關(guān)于防范Windows操作系統(tǒng)勒索軟件Wannacry的情況通報(bào)

北京時(shí)間5月12日，互聯(lián)網(wǎng)上出現(xiàn)針對(duì)Windows操作系統(tǒng)的勒索軟件（Wannacry）攻擊案例。勒索軟件利用此前披露的Windows SMB服務(wù)漏洞（對(duì)應(yīng)微軟漏洞公告：MS17-010）攻擊手段，向終端用戶進(jìn)行滲透?jìng)鞑?，并向用戶勒索比特幣或其他價(jià)值物。包括高校、能源等重要信息系統(tǒng)在內(nèi)的多個(gè)國(guó)內(nèi)用戶受到攻擊，已對(duì)我國(guó)互聯(lián)網(wǎng)絡(luò)構(gòu)成較為嚴(yán)重的安全威脅。

一、勒索軟件情況

綜合CNCERT和國(guó)內(nèi)網(wǎng)絡(luò)安全企業(yè)（奇虎360公司、安天公司等）已獲知的樣本情況和分析結(jié)果，該勒索軟件在傳播時(shí)基于445端口并利用SMB服務(wù)漏洞（MS17-010），總體可以判斷是由于此前“Shadow Brokers”披露漏洞攻擊工具而導(dǎo)致的后續(xù)黑產(chǎn)攻擊威脅。4月16日，CNCERT主辦的CNVD發(fā)布《關(guān)于加強(qiáng)防范Windows操作系統(tǒng)和相關(guān)軟件漏洞攻擊風(fēng)險(xiǎn)的情況公告》，對(duì)影子紀(jì)經(jīng)人“Shadow Brokers”披露的多款涉及Windows操作系統(tǒng)SMB服務(wù)的漏洞攻擊工具情況進(jìn)行了通報(bào)（相關(guān)工具列表如下），并對(duì)有可能產(chǎn)生的大規(guī)模攻擊進(jìn)行了預(yù)警:

                   表 有可能通過(guò)445端口發(fā)起攻擊的漏洞攻擊工具

當(dāng)用戶主機(jī)系統(tǒng)被該勒索軟件入侵后，彈出如下勒索對(duì)話框，提示勒索目的并向用戶索要比特幣。而對(duì)于用戶主機(jī)上的重要文件，如：照片、圖片、文檔、壓縮包、音頻、視頻、可執(zhí)行程序等幾乎所有類型的文件，都被加密的文件后綴名被統(tǒng)一修改為“.WNCRY”。目前，安全業(yè)界暫未能有效破除該勒索軟的惡意加密行為，用戶主機(jī)一旦被勒索軟件滲透，只能通過(guò)重裝操作系統(tǒng)的方式來(lái)解除勒索行為，但用戶重要數(shù)據(jù)文件不能直接恢復(fù)。

圖 勒索軟件界面圖（來(lái)源：安天公司）

圖 用戶文件被加密（來(lái)源：安天公司）

二、應(yīng)急處置措施

CNCERT已經(jīng)著手對(duì)勒索軟件及相關(guān)網(wǎng)絡(luò)攻擊活動(dòng)進(jìn)行監(jiān)測(cè)，5月13日9時(shí)30分至12時(shí)，境內(nèi)境外約101.1萬(wàn)個(gè)IP地址遭受“永恒之藍(lán)”SMB漏洞攻擊工具的攻擊嘗試，發(fā)起攻擊嘗試的IP地址（包括進(jìn)行攻擊嘗試的主機(jī)地址以及可能已經(jīng)感染蠕蟲(chóng)的主機(jī)地址）數(shù)量9300余個(gè)。建議廣大用戶及時(shí)更新Windows已發(fā)布的安全補(bǔ)丁更新，同時(shí)在網(wǎng)絡(luò)邊界、內(nèi)部網(wǎng)絡(luò)區(qū)域、主機(jī)資產(chǎn)、數(shù)據(jù)備份方面做好如下工作：

（一）關(guān)閉445等端口(其他關(guān)聯(lián)端口如: 135、137、139)的外部網(wǎng)絡(luò)訪問(wèn)權(quán)限，在服務(wù)器上關(guān)閉不必要的上述服務(wù)端口(具體操作請(qǐng)見(jiàn)參考鏈接)；

（二）加強(qiáng)對(duì)445等端口（其他關(guān)聯(lián)端口如: 135、137、139)的內(nèi)部網(wǎng)絡(luò)區(qū)域訪問(wèn)審計(jì)，及時(shí)發(fā)現(xiàn)非授權(quán)行為或潛在的攻擊行為；

（三）及時(shí)更新操作系統(tǒng)補(bǔ)丁。

（四）安裝并及時(shí)更新殺毒軟件。

（五）不要輕易打開(kāi)來(lái)源不明的電子郵件。

（六）定期在不同的存儲(chǔ)介質(zhì)上備份信息系統(tǒng)業(yè)務(wù)和個(gè)人數(shù)據(jù)。

 CNCERT后續(xù)將密切監(jiān)測(cè)和關(guān)注該勒索軟件的攻擊情況，同時(shí)聯(lián)合安全業(yè)界對(duì)有可能出現(xiàn)的新的攻擊傳播手段、惡意樣本進(jìn)行跟蹤防范。（來(lái)源：CNCERT）