永恒之蓝 蠕虫病毒解决方法
永恒之蓝360处置方案
永恒之蓝360处置方案近年来，网络攻击事件层出不穷。
其中最让人印象深刻的莫过于2017年全球著名勒索软件WannaCry病毒爆发。
它利用了NSA利用的漏洞——永恒之蓝，通过在网络中寻找可感染的计算机，加密受害人的文件并勒索赎金。
针对此次攻击事件，360公司发起了相关处置方案，并成功抵抗了攻击。
下面将从360公司的角度介绍他们是如何应对此次全球性网络攻击事件的。
永恒之蓝简介永恒之蓝是一个Windows Server消息块(SMB)漏洞的代码名，其主要影响操作系统是Windows XP、Windows 7和Windows Server 2003，可以被用于攻击未应用Microsoft修补程序安全更新的服务器或计算机。
永恒之蓝利用了Windows内核中的漏洞，可以在没有受害者干预的情况下远程攻击并获取系统权限。
漏洞会通过传输控制协议(TCP)/网络协议版本6( IPv6)连接进行攻击。
360不断研究并制定新的规则360公司不断进行永恒之蓝漏洞的研究，从其攻击数据中分析出漏洞的特征，并根据分析结果制定出针对不同类型永恒之蓝漏洞攻击的规则。
这些规则在永恒之蓝病毒最初爆发时可能并不会被所有的计算机系统所使用，但在360公司开发的防病毒软件中已经集成。
因此，这样的规则将很普遍地防止永恒之蓝病毒的攻击。
与全球防病毒行业合作360公司是全球最大的防病毒公司之一，与全球其他许多防病毒公司（如卡巴斯基、趋势微软、麦克风、McAfee等）保持良好的合作关系。
这就意味着360公司在全球范围内都在积极配合着其他防病毒公司应对永恒之蓝攻击事件，这有助于为用户提供更全面的防护、更高效的解决方案。
及时更新补丁和安全软件最重要的避免永恒之蓝攻击的方法之一就是及时更新安装补丁和安全软件。
当微软在2017年3月发布了Windows XP、Windows 7和Windows Server 2003的安全修补程序时，360公司推动用户及时更新，减小被攻击的概率。
勒索病毒永恒之蓝处理的方法
勒索病毒永恒之蓝处理的方法勒索病毒永恒之蓝已经被攻破，具体的处理方法是怎样的呢?以下是小编acefouder为大家整理的勒索病毒永恒之蓝处理的方法，欢迎大家阅读。
勒索病毒office恢复工具下载勒索病毒处理方法5月14日，国家网络与信息安全信息通报中心紧急通报：监测发现，在全球范围内爆发的WannaCry 勒索病毒出现了变种：WannaCry 2.0，与之前版本的不同是，这个变种取消了Kill Switch，不能通过注册某个域名来关闭变种勒索病毒的传播，该变种传播速度可能会更快。
请广大网民尽快升级安装Windows操作系统相关补丁，已感染病毒机器请立即断网，避免进一步传播感染。
北京市委网信办、北京市公安局、北京市经信委联合发出《关于WannaCry勒索蠕虫出现变种及处置工作建议的通知》。
《通知》指出，有关部门监测发现，WannaCry 勒索蠕虫出现了变种：WannaCry 2.0，与之前版本的不同是，这个变种取消了所谓的Kill Switch，不能通过注册某个域名来关闭变种勒索蠕虫的传播。
该变种的传播速度可能会更快，该变种的有关处置方法与之前版本相同，建议立即进行关注和处置。
关于WannaCry 勒索蠕虫出现变种及处置工作建议的通知各有关单位：有关部门监测发现，WannaCry 勒索蠕虫出现了变种：WannaCry 2.0，与之前版本的不同是，这个变种取消了所谓的Kill Switch，不能通过注册某个域名来关闭变种勒索蠕虫的传播。
该变种的传播速度可能会更快，该变种的有关处置方法与之前版本相同，建议立即进行关注和处置。
一、请立即组织内网检测，查找所有开放445 SMB服务端口的终端和服务器，一旦发现中毒机器，立即断网处置，目前看来对硬盘格式化可清除病毒。
