Loading
0

比特币蠕虫勒索病毒侵入中国各大高校及企业,手把手教小白如何防范

注意:从5月12号晚上8点左右 我国正在大规模传播勒索软件,本次攻击定位目标为全国各地高校、教育网、企业

病毒传播范围

8090安全门户有不少小伙伴投稿称,在昨晚,也就是20点左右,国内部分高校学生反映电脑被病毒攻击,文档被加密。攻击者称需支付比特币解锁。据悉,病毒是全国性的,疑似通过校园网传播,十分迅速。目前受影响的有贺州学院、桂林电子科技大学、桂林航天工业学院以及广西等地区的大学。另外有网友反映,大连海事大学、山东大学等也受到了病毒攻击。

8090安全小组提请各地区校园学子,请赶紧备份重要文件以免遭到勒索,特别是应届毕业生,论文一定要备份好!从目前的情况来看,病毒似乎还在扩散,8090安全小组将会持续关注。另悉,英国多家公立医院也疑似遭到相同病毒的攻击。

Wannacry病毒浅析分析

(被Wannacry病毒攻击的截图1)

(被Wannacry病毒攻击的截图2)

(被Wannacry病毒攻击的截图3)

这是一款叫做:Wannacry 的蠕虫勒索软件,这被认为是迄今为止最巨大的勒索交费活动,继熊猫烧香之后又一种恶性蠕虫病毒,这次是利用445端口传播的。影响到近百个国家上千家企业及公共组织。 该软件被认为是一种蠕虫变种(也被称为“Wannadecrypt0r,”wannacryptor’或’ wcry”)。 像其他勒索软件的变种一样,WannaCry也阻止用户访问计算机或文件,同时系统中的 图片、视频、音频、压缩包、可执行软件 都被此勒索软件以AES+RSA的加密算法加密。加密文件的内容都是以“WANACRY”开头,文件后缀名统一被改成了“WNCRY”  。 对学习资料和个人数据造成了严重的损失

一旦电脑感染了Wannacry病毒,受害者要高达300美元的勒索金才可解锁。否则,电脑就无法使用,且文件会被一直封锁。 

研究人员还发现了大规模恶意电子邮件传播,以每小时500封邮件的速度传播杰夫勒索软件,攻击世界各地的计算机。 

Wannacry病毒漏洞传播详解:

软件利用美国国家安全局黑客武器库泄露的“永恒之蓝”发起病毒攻击。其实,微软已经在三月份发布相关漏洞MS17-010修复补丁,大多用户并没有进行修复更新,因此遭到此次严重的攻击。 

蠕虫软件利用微软Windows SMB服务器漏洞,通过2008 R2渗透到未打补丁的Windows XP版本计算机中,因而可以大规模迅速传播。 一旦你的组织中一台计算机受攻击,蠕虫会迅速寻找其他有漏洞的电脑并发起攻击。


Wannacry病毒防范建议及修复方案:

本次攻击涉及MS17-010上文也讲了。我们可以采用以下方案进行解决

漏洞名称:Microsoft Windows SMB远程任意代码执行漏洞 (MS17-010)

包含如下CVE:

CVE-2017-0143 严重 远程命令执行

CVE-2017-0144 严重 远程命令执行

CVE-2017-0145 严重 远程命令执行

CVE-2017-0146 严重 远程命令执行

CVE-2017-0147 重要 信息泄露

CVE-2017-0148 严重 远程命令执行

漏洞描述:

SMBv1 server是其中的一个服务器协议组件。

Microsoft Windows中的SMBv1服务器存在远程代码执行漏洞。

远程攻击者可借助特制的数据包利用该漏洞执行任意代码。

以下版本受到影响:Microsoft Windows Vista SP2,Windows Server 2008 SP2和R2 SP1,Windows 7 SP1,Windows 8.1,Windows Server 2012 Gold和R2,Windows RT 8.1,Windows 10 Gold,1511和1607,Windows Server 2016。


解决方案:

1.关闭TCP445端口(帮助

2.使用 Windows Update 进行系统更新win7系统更新帮助)(win10系统更新帮助

3.关闭SMBv1服务

3.1 适用于运行 Windows 8.1 或 Windows Server 2012 R2 及更高版本的客户

对于客户端操作系统:

打开“控制面板”,单击“程序”,然后单击“打开或关闭 Windows 功能”。

在“Windows 功能”窗口中,清除“SMB 1.0/CIFS 文件共享支持”复选框,然后单击“确定”以关闭此窗口。

重启系统。

3.2 对于服务器操作系统:

打开“服务器管理器”,单击“管理”菜单,然后选择“删除角色和功能”。

在“功能”窗口中,清除“SMB 1.0/CIFS 

文件共享支持”复选框,然后单击“确定”以关闭此窗口。

重启系统。

3.3适用于运行Windows 7、 Windows Server 2008 R2、 Windows Vista 和 Windows Server 2008,修改注册表

新建项︰ SMB1,值0

重新启动计算机即可


关于影响的操作系统范围和对应的补丁号码详情请见:https://technet.microsoft.com/en-us/library/security/ms17-010.aspx


【声明】:8090安全小组门户(http://www.8090-sec.com)登载此文出于传递更多信息之目的,并不代表本站赞同其观点和对其真实性负责,仅适于网络安全技术爱好者学习研究使用,学习中请遵循国家相关法律法规。如有问题请联系我们:邮箱hack@ddos.kim,我们会在最短的时间内进行处理。