勒索病毒“永恒之蓝”席卷全球，已有74国中枪！（后附抗毒攻略）

2017-05-14 中港股市龙虎榜中港股市龙虎榜

“永恒之蓝”来了，比当年的“熊猫烧香”势头还猛。一次迄今为止最大规模的勒索病毒网络攻击席卷全球。据卡巴斯基统计，在过去的十几个小时里，全球共有74个国家的至少4.5万Windows系统电脑中招。而杀毒软件Avast统计的数据更为惊人：病毒已感染全球至少5.7万台电脑，并仍在迅速蔓延中。

5月12日根据美联社、英国标准晚报等多家媒体报道，一种名为WannaCry（永恒之蓝）的电脑勒索病毒正在全球蔓延，99个国家受到病毒感染。最严重的地区集中在美国、欧洲、澳洲等地区，目前也已由国外进入中国。

而由于互联网接入极其有限，朝鲜在这大范围的攻击下守住了一方净土。它几乎是惟一在这场病毒灾难中幸免的国家。

受到“永恒之蓝”密集攻击的区域

这款勒索病毒主要利用了微软“视窗”系统的漏洞，以获得自动传播的能力，能够在数小时内感染一个系统内的全部电脑。根据360的统计显示，该病毒昨日夜间每小时攻击次数达到4000次。

根据网络安全机构通报显示，永恒之蓝是NSA网络军火库民用化第一例。它会自动扫描445文件共享端口的Windows机器，无需用户任何操作，就可以将所有磁盘文件加密、锁死，后缀变为.onion，随后，黑客可以远程控制木马，向用户勒索“赎金”。

“赎金”需要以比特币的形式支付。虚拟货币支付形式分散、难以追踪，所以非常受黑客欢迎。

最先遭到攻击的是英国NHS（英国国家医疗服务体系）系统。

根据BBC 与CNN的报道显示，昨天英国本土超过16家医院受到大规模黑客攻击，系统瘫痪，既定的手术被迫取消，救护车也被迫转往其他医院。黑客要求医院支付价值300美金比特币，才可获取密钥，并重新打开文件。如果三天之内仍未完成支付，赎金将翻倍。

而中国的蠕虫病毒感染重灾区集中在高校。据悉，目前全国范围内有数十所高校的校园网感染了这一病毒，而正值毕业季，许多学生的毕业论文和设计都因感染病毒而被锁死。据有关机构统计，目前国内平均每天有5000多台机器遭到NSA“永恒之蓝”黑客武器的远程攻击。

黑客凯文在微博文章中解释了国内教育网首当其冲的原因，

由于以前国内多次爆发利用445端口传播的蠕虫，运营商对个人用户已封掉445端口，但是教育网并没有此限制，仍然存在大量暴露445端口的机器。

不仅教育网被攻击，公安局域网络也没能逃过一劫。苏州地区目前已经无法办理车辆检测、上牌照等业务，响水地区出入境办理也需要暂缓。

病毒通过教育网、公安内网可以大范围快速传播。在小范围的互联网内，一旦有某一个人没有封掉445端公口、或者没有给Windows打补丁，那么整个区域内的电脑都会被病毒感染。

而个人用户一旦感染此病毒，千万不要给钱，因为即便交了赎金，文件也可能无法恢复。只能在把硬盘低格后，重新安装操作系统。

据新浪科技报道，除了教育网、校园网以外，这种病毒的影响范围疑似在逐渐扩大。微博上一些用户开始反馈，今日北京、上海、江苏、天津等多地的出入境、派出所等公安网也疑似遭遇了病毒袭击。

微博认证为“江苏省盐城市响水县公安局出入境管理大队官方微博”的@响水出入境在中午则发布微博称，因公安网遭遇新型病毒袭击，暂时停办出入境业务，具体恢复时间等待通知。

据《每日经济新闻》报道，全国多地，包括北京、上海、重庆、四川成都、四川南充等多个城市的部分中国石油旗下加油站在今日0点左右突然出现断网，而因断网目前无法使用支付宝、微信、银联卡等联网支付方式，只能使用现金支付，加油站加油业务正常运行。

在成都城东一家加油站，现场已贴出“ 因公司网络故障，IC卡所有充值业务暂定办理 ”的通知。该加油站超市的工作人员称，只能付现，不能刷卡及网络支付。一位中石油成都某加油站人员称，中石油在全国的部分加油站都有类似情况。另外，中石油目前在南充、德阳等地的一些加油站也出现类似情况。中石油相关负责人介绍，该事件正在核实当中，会尽快公布结果。该负责人介绍，中石油信息、销售公司等部门正在核实该事件的具体情况。至于加油站断网是否与病毒有关，四川无声信息技术有限公司副总经理邹晓波分析称，可能发生的情况是，部分加油站平时不会注意这种补丁升级，目前出现的问题可能是支付系统主机被病毒锁定，而部分主机感染后，如果其他主机不采取防范措施，很容易导致全网感染。

而避免感染病毒最高效的手段就是尽快安装补丁。

5 月 13 日下午，微软决定对已经停止支持的 Windows XP 和 Windows 2003 发布特别补丁，以修复勒索病毒“永恒之蓝”所利用的漏洞。

补丁代号为 KB4012598，动手能力强的读者可以前往官方下载页面，自行下载安装：http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012598，当然，相信 360、安全管家等客户端也会在稍后推送该补丁更新。

根据微软官方的描述，这一次恶意软件所利用的漏洞其实早在今年 3 月就被修复了，然而因为 XP、Windows Server 2003 等系统早已停止技术支持，所以未获得补丁更新。但是由于本次影响实在过于严重，经过评估决定特例提供补丁。