二、目前微软已发布补丁MS17-010修复了“永恒之蓝”攻击的系统漏洞，请尽快为电脑安装此补丁，网址为/zh-cn/library/security/MS17-010;对于XP、2003等微软已不再提供安全更新的机器，建议升级操作系统版本，或关闭受到漏洞影响的端口，可以避免遭到勒索软件等病毒的侵害。
“永恒之蓝”勒索病毒应急响应工作的经验与反思 袁明坤
中国分布情况：
957976
297671249338
169138155911140015
88294864036483161400
5月13日6时5月13日15时5月13日19时5月14日5时5月12日18时浙江、广州、深圳、北京，陆续开始接到应急响应任务全球威胁态势报告应急响应指导手册安恒全线产品升级WannaCry 勒索蠕虫威胁情报收集平台公司及应急响应中心病毒样本汇总及应急案例手册完成安恒专项检测工具0.1勒索软件加固工具0.1WannaCry 勒索蠕虫FAQ 安恒专项检测工GUI 版本勒索软件加固工具GUI 周一开机指南
5月14日18时
➢单日千次电话应急➢十一份专项报告提供➢两个专用工具推出➢百万次下载量超过
➢全线产品全面升级
一键式检测、加固专业深度检测、分析：
2017年5月14日2017年5月16日
2017年5月14日2017年5月16日。
“永恒之蓝”攻击紧急处置方案(蠕虫WannaCry)
针对“永恒之蓝”攻击应急方案（蠕虫WannaCry）2017 年05 月13 日第1章隔离网主机应急处置操作指南首先确认主机是否被感染被感染的机器屏幕会显示如下的告知付赎金的界面：如果主机已被感染：则将该主机隔离或断网（拔网线）。
若客户存在该主机备份，则启动备份恢复程序。
如果主机未被感染：则存在四种方式进行防护，均可以避免主机被感染。
针对未感染主机，方式二是属于彻底根除的手段，但耗时较长；其他方式均属于抑制手段，其中方式一效率最高。
从响应效率和质量上，360建议首先采用方式一进行抑制，再采用方式二进行根除。
第 3 页共23 页方式一：启用快速免疫工具360勒索(永恒之蓝、之石)免疫工具,免疫工具的下载地址（注内含封445端口）：https://172.20.133.158:8443/svn/JLsgsj/%e5%b8%b8%e7%94%a8%e8%bd%af%e4%bb%b6/360%e 5%8b%92%e7%b4%a2(%e6%b0%b8%e6%81%92%e4%b9%8b%e8%93%9d%e3%80%81%e4%b9%8 b%e7%9f%b3)%e5%85%8d%e7%96%ab%e5%b7%a5%e5%85%b7.zip采用快速处置方式，建议使用360安全卫士的“NSA武器库免疫工具”，可一键检测修复漏洞、关闭高风险服务，包括精准检测出NSA武器库使用的漏洞是否已经修复，并提示用户安装相应的补丁。
针对XP、2003等无补丁的系统版本用户，防御工具能够帮助用户关闭存在高危风险的服务，从而对NSA黑客武器攻击的系统漏洞彻底“免疫”。
NSA武器库免疫工具下载地址：/nsa/nsatool.exe方式二：针对主机进行补丁升级请参考紧急处置工具包相关目录并安装MS17-010补丁，2008服务器版补丁下载地址：https://172.20.133.158:8443/svn/JLsgsj/%e5%b8%b8%e7%94%a8%e8%bd%af%e4%bb%b6/windo方式三：关闭445端口相关服务点击开始菜单，运行，cmd，确认。
防范和遏制EternalBlue病毒攻击指南
防范和遏制EternalBlue病毒攻击指南防范和遏制Eternal Blue病毒攻击指南针对最新发生的大规模黑客“EternalBlue”病毒攻击网络事件，5月13日，北京市委网信办、北京市公安局和北京市经济和信息化委员会联合发布防范和遏制“Eternal Blue”病毒攻击指南。
一、微软已经发布相关的补丁 MS17-010 用以修复被“ Eternal Blue” 攻击的系统漏洞，请尽快安装此安全补丁，网址为https:///zh-cn/library/security/MS17-010。
