全球勒索病毒大爆发 金山毒霸详细支招应对

本篇文章2456字，读完约6分钟

自5月12日以来，毒品暴君安全中心已经监测到两种类型的勒索者病毒变种，洋葱和wncry，已经在全国大规模爆发。与过去不同的是，这些新变种在nsa黑客工具包中增加了“永恒的蓝色”0天漏洞。蠕虫感染通过端口445(文件共享)在内部网传播。其他未及时安装安全软件或更新系统补丁的内网用户很有可能被被动感染，所以目前被感染的用户主要是一旦感染这种蠕虫变种，系统的重要数据文件将被加密，并会被勒索高额的比特币赎金(相当于2000 ~ 50000元人民币)。

从目前的监控情况来看，整个网络已经有成千上万的用户被感染，在qq、微博等社交平台上也有很多的悲欢离合。因此，不应低估勒索者病毒传播感染的后续威胁。敲诈勒索病毒+远程执行漏洞的蠕虫式传播极大地增强了这种病毒的安全威胁程度，这是对近期国内网络安全形势的严峻考验。

我们的安全团队在监测到勒索者蠕虫的威胁扩散后迅速跟进。目前，金山网络安全可以防御和杀死勒索蠕虫变种。下面给出了我们的安全防御方案、传播分析和针对这个勒索蠕虫的其他安全建议，试图让用户避免或减少敲诈的风险。

[传播感染的背景]

这一轮勒索蠕虫传播主要包括两个家族变种，洋葱和wncry。这种感染首先在英国、俄罗斯和其他国家爆发。新闻报道显示，许多企业和医疗机构陷入体制内，遭受重大损失。安全机构的全球监测发现，多达74个国家遭受了这种勒索蠕虫的攻击。自5月12日以来，在中国传播的感染数量也急剧增加，并集中和加剧了许多大学和企业。

全世界有74个国家遭到洋葱和洋葱勒索者的袭击

在24小时内，监控的wncry勒索者的蠕虫攻击次数超过10w+

这种感染迅速爆发的主要原因在于使用了前一段时间泄露的国家安全局(nsa)黑客工具包中的“永恒的蓝色”漏洞(微软在3月份发布了一个补丁，漏洞号:ms17-010)。与历史上“冲击波”和“冲击波”等大规模蠕虫感染类似，本次传播攻击中利用的“永恒蓝色”漏洞可以通过端口445远程直接攻击目标主机，感染传播速度非常快。

这种勒索蠕虫变种通过“永恒的蓝色”漏洞进行网络攻击

虽然国内一些网络运营商封锁了个人用户的445网络端口，但在教育网络、一些运营商的大型局域网和校园网中仍有大量暴露的攻击目标，这对于企业来说尤为严重。一旦内部密钥服务器系统遭到攻击，损失将是不可估量的。从我们检测到的反馈来看，国内很多高校都集中爆发了感染和传播事件，甚至影响到机场航班信息和加油站等终端系统。预计在不久的将来，这种勒索蠕虫所造成的影响将进一步加剧。

敲诈者蠕虫感染攻击在全国高校的内部网中爆发

[勒索蠕虫感染现象]

系统中的文件、图片、压缩包、音频和视频等常见文件将被病毒加密，然后用户将被勒索高额比特币赎金。Wncry变体一般勒索价值300~600美元的比特币，而洋葱变体甚至要求用户支付3个比特币，在目前的比特币市场上相当于约3万元人民币。这类病毒通常使用rsa等非对称算法，没有私钥就无法解密文件。Wncry勒索病毒要求用户在3天内付款，否则解密费用会翻倍，一周内不付款将会删除密钥并使其不可恢复。从某种意义上说，这种敲诈者病毒是“可预防和不可解决的”，这就要求安全供应商和用户共同加强安全防御措施和意识。

感染了wncry软件的用户系统会弹出一个比特币软件窗口。用户文件被加密，后缀被改为“wncry”。桌面变成了勒索，恐吓我们追踪比特币的一些变种的支付地址。发现有少数用户开始向病毒作者支付赎金。从下图中，我们可以看到这种变体的病毒作者已经从19个用户那里收到了比特币赎金，共计3.58个比特币，市值约为4万元人民币。

[关于防御措施的建议]

1.安装防病毒软件并保持安全防御功能。建议下载并安装金山软件网络安全。我们的安全团队在第一时间加强了针对勒索蠕虫的防御措施。你可以通过保持毒品恶霸防御开启来拦截这个勒索蠕虫攻击。

(毒品暴君下载地址:巴度/)

暴徒杀死WNCY勒索蠕虫，暴徒病毒防御和拦截WNCY病毒加密的用户文件。2.及时更新和升级系统。今年3月，微软针对nsa泄露的漏洞发布了ms17-010升级补丁，其中包括被勒索蠕虫利用的“永恒的蓝色”漏洞。建议用户尽快升级和安装。

此漏洞会影响以下操作系统:

windows XP/windows 2000/windows 2003(微软不再提供安全补丁升级服务，因此建议关闭端口445)

windows vista/windows server 2008/windows server 2008 R2

windows 7/windows 8/windows 10

windows server 2012/windows server 2012 R2/windows server 2016

补丁下载地址:technet.microsoft/zh-cn/library/security/ms17-010(建议根据系统版本下载并安装相应的补丁升级包)

Microsoft ms17-010修补程序列表打开系统防火墙保护。3.使用xp和2003版本系统的用户可以选择关闭端口445，以避免敲诈者蠕虫感染攻击。您可以参考以下操作步骤。

1)打开系统防火墙保护。控制面板-->安全中心--> windows防火墙-->启用。

2)关闭系统的端口445。

A)win+r输入cmd，打开命令行操作窗口，输入命令“netstat -an”，并检测端口445是否打开。

如上所示，如果端口445打开，依次输入以下命令将其关闭:

净站rdr /净站srv /净站netbt

成功后的效果如下:

4.小心打开来自未知来源的网站和电子邮件，并在打开office文档时禁用宏打开。网络挂马和网络钓鱼邮件一直是国内外传输软件的重要渠道。

5.养成良好的备份习惯，使用网络磁盘或移动硬盘及时备份重要的个人文件。在这次勒索蠕虫爆发中，中国的许多大学和企业遭到了攻击，许多关键和重要的资料被病毒加密和勒索。希望用户能够提高重要文件备份的安全意识。

来源：搜狐微门户