工作;
1> 在安全组策略中,检查您名下所有 Windows 云主机是否已关闭 137、 139、 445 服务端口的对外访问,建议禁止外部访问此类高危端口,或在服务器防火墙中禁止这些端口。
2> 目前微软官网发布的补丁已经修复了可导致该蠕虫病毒被传染的漏洞,建议用户及时安装 Windows 最新版本补丁(包含此次受影响的 MS07-010 补丁),避免成为勒索蠕虫的受害者;

普通电脑用户修复建议:
1> 开启系统防火墙,利用系统防火墙的“高级设置”阻止外部对 445 端口进的访问(存在一定影响,该操作会影响使用 445 端口的服务);
2> 打开系统自动更新,检测更新并进行安装;
3> 安装杀毒软件并更新病毒库

发表评论

电子邮件地址不会被公开。 必填项已用*标注