「WannaCry」勒索病毒用戶處置指南

前言：北京時間2017年5月12日晚，勒索軟體"WannaCry"感染事件爆發，全球範圍內99個國家遭到大規模網路攻擊，被攻擊者電腦中的文件被加密，被要求支付比特幣以解密文件；眾多行業受到影響，比如英國的NHS服務，導致至少40家醫療機構內網被攻陷，電腦被加密勒索；而我國眾多行業也是如此，其中又以教育網最為顯著，導致部分教學系統無法正常運行，相關學子畢業論文被加密等。截止到北京時間5月15日09點，目前事件趨勢已經蔓延到更多行業，包含金融、能源、醫療、交通等行業均受到影響。

今年4月14日黑客組織ShadowBrokers（影子經紀人）公布了Equation Group（方程式組織）使用的"網路軍火"，其中包含了一些Windows漏洞（微軟編號為MS17-010）和利用工具，這些漏洞利用中，以Eternalblue（永恆之藍）最為方便利用，並且網上出現的相關攻擊腳本和利用教程也以該漏洞為主，而在4月14日後騰訊雲安全團隊監控捕獲的多起Windows主機入侵事件均是以利用Eternalblue進行入侵；Eternalblue可以遠程攻擊Windows的445埠，該埠主要用於基於SMB協議的文件共享和印表機共享服務。在以往捕獲的利用Eternalblue進行入侵攻擊的事件，黑客主要進行挖礦、DDoS等行為，而本次事件則是利用該漏洞進行勒索病毒的植入和傳播。

本次事件影響廣泛，目前騰訊雲安全專家對多個變種進行了測試，使用本方案可有效防護勒索病毒。騰訊雲安全專家教你防範「勒索病毒」：

同時，騰訊安全雲鼎實驗室發布本處理指南，意在指導雲上用戶在遭受攻擊前後進行相關處理，個人用戶也可參考部分章節。

二、事前預防

1. 關閉漏洞埠，安裝系統補丁

a) 可以採用一些免疫工具進行自動化的補丁安裝和埠屏蔽，比如電腦管家勒索病毒免疫工具（下載地址：http://dlied6.qq.com/invc/xfspeed/qqpcmgr/download/VulDetector.exe）

b) 手動關閉埠，下載安裝補丁，為確保補丁安裝，請一定要手工安裝補丁。

i. 補丁下載地址：

http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012598

https://technet.microsoft.com/zh-cn/library/security/ms17-010.aspx

ii. 利用防火牆添加規則屏蔽埠

1.開始菜單-打開控制面板-選擇Windows防火牆

2. 如果防火牆沒有開啟，點擊"啟動或關閉 Windows防火牆"啟用防火牆後點擊" 確定"

3.點擊" 高級設置"，然後左側點擊"入站規則"，再點擊右側" 新建規則"

4. 在打開窗口選擇選擇要創建的規則類型為"埠"，並點擊下一步

5. 在"特定本地埠"處填入445並點擊"下一步"，選擇"阻止連接"，然後一直下一步，並給規則隨意命名後點擊完成即可。

註：不同系統可能有些差異，不過操作類似

iii. 騰訊雲機器也可以通過配置安全組規則屏蔽445埠

1. 選擇需要操作機器所屬的安全組，點擊"編輯規則"

2. 直接點擊快捷配置按鈕"封堵安全漏洞"就可以自動添加規則

3. 該快捷按鈕將會添加"137、139、445"三個埠的屏蔽規則，如果只想添加本次所影響的445埠，可以在保存前進行調整（如非業務需要，不建議調整）

2. 備份數據，安裝安全軟體，開啟防護

a) 對相關重要文件採用離線備份（即使用U盤等方式）等方式進行備份

b) 部分電腦帶有系統還原功能，可以在未遭受攻擊之前設置系統還原點，這樣即使遭受攻擊之後可以還原系統，找回被加密的原文件，不過還原點時間到遭受攻擊期間的文件和設置將會丟失

c) 目前，大部分安全軟體已經具有該勒索軟體的防護能力或者其他免疫能力等，可以安裝這些安全軟體，如騰訊電腦管家，開啟實時防護，避免遭受攻擊

d) 對於個人用戶，可以採用一些文件防護工具，進行文件的備份、防護，如電腦管家的文檔守護者（電腦管家工具箱內可下載使用）

3. 建立滅活域名實現免疫

根據對已有樣本分析，勒索軟體存在觸發機制，如果可以成功訪問iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com，則電腦在中了勒索病毒後不會進行文件加密而直接退出。目前該域名已被安全人員註冊，可以正常訪問。

a) 普通用戶在可以聯網狀態下，保證對該網址的可訪問，則可以避免在遭受攻擊後避免被加密（僅限於已知勒索病毒）

b) 企業用戶可以通過在內網搭建Web Server，然後通過內網DNS的方式將域名解析到Web Server IP的方式來實現免疫；通過該域名的訪問情況也可以監控內網病毒感染的情況

三、事後病毒清理

1.首先可以拔掉網線等方式隔離已遭受攻擊電腦，避免感染其他機器

2. 病毒清理

相關安全軟體（如電腦管家）的殺毒功能能直接查殺勒索軟體，可以直接進行掃描清理（已隔離的機器可以通過U盤等方式下載離線包安裝）；

3. 也可以在備份了相關數據後直接進行系統重裝，並在重裝後參考"事前預防"進行預防操作

四、事後文件恢復

基於目前已知的情況，當前沒有完美的文件恢復方案，可以通過以下的方式恢復部分文件：

1. 勒索軟體帶有恢復部分加密文件的功能，可以直接通過勒索軟體恢復部分文件，不過該恢復有限；直接點擊勒索軟體界面上的"Decrypt"可彈出恢復窗口，顯示可免費恢復的文件列表，然後點擊"Start"即可恢複列表中文件

2. 根據對勒索病毒分析，勒索軟體在加密文件後會刪除源文件，所以通過數據恢復軟體可以有一定概率恢復已被加密的部分文件，可以使用第三方數據恢復工具（下圖以易我數據恢復嚮導為例）嘗試數據恢復，雲上用戶請直接聯繫我們協助處理。

五、參考鏈接

[1] 微軟MS17-010漏洞公告及補丁下載https://technet.microsoft.com/zh-cn/library/security/ms17-010.aspx

[2] 微軟Windows XP/2003補丁下載

[3] 騰訊雲事件預警

[4]勒索病毒」爆發 騰訊雲安全專家教你來防範

http://v.qq.com/live/p/topic/29893/review.html

[5] 電腦管家下載及事件專題頁面

https://guanjia.qq.com/wannacry/index2.html

[6] 騰訊電腦管家對於WannaCry蠕蟲的詳細分析

http://slab.qq.com/news/tech/1575.html

[7] 騰訊雲針對方程式工具包預警及修復建議

[8] 騰訊安全反病毒實驗室解讀「Wannacry」勒索軟體

http://tech.qq.com/a/20170513/018532.htm

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！