勒索病毒“永恒之蓝” 解决方案

Posted by Azrael on May 15, 2017

2017年5月12日,英国、意大利、俄罗斯等全球多个国家爆发勒索病毒攻击,中国大批高校也出现感染情况,众多师生的电脑文件被病毒加密,只有支付赎金才能恢复。

NSA黑客武器搭载的勒索病毒感染界面

此次校园网勒索病毒是由NSA泄漏的“永恒之蓝”黑客武器传播的。“永恒之蓝”可远程攻击Windows的445端口(文件共享),如果系统没有安装今年3月的微软补丁(MS17-010),无需用户任何操作,只要开机上网,“永恒之蓝”就能在电脑里执行任意代码,植入勒索病毒等恶意程序。

微软MS17-010安全补丁信息:

https://technet.microsoft.com/zh-cn/library/security/MS17-010

由于国内曾多次出现利用445端口传播的蠕虫病毒,部分运营商对个人用户封掉了445端口。但是教育网并无此限制,存在大量暴露着445端口的机器,因此成为不法分子使用NSA黑客武器攻击的重灾区。正值高校毕业季,勒索病毒已造成一些应届毕业生的论文被加密篡改,直接影响到毕业答辩。

目前,“永恒之蓝”传播的勒索病毒以 ONIONWNCRY 两个家族为主,受害机器的磁盘文件会被篡改为相应的后缀,图片、文档、视频、压缩包等各类资料都无法正常打开,只有支付赎金才能解密恢复。

针对NSA黑客武器利用的Windows系统漏洞,微软在今年3月已发布补丁修复。

360“NSA武器库免疫工具”( http://dl.360safe.com/nsa/nsatool.exe )

能够一键检测修复NSA黑客武器攻击的漏洞;对XP、2003等已经停止更新的系统,免疫工具可以关闭漏洞利用的端口,防止电脑被NSA黑客武器植入勒索病毒等恶意程序。

应对方法:

1、查看445端口是否开放,并决定是否关停server服务

点击“开始”->“运行”->输入“cmd”->输入“ netstat -an ”->回车->查看445端口状态

如果处于“listening”->暂时关停server服务:

点击“开始”->搜索框输入“cmd”->右键菜单选择“以管理员身份运营”->执行“ net stop server ”命令

2、个人用户临时解决方案

开启系统防火墙->利用系统防火墙高级,设置阻止向445端口进行连接->安装相应系统安全更新

win7/win8/win10:

控制面板->系统与安全->启用Windows防火墙->

点击”高级设置”->点击“入站规则”->选择”新建规则”->

规则类型选择“端口”->应用于“TCP”协议 特定本地端口并输入“445”->

“操作”选择“阻止连接”->“配置文件”中“规则应用”全部勾选->

规则名称任意输入并点击完成

winxp:

控制面板->安全中心->启用“Windows防火墙”->

点击“开始”->“运行”->输入“cmd”->

依次执行“net stop rdr”、“net stop srv”和“net stop netbt”三条命令->

升级操作系统版本并进行安全更新