对于 windows XP、Windows 2003 等更加久远的系统，微软则不再提供安全补丁，请通过关闭端口的方式进行防护。
在Windows 电脑上运行系统自带的免费杀毒软件并启用Windows Updates 的'用户可以免受这次病毒的攻击。
Windows 10 的用户可以通过设置-Windows 更新启用 Windows Updates 安装最新的更新，同时可以通过设置-Windows Defender，打开安全中心。
二、关闭135、137、138、139、445端口，关闭网络共享也可以避免中招。
’(一)方法1、运行输入“dcomcnfg”;2、在“计算机”选项右边，右键单击“我的电脑”，选择“属性”;3、在出现的“我的电脑属性”对话框“默认属性”选项卡中，去掉“在此计算机上启用分布式COM”前的勾;4、选择“默认协议”选项卡，选中“面向连接的TCP/IP”，单击“删除”按钮。
(二)关闭 135、137、138 端口在网络邻居上点右键选属性，在新建好的连接上点右键选属性再选择网络选项卡，去掉Microsoft 网络的文件和打印机共享，以及Microsoft 网络客户端的复选框。
这样就关闭了共享端135 、137、138端口。
(三)关闭 139 端口139 端口是NetBIOSSession 端口，用来文件和打印共享。
针对“永恒之蓝”蠕虫勒索病毒客户端处理办法
针对“永恒之蓝”蠕虫勒索病毒客户端处理办法一、XP1、立刻安装补丁。
下载地址：ftp://172.21.133.15/紧急补丁/XP-kb4012598-x86.exe2、如果补丁打不上，则运行以下命令，关闭所有共享：net stop rdrnet stop srvnet stop netbtsc config rdr start= DISABLEDsc config srv start= DISABLEDsc config netbt start= DISABLED二、Windows 20031、立刻安装补丁。
下载地址：ftp://172.21.133.15/紧急补丁/2003-kb4012598-x86.exe （32位版）下载地址：ftp://172.21.133.15/紧急补丁/2003-kb4012598-x64.exe （64位版）2、如果补丁打不上，则运行以下命令，关闭所有共享：net stop rdrnet stop srvnet stop netbtsc config rdr start= DISABLEDsc config srv start= DISABLEDsc config netbt start= DISABLED三、Windows 71、立刻安装补丁。
下载地址：ftp://172.21.133.15/紧急补丁/ Windows7-kb4012215-x86.msu （32位版）下载地址：ftp://172.21.133.15/紧急补丁/ Windows7-kb4012215-x64.msu （64位版）2、如果补丁打不上，则运行以下命令，关闭所有共享：sc.exe config lanmanworkstation depend= bowser/mrxsmb20/nsisc.exe config mrxsmb10 start= disabledsc.exe config lanmanworkstation depend= bowser/mrxsmb10/nsisc.exe config mrxsmb20 start= disabled四、Windows 2008R21、立刻安装补丁。
《“永恒之蓝”勒索蠕虫最全知识手册 》
