勒索病毒永恒之蓝课件
MS17-010(勒索病毒)
谢谢大家
作系统用户遭受感染，校园网用户首当其冲，受害严重，大量实验室 数据和毕业设计被锁定加密。
我们该如何防范 永恒之蓝入侵你 的电脑呢？
微软声称如果用户采用全新版本的 Windows 10系统，并开启Windows Defender 的话，他们将会免疫这些勒索 病毒。也就是说Windows 10 用户大可放 心，将不会受到这个勒索病毒的传播。另 一斱面，失去安全更新支持的 Windows XP 和 Windows Vista 操作系统非常容易 遭受此类病毒的感染，微软建议用户尽早 更新至全新操作系统应对。 确保运行Windows操作系统的设备均安装 了全部补丁，并在部署时遵循了最佳实践。 此外，组织还应确保关闭所有外部可访问 的 主 机 上 的 S M B 端 口 (445,135,137,138,139端口，关闭网络 共享)。
WannaCry，一种电脑软 件勒索病毒。该恶意软件 会扫描电脑上的TCP 445
端口以类似于蠕虫病毒的
斱式传播，攻击主机并加 密主机上存储的文件，然
后要求以比特币的形式支
付赎金。
永恒之蓝的危害范围
2017年5月12日， WannaCry勒索病毒事件造成 99个国家遭受了攻击，其中 包括英国、美国、中国、俄罗 斯、西班牙和意大利。
永恒之蓝的危害范围
2017年5月14日，WannaCry 勒索病毒出现了变种：WannaCry 2.0，取消Kill Switch 将会使传播速度或更快。截止2017年5月15日， WannaCry造成至少有150个国家受到网络攻击，已经影响到金融，
能源，医疗等行业，造成严重的危机管理问题。中国部分Window操
永恒之蓝
事件经过
2017年5月12日起，全球范围内爆发基于Windows网络共享协议进行攻击传播的蠕虫恶意代码，这是不法分子 通过改造之前泄露的NSA黑客武器库中“永恒之蓝”攻击程序发起的网络攻击事件。五个小时内，包括英国、俄 罗斯、整个欧洲以及中国国内多个高校校内网、大型企业内网和政府机构专网中招，被勒索支付高额赎金才能解 密恢复文件，对重要数据造成严重损失。
谢谢观看
永恒之蓝
网络攻击工具
01 事件经过
03 事件影响
目录
02 攻击方式 04 病毒防范
永恒之蓝是指2017年4月14日晚，黑客团体Shadow Brokers（影子经纪人）公布一大批网络攻击工具，其中 包含“永恒之蓝”工具，“永恒之蓝”利用Windows系统的SMB漏洞可以获取系统最高权限。5月12日，不法分子 通过改造“永恒之蓝”制作了wannacry勒索病毒，英国、俄罗斯、整个欧洲以及中国国内多个高校校内网、大型 企业内网和政府机构专网中招，被勒索支付高额赎金才能解密恢复文件。
事件影响
乌克兰、俄罗斯、西班牙、法国、英国等多国均遭遇到袭击，包括政府、银行、电力系统、通讯系统、能源 企业、机场等重要基础设施都被波及，律师事务所DLA Piper的多个美国办事处也受到影响。中国亦有跨境企业 的欧洲分部中招。
病毒防范
微软已于2017年发布MS17-010补丁，修复了“永恒之蓝”攻击的系统漏洞，一定要及时更新Windows系统补 丁；务必不要轻易打开doc、rtf等后缀的附件；内网中存在使用相同账号、密码情况的机器请尽快修改密码，未 开机的电脑请确认口令修改完毕、补丁安装完成后再进行联网操作，可以下载“永恒之蓝”漏洞修复工具进行漏 洞修复。
被袭击的设备被锁定，并索要300美元比特币赎金。要求尽快支付勒索赎金，否则将删除文件，甚至提出半 年后如果还没支付的穷人可以参加免费解锁的活动。原来以为这只是个小范围的恶作剧式的勒索软件，没想到该 勒索软件大面积爆发，许多高校学生中招，愈演愈烈。
勒索病毒
