【企业IT管理员必读】WanaCrypt0r 2.0和ONION等勒索软件病毒应急处置方案

近期爆出WanaCrypt0r 2.0、onion以及wallet等后缀的勒索加密事件，影响较大，对于企业的IT管理员和信息安全管理员，阿里云安全专家推荐您按照以下举措进行应急响应和处理：
[attachment=126588]

• 进入到云盾控制台，开通免费版态势感知自动检测是否被入侵；
• 检查服务器上是否存在mssecsvc.exe、taskse.exe、tasksche.exe、@WanaDecryptor@.exe 进程或文件(可以打开“任务管理器”或“全盘搜索w文件”)，如果存在，请立即结束进程，并查找到文件位置，根据文件创建时间确认文件为非法后，删除文件；
• 如果发现大面积wannacry蠕虫加密数据并内网传播，请立即断网；
• 如果发现部分主机疑似被植入了蠕虫，但数据未被加密，强烈建议您使用ECS提供的快照功能立即创建磁盘快照备份；
• 微软已于2017年3月份修复了此次三个高危的零日漏洞，建议您立即安装相关补丁（域用户建议通过域控紧急推送微软官方的补丁），参见：https://help.aliyun.com/knowledge_detail/52638.html，其中MS17-010为必须安装的补丁，下载链接点击：https://technet.microsoft.com/zh-cn/library/security/MS17-010修复漏洞；
• 安装防病毒软件（如MSE）：https://support.microsoft.com/en-us/help/17466/windows-defender-offline-help-protect-my-pc清理，并同时按照第一步打上补丁；
• WindowsServer 2003微软官方已经紧急发布针对此次事件的特殊补丁：https://blogs.technet.microsoft.com/msrc/2017/05/12/customer-guidance-for-wannacrypt-attacks/，因此建议您立即安装相关补丁（域用户建议通过域控紧急推送微软官方的补丁），修复漏洞。
• 通过安全组策略增加访问控制策略，关闭公网和内网入方向的TCP137、139、445、3389端口(注意，关闭3389端口可能导致无法远程登录服务器，建议您通过ECS的管理终端功能登录管理服务器)；
• 使用以下命令关闭SMB服务：

       关闭SMB服务方案一
以管理员身份打开CMD，运行以下命令：
net stop server
sc config lanmanserver start= disabled

• 关闭SMB服务方案二      
  1.请在控制面板>程序>启用或关闭windows功能>取消勾选SMB1.0/CIFS文件共享并重启系统。
  2.打开控制面板>查看网络状态和任务>更改适配器设置>右键点击正在使用的网卡后点击属性>取消勾选Microsoft网络文件和打印机共享，重启系统。
• 检查【内网】入方向是否存在0.0.0.0/0 允许策略，如果存在，建议您备份安全组设置后，尽快删除0.0.0.0/0条目（注意:删除此策略前，请您务必确认内网需要互访的请求已经单独通过安全组策略放行，具体安全组实践您可参考：https://yq.aliyun.com/articles/70403）
• 对于已经被加密的机器目前尚无可靠的解密手段，若有备份，建议您重置系统后使用备份数据进行恢复；
• 新创建的ECS已经安装了补丁，不受此事件影响，但依然建议您确认高危端口是否对内外网开放；如非必要，建议您参考第四步，关闭相关端口；

详细方案见:点击阅读




如果您遇到相关疑问，可以进入阿里云官方控制台提交在线工单，也可随时通过工单或拨打7×24小时服务电话：95187和我们反馈，我们将尽力协助您解决问题。
感谢您对阿里云的支持！

补丁下载：
病毒针对 Windwdos Server 2003 至 2008 R2 必须打补丁。目前 Windwdos Server 2012 R2 至 2016 还没有出现影响情况，但最好还是打上补丁！


阿里云 的 Windows Server 均为正版 系统 ，生产 环境


务必开启自动更新！


务必开启自动更新！


务必开启自动更新！


安装补丁不会导致系统变慢！ 也可以配合使用 安全 组禁止公网入、内网入方向的135、137、139、445 等相关端口。


Windows Server 2003 特别补丁 - KB4012598
Security Update for Windows Server 2003 (KB4012598)
http://download.windowsupdate.com/c/csa/csa/secu/2017/02/windowsserver2003-kb4012598-x86-custom-chs_b45d2d8c83583053d37b20edf5f041ecede54b80.exe
S ecurity Update for Windows Server 2003 for x64-based Systems (KB4012598)

http://download.windowsupdate.com/c/csa/csa/secu/2017/02/windowsserver2003-kb4012598-x64-custom-chs_68a2895db36e911af59c2ee133baee8de11316b9.exe


Windows Server 2008 R2 SP1 补丁 - KB4012212、KB4012215
March, 2017 Security Only Quality Update for Windows Server 2008 R2 for x64-based Systems (KB4012212)
http://download.windowsupdate.com/d/msdownload/update/software/secu/2017/02/windows6.1-kb4012212-x64_2decefaa02e2058dcd965702509a992d8c4e92b3.msu


March, 2017 Security Monthly Quality Rollup for Windows Server 2008 R2 for x64-based Systems (KB4012215)
http://download.windowsupdate.com/c/msdownload/update/software/secu/2017/03/windows6.1-kb4012215-x64_a777b8c251dcd8378ecdafa81aefbe7f9009c72b.msu