《“永恒之蓝”勒索蠕虫最全知识手册》你该知道的都在这里！《“永恒之蓝”勒索蠕虫最全知识手册》2017-05-14 360企业安全今天，你一开机可能就不得不损失300美元！今天，你一开机所有文件将被加密无法读取！What？2017 年5 月12 日，“永恒之蓝”勒索蠕虫爆发，短短几小时，攻击了中国、英国、美国、德国、日本等近百个国家，至少1600 家美国组织，11200 家俄罗斯组织都受到了攻击，截至到5月13日20点，国内也有29372家机构组织的数十万台机器感染，其中有教育科研机构4341家中招，是此次事件的重灾区，事件影响持续发酵中。
什么是“永恒之蓝”勒索蠕虫？中了“永恒之蓝”勒索蠕虫如何紧急处置？。
针对大家最关心的“永恒之蓝”勒索蠕虫的相关问题360企业安全专家进行专业解答，集成《“永恒之蓝”勒索蠕虫最全知识手册》。
关于“永恒之蓝”勒索蠕虫，你该知道的都在这里▌1. 什么是蠕虫病毒？答：蠕虫病毒是一种常见的计算机病毒，它的主要特点是利用电脑存在的漏洞，通过网络进行自主的复制和传播，只要一释放出来，就会在无人干预的情况下以指数级快速扩散。
▌2. 这个病毒到底什么原理？答：这个病毒是勒索软件和蠕虫病毒的合体，利用了Windows操作系统的一个漏洞，投送勒索软件到受害主机。
在有蠕虫的环境中，有漏洞的用户电脑只要开机就会很快被感染，不需要任何用户操作，并且被感染的受害主机还会对其他主机发起同样的攻击，所以传播速度极快。
▌3.中了这个病毒会有什么危害？答：受害主机中招后，病毒就会在受害主机中植入勒索程序，硬盘中存储的文件将会被加密无法读取，勒索蠕虫病毒将要求受害者支付价值300/600美元的比特币才能解锁，而且越往后可能要求的赎金越多，不能按时支付赎金的系统会被销毁数据。
▌4. 这个病毒为什么影响这么严重？答：本次事件被认为是迄今为止影响面最大的勒索交费恶意活动事件，一旦受害主机存在被该病毒利用的漏洞，在连接网络的情况下，即使不做任何操作，病毒就会在受害主机中植入勒索程序，此外，由于其属于蠕虫病毒，具有自我复制、传播的特性，因此扩散速度极快。
互联网运营商如何应对永恒之蓝病毒
互联网运营商如何应对永恒之蓝病毒互联网运营商如何应对永恒之蓝病毒互联网运营商如何应对永恒之蓝病毒据防毒软件公司Avast Software公布的数字，已在全球99个国家侦测到超过75000宗WanaCrypt0r 2.0(又名 WannaCry)的攻击个案，而在Kaspersky安全研究及分析团队侦测到的45000 宗攻击个案中，中国属前十位攻击分布最高的国家及地区。
被攻击对象不乏大型企业及政府机构，如英国国家卫生事务局(NHS)旗下多家医院、俄罗斯内政部，西班牙电信Telefonica也惨遭受害。
这次肆虐全球的WanaCrypt0r 2.0一如以往勒索软件的运作模式，当电脑被感染后，所有文档均被加密成名为 .WNCRY的格式，无法正常读取，且会弹出指示，勒索受害者在3天内交付价值300美元的比特币赎金，逾期加倍，若在7天内未支付则无法恢复文档。
该勒索病毒界面包括简繁中文在内的28种不同语言，明显针对全球各国用户。
更有网友戏称现在勒索病毒都有官方汉化版，有些游戏软件应该好好学学了。
有别于以往通过钓鱼邮件感染的方式，不少受害者在网上称在正常使用电脑的.情况下突然弹出勒索界面。
据了解WanaCrypt0r 2.0是通过Windows系统内名为EternalBlue(永恒之蓝)的Windows SMB远端执行程序弱点进行攻击。
去年黑客团队Shadow Brokers曾声称成功入侵美国国家安全局(NSA)旗下的秘密网络攻击组织Equation Group，并取得各种攻击工具。
其中就涉及众多尚未透露的产品漏洞，被指可用于攻击、入侵除Windows 10及Windows Server 2016以外，Windows XP 至 Windows 8 及其各自对应的服务器版本系统，其中就包括 EternalBlue(永恒之蓝)、EmeraldThread等多个漏洞。
而微软亦已于今年3月针对 Windows SMB Server的安全性更新(MS17-010)，修复相关安全漏洞。