的勒 索 病 毒 软 件 ， 大小 ３ ． ３ ＭＢ ， ｝ 丰 Ｉ 不 法 分 子利 用 Ｎ Ｓ Ａ
构强 度和承 载力的提 高 。
能对类 似 ｌ ｌ １ 程提 出借 鉴。
施片｛ ｎ １ ６ 所 示 。从 ｊ 冬 １ 中 可 以 看 ， 施一 Ｔ 段道 路状 况 良
好， 没 有新 的路 面病 害 ， 表 明高聚物 注浆进 行预 防性 补 强总体效 果 良好 。
防性 维护 的概念 。 本 文 中， 提 … 了一种 新型 的聚合 物 注浆 Ｔ艺 ． 用于预 防性 补强 高速 公路 沥青路 面 ， 希望
从表 １ 得 ， 弯沉值平 均降 幅 ３ ５ ． ６ ８ ％， 最大 降幅为 ４ １ ． ９ ６ ％， 完成 比值都 处 于 １ ． ４ ～ １ ． ８ 之间 ， 最 大 弯沉 比为 Ｉ ． ７ ８ 。 注浆后 ， 弯 沉值 明显低 于注 浆前 ， 反映 了路 面结
（ Ｎ ａ ｌ ｉ ｏ ｎ ａ ｌ Ｓ ｅ ｃ ｕ ｒ ｉ ｔ ｙ Ａ ｇ ｅ ｎ ｃ ｙ ， 美 同 国家安 全局 ） 泄露 的危
险漏洞“ Ｅ ｌ ｅ ｒ ｎ ａ ｌ Ｂ ｌ ｕ ｅ ” （ 永恒之 蓝 ） 进 行传 播 … １ 。勒 索
病 肆虐 ， 俨 然址一 场全球性 互联 网灾难 ， 给广 夫电脑 用 造 成 了 大 损 火 、最 新 统 汁数 据 显 示 ， １ ０ ０多个
一 参 一 一 一 一 一 一 ～ 一 ～ 一 一 ～ 一 一 一 一
ｃ ｃ Ｊ渔 ｆ ． １， 、 ｊ ｌ 蹄，
永恒之蓝(勒索病毒)解决方案说明
勒索病毒WannaCry解决办法
1、为计算机安装最新的安全补丁，微软已发布补丁MS17-010修复了“永恒之蓝”攻击的系统漏洞，请尽快安装此安全补丁，对于Windows XP、2003等微软已不再提供安全更新的机器，可以借助其它安全软件更新漏洞。
2、关闭445、135、137、138、139端口，关闭网络共享。
3、强化网络安全意识：不明链接不要点击，不明文件不要下载，不明邮件不要打开。
4、尽快（今后定期）备份自己电脑中的重要文件资料到移动硬盘、U盘，备份完后脱机保存该磁盘。
5、建议仍在使用Windows XP，Windows 2003操作系统的用户尽快升级到Window
7/Windows 10，或Windows 2008/2012/2016操作系统。
按下键盘的Windows键，打开控制面板
点击Windows防火墙
点击左边高级设置
点击左上角的入站规则
点击右边的新建规则
点击第二个选项→端口，点击下一步
选择TCP
在下方特定本地端口中输入135，445，点击下一步
选择第三个选项→阻止连接，点下一步，再点下一步
输入名称：比特币病毒防护，点击完成
重复一次3-10，在第7步时选择UDP
做完上面所有步骤后你会在入站规则的最上方看到两个新建的规则，这就表示完成了，保险起见，重启一下电脑。
勒索病毒
发生了啥
• 5月12日，Байду номын сангаас球突发比特币病毒疯狂袭击公共和商 业系统事件！英国各地超过40家医院遭到大范围网 络黑客攻击，国家医疗服务系统（NHS）陷入一片 混乱。中国多个高校校园网也集体沦陷。全球有接 近74个国家受到严重攻击。
比特币是啥
• 和法定货币相比，比特币没有一个集中的发行方，而是由网 络节点的计算生成，谁都有可能参与制造比特币，而且可以 全世界流通，可以在任意一台接入互联网的电脑上买卖，不 管身处何方，任何人都可以挖掘、购买、出售或收取比特币， 并且在交易过程中外人无法辨认用户身份信息。 • 比特币是一种“电子货币”，由计算机生成的一串串复杂代 码组成，新比特币通过预设的程序制造，随着比特币总量的 增加，新币制造的速度减慢，直到2014年达到2100万个的总 量上限，被挖出的比特币总量已经超过1200万个。
勒索病毒
THX!!!
