关于永恒之蓝勒索病毒爆发.PDFVIP

关于“永恒之蓝勒索病毒”爆发 安全事件应急处置方案 杭州安恒信息技术有限公司 2017 年 05 月 13 日 关于“永恒之蓝勒索病毒”爆发安全事件应急处置方案 版权申明 本文档包含了来自安恒信息技术有限公司（以下简称“安恒信息”机密的技 术和商业信息，供给 “安恒信息”的客户或合作伙伴使用。接受本文档表示同 意对其内容必威体育官网网址并且未经 “安恒信息”书面认可，不得复制、泄露或散布本文档 的全部或部分内容。 本文档及其述的产品受有关法律的版权保护，对本文档内容的任何形式的 非法复制，泄露或散布，将导致相应的法律责任。 “安恒信息”保留在不另行通知的情况下修改本文档的权利，并保留对本文 档内容的解释权。 领先的应用安全及数据库安全整体解决方案供商 第 2 页 共 10 页 杭州安恒信息技术有限公司 杭州总部电话：+86-0571 目 录 1. 相关说明4 2. 影响范围5 3. 检测方法5 4. 应急处置7 4.1 对于已经感染的系统 7 4.2 对于未感染的系统 7 4.3 网络层防护 9 5. 离线补丁下载地址9 领先的应用安全及数据库安全整体解决方案供商 第 3 页 共 10 页 杭州杭州安恒信息技术有限公司安恒信息技术有限公司 杭州总部电话：杭州总部电话：+86+86--2886099928860999 1. 相关说明 北京时间 2017 年 05 月 12 日，安恒信息监测到黑客利用NSA 黑客武器库泄 漏的“永恒之蓝”工具发起的网络攻击事件：大量服务器和个人 PC 感染病毒后 被远程控制，成为不法分子的比特币挖矿机（挖矿会耗费大量计算资源，导致 机器性能降低），甚至被安装勒索软件，磁盘文件会被病毒加密为.onion 或 者.WNCRY 后缀，用户只有支付高额赎金后才能解密恢复文件，对个人及企业重 要文件数据造成严重损失。受感染图片如下所示： “EternalBlue”工具利用的是微软Windows操作系统的SMBv1协议中的安全 漏洞。未经身份验证的攻击者可以向目标机器发送特制报文触发缓冲区溢出， 导致在目标机器上远程执行任意代码。 “永恒之蓝”工具会扫开放445文件共 享端口的Windows机器，只要用户开机上网，黑客就可能在电脑和服务器中植入 勒索软件。 之前国内曾多次爆发利用445端口传播的蠕虫，运营商对个人用户封掉此端 口；但国内特定行业的网络无此限制，存在大量暴露445端口的机器，因此也成 为了此次感染事件的重灾区，已经有大量该行业网络的用户报告个人PC被安装 了勒索软件。此外，根据国外媒体的报道，目前英国、美国、俄罗斯、西班 牙、意大利、越南、中国台湾等国家和地区也出现了被感染的情况。 领先的应用安全及数据库安全整体解决方案供商 第 4 页 共 10 页 杭州杭州安恒信息技术有限公司安恒信息技术有限公司 杭州总部电话：杭州总部电话：+86+86--2886099928860999 2. 影响范围 MS17-010 漏洞主要影响以下操作系统： 桌面版本操作系统： Windows 2000 Windows XP