文章摘要： 基于SMB文件共享傳播的蠕蟲病毒攻擊開始了大規(guī)模傳播，5月12日晚上20時左右，…
由于一帶一路高峰論壇明天在北京召開，這是今年中國最大的外交事件，29個國家的國家元首或政府首腦以及來自130多個國家的1500名代表將出席。恰在此時，基于SMB文件共享傳播的蠕蟲病毒攻擊開始了大規(guī)模傳播，5月12日晚上20時左右，全球爆發(fā)大規(guī)模勒索軟件感染事件，用戶只要開機上網就可被攻擊。五個小時內，包括英國、俄羅斯、整個歐洲以及國內多個高校校內網、大型企業(yè)內網和政府機構專網中招，被勒索支付高額贖金（有的需要比特幣）才能解密恢復文件，這場攻擊甚至造成了教學系統(tǒng)癱瘓，包括校園一卡通系統(tǒng)。
這次的“永恒之藍”勒索蠕蟲，是NSA網絡軍火民用化的全球第一例。一個月前，第四批NSA相關網絡攻擊工具及文檔被Shadow Brokers組織公布，包含了涉及多個Windows系統(tǒng)服務（SMB、RDP、IIS）的遠程命令執(zhí)行工具，其中就包括“永恒之藍”攻擊程序。
惡意代碼會掃描開放445文件共享端口的Windows機器，無需用戶任何操作，只要開機上網，不法分子就能在電腦和服務器中植入勒索軟件、遠程控制木馬、虛擬貨幣挖礦機等惡意程序。
目前，“永恒之藍”傳播的勒索病毒以ONION和WNCRY兩個家族為主，受害機器的磁盤文件會被篡改為相應的后綴，圖片、文檔、視頻、壓縮包等各類資料都無法正常打開，只有支付贖金才能解密恢復。這兩類勒索病毒，勒索金額分別是5個比特幣和300美元，折合人民幣分別為5萬多元和2000多元。
解決方法：
根治方法對于Win7及以上版本的操作系統(tǒng)，目前微軟已發(fā)布補丁MS17-010 下載地址：https://technet.microsoft.com/zh-cn/library/security/ms17-010.aspx修復了“永恒之藍”攻擊的系統(tǒng)漏洞，請立即電腦安裝此補丁。出于基于權限最小化的安全實踐，建議用戶關閉并非必需使用的Server服務，操作方法見應急處置方法節(jié)。
對于Windows XP、2003等微軟早已不再提供安全更新的系統(tǒng)，微軟也特別為此漏洞提供了補丁下載，下載地址：http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012598。
恢復階段建議針對重要業(yè)務系統(tǒng)立即進行數據備份，針對重要業(yè)務終端進行系統(tǒng)鏡像，制作足夠的系統(tǒng)恢復盤或者設備進行替換。
第1章 終端windows PC及服務器檢查及處理
注意：操作前請備份重要數據。
1.1 檢查系統(tǒng)是否開啟共享服務：
1、打開 開始 按鈕，點擊 運行，輸入cmd，點擊確定
2、輸入命令：netstat -an | find “445” 回車
3、查看結果中是否存在445端口
如下發(fā)現445端口開放，代表啟用共享服務
對于無共享文件需求的用戶，強烈建議關閉共享并更新補丁。
1.2 處理辦法一
關閉共享。
以Win7系統(tǒng)為例，操作步驟如下：
—》點擊 開始 按鈕—》在搜索框中輸入 cmd —》右鍵點擊菜單上面出現的cmd圖標，選擇 以管理員身份運行 —》在出來的 cmd 窗口中執(zhí)行 “net stop server”命令，會話如下圖：
1.3 處理辦法二
更新補丁。
官方更新地址：https://technet.microsoft.com/zh-cn/library/security/MS17-010
請根據操作系統(tǒng)選擇對應更新 （操縱系統(tǒng)位數查看參見文尾“附”部分）
下載完成后雙擊運行安裝。
1.4 處理辦法三（針對mcafee行業(yè)用戶）
官方解決辦法：https://kc.mcafee.com/corporate/index?page=content&id=KB89335
1. 登錄mcafee epo
2. 新增自定義規(guī)則“Reg-WanaCrypt0r”“file-WanaCrypt0r”
附：
1.5如何檢查windows操作系統(tǒng)位數
1. 使用快捷鍵win+R
2. 輸入CMD
3. 輸入 systeminfo | find “OS”
其中OS版本代表操作系統(tǒng)類型，上圖為win10
4. 輸入 systeminfo | find “系統(tǒng)”
其中“系統(tǒng)類型”代表操作系統(tǒng)位數，上圖為64位
5. 故，PC為win10 64位