此PPT为LHX的作品，从未 允许除我本人外任何人教 学使用，如遇盗用本人PPT 者请扫描本人微信二维码 向我举报，请在申请好友 时说清原因
卷土重来
• 5月14日下午，国家网络与信息安全信息通报中心发出就 勒索病毒发布紧急通报。 • 通报称，监测发现，在全球范围内爆发的WannaCry勒索 病毒出现了变种：WannaCry2.0，与之前版本的不同是， 这个变种取消了Kill Switch，不能通过注册某个域名来 关闭变种勒索病毒的传播，该变种传播速度可能会更快。
终结病毒？
• 英国媒体13日报道，一名22岁的英国网络工程师12日晚 注意到，这一勒索病毒正不断尝试进入一个极其特殊、 尚不存在的网址，于是他顺手花8.5英镑（约合75元人民 币）注册了这个域名，试图借此网址获取勒索病毒的相 关数据。 • 令人不可思议的是，此后勒索病毒在全球的进一步蔓延 竟然得到了阻拦。
永恒之蓝漏洞与勒索病毒Ransom.Wannacry排查指导
排查指导
1.排查操作系统是否打上了MS17-010的补丁
在控制面板→程序→程序和功能→已安装更新里查看如果没有3月或者4月安装的补丁(如下图所示),如果没有则执行第2步;
2.排查windows机器高危端口135\445\3389是否打开,一般3389都会开放;
3.查看系统的登录日志是否存在频繁的尝试登录操作;
在cmd下运行eventvwr命令,选择windows日志下的安全
在短时间内有多次审核失败且任务类型为登录的记录,则说明可能存在尝试登录操作4.启动任务管理器,在进程标签中查看有没有可疑进程,比如存在包含”Wanna”字符串的进
程;对于无法确定的进程,可以截图后由专业人员进行分析;
5.全盘搜索有没有文件名包含“Wanna”的文件(模糊匹配),
6.在确认操作系统被勒索病毒感染后,请不要按照提示付款，建议备份操作系统
中关键资料文件,请联系微软及病毒软件厂家处理，提供给分析人员进行分析。
说明:勒索软件不同于普通的病毒软件,不会刻意隐藏自身,具有明显的特征,所以通过简单的
查看操作系统中的文件是否正常就可以判断是否感染勒索病毒.
