Windows安全#WannaCry勒索蠕虫

=Start=

缘由：

因为前段时间Shadow Broker披露了大量Windows漏洞，甚至爆出黑客组织 Equation Group 对于Windows远程漏洞 MS17-010 的利用工具，该漏洞影响范围之广，堪称杀器。最近（2017年05月12日）就出现了基于MS17-010漏洞的WannaCry蠕虫，感染了大量的计算机，与以往蠕虫不同的是，本次蠕虫的 Payload 是个勒索软件，会加密用户的各种文档文件，而且暂无可靠修复方法，给用户造成巨大损失。

正文：

参考解答：

木马概况：

WannaCry木马利用前阵子泄漏的方程式工具包中的“永恒之蓝(EternalBlue)”漏洞工具，进行网络端口(445)扫描攻击，目标机器被成功攻陷后会从攻击机下载WannaCry木马进行感染，并作为攻击机再次扫描互联网和局域网其他机器，行成蠕虫感染大范围超快速扩散。

木马母体为mssecsvc.exe，运行后会扫描随机ip的互联网机器，尝试感染，也会扫描局域网相同网段的机器进行感染传播，此外会释放敲诈者程序tasksche.exe，对磁盘文件进行加密勒索。

木马加密使用AES加密文件，并使用非对称加密算法RSA 2048加密随机密钥，每个文件使用一个随机密钥，理论上不可破解。

安全建议：

由于之前爆发过多起利用445端口共享漏洞攻击案例，运营商对个人用户关闭了445端口。因校园网是独立的，故无此设置，加上不及时更新补丁，所以在本次事件中导致大量校园网用户中招。所以请参考以下安全建议：

1、关闭445、139等端口，方法详见：http://mp.weixin.qq.com/s/7kArJcKJGIZtBH1tKjQ-uA

2、下载并更新补丁，及时修复漏洞（目前微软已经紧急发布XP、Win8、Windows server2003等系统补丁，已经支持所有主流系统，请立即更新）。

XP、Windows Server 2003、win8等系统访问：http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012598

Win7、win8.1、Windows Server 2008、Windows 10, Windows Server 2016等系统访问： https://technet.microsoft.com/zh-cn/library/security/ms17-010.aspx

3、安装杀毒软件并开启主动防御进行拦截查杀；

4、支付比特币并不能解密文件，不要支付比特币，保留被加密的文件，等待解密。

1）腾讯电脑管家的《WannaCry蠕虫详细分析》： http://www.freebuf.com/articles/system/134578.html

2）瑞星的《WannaCry分析报告》： http://www.freebuf.com/articles/paper/134637.html

3）360 的《WanaCrypt0r勒索蠕虫完全分析报告》： http://bobao.360.cn/learning/detail/3853.html

4）Endgage 的《WCry/WanaCry Ransomware Technical Analysis》： https://www.endgame.com/blog/wcrywanacry-ransomware-technical-analysis

5）PeerLyst 的《ransomware worm IOC’s, Tor C2 and technical analysis + SIEM rules》： https://www.peerlyst.com/posts/wannacry-no-more-ransomware-worm-ioc-s-tor-c2-and-technical-analysis-siem-rules-andrii-bezverkhyi

此外，微软破例为不再支持的 Windows XP 提供了补丁：

#WannaCry恶意蠕虫的扫描和防疫程序
#https://blog.trustlook.com/2017/05/14/wannacry-ransomware-scanner-and-vaccine-toolkit/
#https://github.com/apkjet/TrustlookWannaCryToolkit

#关闭445等相关端口(需要以管理员身份运行)
netsh firewall set opmode enable
netsh advfirewall firewall add rule name="deny445" dir=in protocol=tcp localport=445 action=block
netsh advfirewall firewall add rule name="deny135" dir=in protocol=tcp localport=135 action=block
netsh advfirewall firewall add rule name="deny138" dir=in protocol=tcp localport=138 action=block
netsh advfirewall firewall add rule name="deny137" dir=in protocol=tcp localport=137 action=block
netsh advfirewall firewall add rule name="deny139" dir=in protocol=tcp localport=139 action=block

echo "针对xp系统的备用方法"
netsh firewall set portopening protocol=ALL port=445 name=445 mode=DISABLE scope=ALL profile=ALL
netsh firewall set portopening protocol=ALL port=135 name=135 mode=DISABLE scope=ALL profile=ALL
netsh firewall set portopening protocol=ALL port=138 name=138 mode=DISABLE scope=ALL profile=ALL
netsh firewall set portopening protocol=ALL port=137 name=137 mode=DISABLE scope=ALL profile=ALL
netsh firewall set portopening protocol=ALL port=139 name=139 mode=DISABLE scope=ALL profile=ALL

# Freebuf ( http://www.freebuf.com/?s=WannaCry )
全球安全厂商针对“Wannacry勒索蠕虫”响应与处置方案汇总（总结包括微软、思科、CNVD、CNNVD、360、安天、腾讯、安恒、瑞星、斗象科技、微步在线等安全企业和组织给出针对WannaCry的分析和处置方案）
http://www.freebuf.com/news/134771.html
关于勒索病毒WannaCry的8个真相（火绒安全）
http://www.freebuf.com/articles/system/134728.html
Wannacry蠕虫勒索软件处置流程及方案（漏洞盒子）
https://www.vulbox.com/knowledge/detail/?id=10
WannaCry勒索病毒数据恢复指引（腾讯云安全）（重点看评论）
http://www.freebuf.com/articles/database/134673.html
WannaCry勒索病毒分析报告（瑞星）
http://www.freebuf.com/articles/paper/134637.html

参考链接：

# Microsoft官方
Microsoft 安全公告 MS17-010 – 严重
https://technet.microsoft.com/zh-cn/library/security/MS17-010
http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012598
site:blogs.technet.microsoft.com wannacry
https://blogs.technet.microsoft.com/mmpc/2017/05/12/wannacrypt-ransomware-worm-targets-out-of-date-systems/
https://blogs.technet.microsoft.com/msrc/2017/05/12/customer-guidance-for-wannacrypt-attacks/

# Cisco
http://blog.talosintelligence.com/2017/05/wannacry.html

# 安天实验室
http://www.antiy.com/response.html
http://www.antiy.com/response/wannacry.html

# 绿盟
WannaCry勒索事件处置手册
http://blog.nsfocus.net/wannacry-blackmail-event-disposal-handbook/
wannacry勒索病毒绿盟威胁情报中心NTI公开分析报告
http://blog.nsfocus.net/wannacry-extortion-virus-nti-public-analysis-report/

# 知乎
WanaCrypt0r 2.0（计算机病毒）
https://www.zhihu.com/topic/20081698/hot