永恒之蓝勒索蠕虫最全知识手册
“永恒之蓝”勒索蠕虫最全知识手册2017 年 5 月 12 日，“永恒之蓝”勒索蠕虫爆发，短短几小时，攻击了中国、英国、美国、德国、日本等近百个国家，至少 1600 家美国组织，11200 家俄罗斯组织都受到了攻击，截至到5月13日20点，国内也有29372家机构组织的数十万台机器感染，其中有教育科研机构4341家中招，是此次事件的重灾区，事件影响持续发酵中。
什么是“永恒之蓝”勒索蠕虫？中了“永恒之蓝”勒索蠕虫如何紧急处置？。
针对大家最关心的“永恒之蓝”勒索蠕虫的相关问题360企业安全专家进行专业解答，集成《“永恒之蓝”勒索蠕虫最全知识手册》关于“永恒之蓝”勒索蠕虫，你该知道的都在这里！1. 什么是蠕虫病毒？答：蠕虫病毒是一种常见的计算机病毒，它的主要特点是利用电脑存在的漏洞，通过网络进行自主的复制和传播，只要一释放出来，就会在无人干预的情况下以指数级快速扩散。
2. 这个病毒到底什么原理？答：这个病毒是勒索软件和蠕虫病毒的合体，利用了Windows操作系统的一个漏洞，投送勒索软件到受害主机。
在有蠕虫的环境中，有漏洞的用户电脑只要开机就会很快被感染，不需要任何用户操作，并且被感染的受害主机还会对其他主机发起同样的攻击，所以传播速度极快。
3. 中了这个病毒会有什么危害？答：受害主机中招后，病毒就会在受害主机中植入勒索程序，硬盘中存储的文件将会被加密无法读取，勒索蠕虫病毒将要求受害者支付价值300/600美元的比特币才能解锁，而且越往后可能要求的赎金越多，不能按时支付赎金的系统会被销毁数据。
4. 这个病毒为什么影响这么严重？答：本次事件被认为是迄今为止影响面最大的勒索交费恶意活动事件，一旦受害主机存在被该病毒利用的漏洞，在连接网络的情况下，即使不做任何操作，病毒就会在受害主机中植入勒索程序，此外，由于其属于蠕虫病毒，具有自我复制、传播的特性，因此扩散速度极快。
据360统计，短短一天多的时间，病毒已经攻击了近百个国家的上千家企业和公共组织，包括至少1600家美国组织，11200家俄罗斯组织和28388个中国机构，全球超过10万家机构中招。
永恒之蓝解决方案
02
Part Two
勒索病毒的事件
分析
Ransomware
事件分析
此次勒索病毒是不法分子利用NSA黑客武器库泄漏的“永恒之蓝 ”发起的蠕虫病毒攻击。病毒代码会扫描开放445文件共享端口的 Windows机器，无需用户任何操作，只要开机上网，不法分子就能在 电脑和服务器中植入勒索软件、远程控制木马、虚拟货币挖矿机等恶 意程序，导致受害机器的磁盘文件会被篡改为相应的后缀，图片、文 档、视频、压缩包等各类资料都无法正常打开，只有支付赎金才能解 密恢复。
“永恒之蓝”解决方案
CONTENTS
目录
0 1 勒索病毒的爆发 02 勒索病毒的事件分析 03 勒索病毒的本地行为 0 4 勒索病毒的应急处置方案 0 5 事件总结
01
Part One
勒索病毒的爆发
Ransomware
爆发
2017年5月12日勒索病毒全球肆虐，波及范围达全球99国。英国 、意大利、俄罗斯等全球99个国家爆发勒索病毒攻击。我国校园 网用户的电脑大面积遭受攻击，预计有2600万大学生受到影响。
03
Part Three
勒索病毒的本地 行为
Ransomware
本地行为
当用户主机系统被该勒索软件入侵后，弹出如下勒索 对话框，提示勒索目的并向用户索要比特币。加密系统 中的照片、图片、文档、压缩包、音频、视频、可执行 程序等几乎所有类型的文件，被加密的文件后缀名被统 一修改为“.WNCRY”。
04
Part Four
勒索病毒的应急 处置方案
Ransomware
处置方案
开机前，拔掉网线、停用无线等一切互联网连接 开启系统防火墙 系统防火墙设置阻止向 445 端口进行连接 给每台电脑都打上相应的系统补丁MS17-010 关闭445、135、137、138、139等不需要的端口，关 闭网络共享功能