缓解措施：
1、请不要随意点击打开来历不明的邮件附件和链接
2、尽快为操作系统打上最新补丁
3、对关键信息文件及时定期进行备份。
6勒索病毒防护指引
勒索病毒防护指引一、勒索病毒背景自2017年5月WannaCry（永恒之蓝勒索蠕虫）大规模爆发以来，勒索病毒已成为对政企机构和网民直接威胁最大的一类木马病毒。
大规模爆发的Globelmposter、GandCrab、Crysis等勒索病毒，攻击者更是将攻击的矛头对准企业服务器，并形成产业化；而且勒索病毒的质量和数量的不断攀升，已经成为政企机构面临的最大的网络威胁之一。
二、勒索病毒感染案例据某安全机构监测和评估显示：每天感染用户电脑的勒索病毒有10多种（家族），每天感染量高达10-15万台电脑，其中以漏洞为传播途径的勒索病毒占90%以上。
近期发生的一些勒索病毒感染事件再次对我们敲响了警钟。
案例一：某上市公司福建某上市公司服务器被勒索病毒Ransom/Bunnyde入侵，导致该企业核心的ERP(财务系统)数据库被加密，向病毒团伙支付了50万人民币赎金后，获得密钥恢复了数据。
该病毒是利用垃圾邮件和漏洞等方式传播，工程师调查发现，该企业服务器既没安装补丁程序，又没安装任何安全软件。
案例二：某知名高校某南方知名高校学生使用个人电脑连接学校网络时，被通过校园网主机系统漏洞进入的勒索病毒感染，包括毕业论文在内的所有文件被加密，该病毒提示需要支付近1万元人民币赎金。
该学生支付赎金后，病毒团伙并没有提供任何解密方式。
案例三：某服务提供商2019年11月9日拥有44万客户的网络托管提供商遭到勒索软件的攻击，这是今年的第三家大型网络托管提供商被勒索病毒网络犯罪团伙攻击，加密了客户服务器上的数据，该公司被勒索病毒攻击之后，客户电话被打爆而不得不中断客户电话热线，该公司网站在11月9日被迫关闭一整天。
三、勒索病毒的来源通过对云上用户的调查分析，大部分用户未按照最佳的安全使用方式来使用云服务器资源，主要问题有：关键账号存在弱口令或无认证机制服务器关键账号（root、administrator）密码简单或无密码。
数据库（Redis、MongoDB、MySQL、MSsql Server）等重要业务使用弱密码或无密码。
漏洞“永恒之蓝”
永恒之蓝的危害范围
2017年5月14日，WannaCry 勒索病毒出现了变种：WannaCry 2.0，取消Kill Switch 将会 使传播速度或更快。截止2017年5月15日，WannaCry造成至少有150个国家受到网络攻击，
已经影响到金融，能源，医疗等行业，造成严重的危机管理问题。中国部分Window操作系
万大学生受到影响。
WannaCry，一种电脑软件勒索 病毒。该恶意软件会扫描电脑上 的TCP 445端口以类似于蠕虫病 毒的方式传播，攻击主机并加密 主机上存储的文件，然后要求以 比特币的形式支付赎金。
比特币
永恒之蓝的危害范围
2017年5月12日，WannaCry勒索 病毒事件造成99个国家遭受了攻击 ，其中包括英国、美国、中国、俄 罗斯、西班牙和意大利。
处置方案
1
2
3
4
PART 05
事件总结
事前防护
感谢您的观看
主讲人：石海赟
永恒之蓝
主讲人：石海赟
1
勒索病毒的爆发 勒索病毒的事件分析 勒索病毒的本地行为 勒索病毒的应急处置方案 事件总结
2
3
4
5
PART 01
勒索病毒的爆发
爆发
2017年5月12日勒索病毒全球肆虐 ，波及范围达全球99国。英国、意 大利、俄罗斯等全球99个国家爆发 勒索病毒攻击。我国校园网用户的 电脑大面积遭受攻击，预计有2600
PART 03
勒索病毒的本地行为
本地行为
当用户主机系统被该勒索软件入侵后，弹出如下勒索对话框 ，提示勒索目的并向用户索要比特币。加密系统中的照片、图 片、文档、压缩包、音频、视频、可执行程序等几乎所有类型 的文件，被加密的文件后缀名被统一修改为“.WNCRY”。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
Tel:
课后作业：
回去查看家里 的电脑或者家人的 手机，看看有没有 更新最新的系统， 有没有安装杀毒套 装软件，有没有及 时修补最新的漏 洞 ？如果没有， 请帮助他们解决后 顾之忧吧。
谢 谢!