Windows Server 2012 R2 - 补丁 KB4012213、KB4012216
March, 2017 Security Only Quality Update for Windows Server 2012 R2 (KB4012213)
http://download.windowsupdate.com/c/msdownload/update/software/secu/2017/02/windows8.1-kb4012213-x64_5b24b9ca5a123a844ed793e0f2be974148520349.msu
March, 2017 Security Monthly Quality Rollup for Windows Server 2012 R2 (KB4012216)
http://download.windowsupdate.com/d/msdownload/update/software/secu/2017/03/windows8.1-kb4012216-x64_cd5e0a62e602176f0078778548796e2d47cfa15b.msu


Windows Server  2016 - 补丁 KB4013429
Cumulative Update for Windows Server 2016 for x64-based Systems (KB4013429)
http://download.windowsupdate.com/d/msdownload/update/software/secu/2017/03/windows10.0-kb4013429-x64_ddc8596f88577ab739cade1d365956a74598e710.msu


Q&A问答：
1.对于 MS17-010，里面包含 2 个安全更新号码 4012215 和 4012212，是都需要打还是只要打一 个 4012212 就可以呢?
KB4012215 是 2017 年 3 月的安全质量更新汇总，涵盖了 KB4012212，因此两者任选一个安 装，都能修复漏洞。

2.安装时提示此更新不适用于您的计算机，怎么办?
请确认系统满足了先决条件再安装。例如 Windows Server 2008 R2, 必须在 Service Pack 1 安装 完成后，才能安装这次涉及到的安全更新。

3.如何判断是否已经安装了正确的补丁?
首先重启系统。然后对于 Vista SP2/Server 2008 SP2 开始的系统，可以使用 PowerShell 命令 Get-hotfix 来确认。
即使安装了 MS17-010 还有可能中招，如果中招了是否可以杀毒，还是必须重装?此时系统还 会传播勒索软件吗? 请参考指南“如果已经被感染了怎么办”这一部分。安装更新并不阻止系统发送恶意请求。此时 环境中没有安装安全更新的系统将处于高危阶段。


4.如果是 2003 的能够寻求微软的帮助吗?
Windows Server 2003 Service Pack 2 已经结束支持周期 2 年了。微软针对这次事件，特地破例 发布 2003 SP2 的漏洞修复——安全更新。您无需拨打我们的服务热线，查阅指南中“当 Catalog 网站访问慢时，怎么下载更新”部分。

5.是否会跨网段传播?
会


6.SMB V1 如果停止了会有什么影响?
SMB v1 是从 Windows Vista SP2/Windows Server 2008 SP2 开始引入的。如果停止掉， Vista/Server 2008 之前的系统(XP/Server 2003)就无法访问共享。Computer Browser 服务也会 受到影响。如果系统上有较多应用依存于 SMB v1 的话，这些应用可能无法使用。


7.感染了的话，付钱是否能解决问题，是否有其他隐患?
您的资产的价值需要您来评估，最终由您决定是否值得付钱解决。
如果要重新安装系统，只格式化 C 盘就可以了还是需要全盘格式化? 如果没有专业的事件分析，很难说是否需要所有磁盘格式化。

8.目前看到传播的速度多快?是否可能手工停止病毒进程来防范?
勒索软件一般采用非对称秘钥加密算法加密秘钥，然后用对称秘钥和这个秘钥来快速把文件进 行加密。加密文件并不仅仅局限于文本类型文件。整个加密的过程本身是比较快的。往往在人 们感知到时，已经非常晚了。我们微软的防病毒软件可以检测客户端上进程的行为，如果发现 类似勒索软件的恶意行为，在没有准确病毒库下也会拦截。虽然拦截速度和快，还是有可能不 幸您的部分重要文件已经被加密。


9.如果系统无法安装补丁更新该怎么办?
WannaCrypt 病毒利用了 SMBv1 组件中的一个漏洞进行攻击。对于 Windows Vista/2008 以上版
本的客户端/服务器，可以关闭 SMBv1 的服务。 方法参考此文档:


对于 Windows XP/2003 服务器，可以关闭 SMB 协议:
设置以下注册表键值后重启系统
Key: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\NetBT\Parameters Name: SMBDeviceEnabled
Type: DWORD (REG_DWORD)
Data: 0
需要重启系统


10.停止 SMBv1 会对系统造成哪些影响?
SMB 协议是局域网内常用的协议，这个协议的主要目的是提供不同系统之间的文件，打印机，串口及 其他设备的数据访问共享通信。关闭 SMB 协议造成的最直接影响是失去文件共享，网络打印等功 能，同时某些利用 SMB 协议提供的通信功能也会受到影响，例如通过命名管道建立的通信也会受到 影响。
SMBv1 服务是 Windows 2003/Windows XP 等旧系统进行 SMB 通信的协议。Windows Vista/2008 以及更 高版本的操作系统可以使用 SMBv2 及以后版本的协议进行通信。简单地说，在 Windows Vista/2008 以 及更高版本的操作系统之间的通信不受影响，但 Windows 2003/Windows XP 等旧系统与 Windows Vista/2008 以及更高版本的操作系统之间的 SMB 通信会停止。