当然这里也有另一个故事，很多人应该还记得有新闻说微软会为某些国家政府职能部门额外延长技术支持时间，以便于过渡系统迁移时期，那为什么还会有部门出现问题？

其实理由很简单，盗版系统当然不被支持啦。

5月13日互联网上出现针对Windows操作系统的勒索软件的攻击案例，涉及到国内用户，已经构成较为严重的攻击威胁。中国多所高校被黑，加油站断网；台湾是重点攻击目标之一；英国医疗系统瘫痪；德国铁路也受影响，在全球几十个国家，企业、机构和普通用户的电脑出现故障。内地从出入境管理处、大学到加油站，无数电脑中招。基于此情况，国家互联网应急中心发布应急处置措施，建议用户及时更新Windows已发布的安全补丁，并做好四方面工作。

13日，互联网上出现针对Windows操作系统的勒索软件的攻击案例，勒索软件利用此前披露的Windows SMB服务漏洞(对应微软漏洞公告：MS17-010)攻击手段，向终端用户进行渗透传播，并向用户勒索比特币或其他价值物，涉及到国内用户(已收到多起高校案例报告)，已经构成较为严重的攻击威胁。

一、勒索软件情况

中国此次遭受攻击的主要是教育网用户。这种勒索软件利用微软“视窗”操作系统４４５端口的漏洞，国内一些网络运营商此前已封掉了该端口，但教育网并未设限。微软此前已发布相关漏洞补丁，但一些没来得及更新的电脑就会被攻击。郑文彬说，此次传播的病毒以代号ＯＮＩＯＮ和ＷＩＮＣＲＹ的两个家族为主，监测显示国内首先出现前者，后者在１２日下午出现并在校园网中迅速扩散。

英国多家医院的网络当天也受到攻击，有医院因此取消手术，用救护车将病人紧急转往其他地方。英方称罪魁祸首是恶意软件“想解密”（又称“想哭”）。英国首相特雷莎·梅就此表示，这次袭击不是专门针对英国，而是一场波及整个世界的网络袭击的一部分。

西班牙国家情报中心１２日证实，西班牙多家公司遭受了“大规模”的网络黑客攻击。该国电信业巨头西班牙电信总部的多台电脑陷入瘫痪。

俄罗斯网络安全企业卡巴斯基实验室１２日发布一份报告说，当时已发现全球７４个国家和地区遭受了此次攻击，实际范围可能更广。该机构说，在受攻击最多的２０个国家和地区中，俄罗斯所受攻击远远超过其他受害者，中国大陆排在第五。

卡巴斯基强调，这次网络攻击所用的黑客工具“永恒之蓝”，来源于美国国家安全局的网络武器库。今年４月，黑客组织“影子经纪人”在网上披露一批美国国安局的黑客工具，其中就包括这个漏洞工具。

美国国土安全部１２日发表声明称，已获悉上述勒索软件影响全球多个实体。但是，声明除介绍勒索软件的定义、微软已针对这个漏洞发布补丁、提醒用户应安装补丁外，没有说明更多情况。

今年３月，“维基揭秘”网站披露了一批据称是来自美国中情局的黑客工具，批评中情局对其黑客武器库已经失控，其中大部分工具“似乎正在前美国政府的黑客与承包商中未被授权地传播”，存在“极大的扩散风险”。

4月16日，CNCERT主办的CNVD发布《关于加强防范Windows操作系统和相关软件漏洞攻击风险的情况公告》，对影子纪经人“Shadow Brokers”披露的多款涉及Windows操作系统SMB服务的漏洞攻击工具情况进行了通报(相关工具列表如下)，并对有可能产生的大规模攻击进行了预警：

表有可能通过445端口发起攻击的漏洞攻击工具

工具名称	主要用途
ETERNALROMANCE	SMB 和NBT漏洞，对应MS17-010漏洞，针对139和445端口发起攻击，影响范围：Windows XP, 2003, Vista, 7, Windows 8, 2008, 2008 R2
EMERALDTHREAD	SMB和NETBIOS漏洞，对应MS10-061漏洞，针对139和445端口，影响范围：Windows XP、Windows 2003
EDUCATEDSCHOLAR	SMB服务漏洞，对应MS09-050漏洞，针对445端口
ERRATICGOPHER	SMBv1服务漏洞，针对445端口，影响范围：Windows XP、 Windows server 2003，不影响windows Vista及之后的操作系统
ETERNALBLUE	SMBv1、SMBv2漏洞，对应MS17-010，针对445端口，影响范围：较广，从WindowsXP到Windows 2012
ETERNALSYNERGY	SMBv3漏洞，对应MS17-010，针对445端口，影响范围：Windows8、Server2012
ETERNALCHAMPION	SMB v2漏洞，针对445端口

综合CNVD技术组成员单位奇虎360公司、安天公司等单位已获知的样本情况和分析结果，该勒索软件在传播时基于445端口并利用SMB服务漏洞 (MS17-010)，总体可以判断是由于此前“Shadow Brokers”披露漏洞攻击工具而导致的后续黑产攻击威胁。当用户主机系统被该勒索软件入侵后，弹出如下勒索对话框，提示勒索目的并向用户索要比特币。

而用户主机上的重要数据文件，如：照片、图片、文档、压缩包、音频、视频、可执行程序等多种类型的文件，都被恶意加密且后缀名统一修改为 “.WNCRY”。

目前，安全业界暂未能有效破除该勒索软的恶意加密行为，用户主机一旦被勒索软件渗透，只能通过重装操作系统的方式来解除勒索行为，但用户重要数据文件不能直接恢复。