4、部分银行ATM机遭受感染。
5、无处不在的入侵
俄罗斯某地列车调度控制中心
德国法兰克福机场受感染
6、无孔不入的感染
车载系统遭受感染
交通路牌疑受感染
大家想想
还有什么设备可能会被感染呢？
二、什么是“勒索”病毒？
勒索病毒是网络蠕虫的 一种，它具有寄生性、传染 性、潜伏性、隐蔽性、破坏 性、可触发性等特点，是不 法分子为了实现入侵、控制、 破坏他人的网络设备而开发 的工具软件。
中国受灾情况如何？
截至到5月13日，国内有29372家机构组织的数十万台 机器感染，影响范围几乎覆盖了所有地区，遍布高校、 火车站、自助终端、邮政、加油站、公安、医院、政 府办事终端等多个领域，被感染的电脑数字还在不断 增长中。其中有教育科研机构4341家中招，是此次事 件的重灾区。在受影响的地区中，江苏、浙江、广东、 江西、上海、山东、北京和广西排名前八位。电信总 部的多台电脑陷入瘫痪。
2、运行“大鱼端口查看器” ，关闭445端口
二、更新操作系统
开始—控制面板—Windows update—检查更新
三、更新杀毒软件并扫描修补漏洞（以金山
毒霸为例）
1、更新软件：打开金山毒霸界面—右上角 菜单—检查更新
2、修补漏洞：
四、课堂小结:
相信经过这些端口关闭和漏洞修补，我 们应该能抵御住这些病毒的攻击了，但还不能 放松警惕，应该经常更新系统、修补漏洞、查 杀病毒、及时备份、养成良好的用网习惯，同 时，还应不断提高自身的网络安全知识和技能， 远离黑客病毒的侵害。
1、国内高校网络成重 灾区： 校园网沦陷，
毕业论文被锁，办公及 实验设备受影响。目前 贺州学院、桂林电子科 技大学、浙江理工大学、 山东大学等众多高校都 受到了病毒攻击
某高校实验室电脑遭wannacry感染
2、中石油2万座加 油站断网，加油卡、 银行卡、第三方支 付等网络支付功能 无法使用 。
3、公安系统网络遭受攻击 。
真面目到底如何？
这场疫情是如何爆发的？
今年4月14日，一个名为“影子中间人” （Shadow Brokers）的黑客组织入侵了NSA （美国国家安全局）的网络，曝光了该局一批 档案文件，还公开了该局使用的部分网络武器。 其中包括可以轻松攻破全球约70%电脑系统的 工具。这些工具，不需要用户任何操作，只要 联网就可以远程攻击，瞬间血洗互联网。
谁是病毒的幕后“元凶”？
I don't konw
中毒后有何表现？
封锁文件
要钱
三、 怎么办？
❖ 疫情爆发以来，各国、各网络安全机 构、各路高手纷纷行动起来，积极应对， 但截止目前，仍然没有有效的病毒消除方 案，只能采取预防为主的应对策略。
一、关闭445端口
1、查看端口是否开启： 开始 —运行 —cmd —回车后粘贴下面的代码命令 “netstat -ano -p tcp | find ”445“ >nul 2>nul && echo 445 端口已开启 || echo 445未开启”
永恒之蓝—勒索病毒 危害及预防
It’s Not Over! Wannacry?
一、全球网络灾难
新华社5月12日电：全球爆发了一场规模空前、 影响深远的网络灾难，很多个国家遭受一种勒索病 毒的攻击，很多行业、部门、机构以及个人的电脑 先后遭到攻击 ，损失惨重……
此轮黑客攻击在12日开始，全球至少 150个国家的政府机构、银行、工厂、医院、 学校等的电脑系统先后遭病毒攻击。俄罗斯 和印度的情况最严重 ,因为这两个国家仍广 泛使用最容易中招的微软视窗XP系统 ，中 国也难逃此劫。