“史上最大规模”勒索病毒爆发

十字港登陆

                                                           “史上最大规模”勒索病毒爆发

      5月12日，德国开姆尼茨，一处电子时刻表遭到病毒攻击而无法工作。全球99个国家和地区发生超过7 .5万起电脑病毒攻击事件，罪魁祸首是一个名为“想哭”(WannaCry)的勒索软件。新华社发
    红色弹窗锁住了电脑屏幕，随着弹窗内倒计时牌一分一秒地流逝，每分每秒都提醒：你电脑上几乎所有的重要文件都被加密保存了，除了掏钱，就算老天爷来也不能恢复。从12日起疯狂传播开的勒索软件，让很多网友表示“第一次感受到黑客就在身边”。高校内网、政府机构专网、银行、甚至连中石油的加油站，都相继被勒索病毒“攻破”。这不仅仅发生在中国。综合国内外知名网络安全机构发布的信息显示，这次全球性的网络攻击堪称是“史上最大规模”，截至5月13日19：00，全球近100个国家和地区“中招”、超过10万台电脑被勒索；中国国内有28388个机构遭到入侵，覆盖国内几乎所有地区。
    1.7万字毕业论文被“劫持”
    “谁动了我的电脑？”5月12日晚，桂林理工大学广告学专业的小白吃完晚饭回到宿舍，发现电脑屏幕发生了变化：出门前打开的多个网页不见了，电脑桌面上凭空多出了一个txt格式文档、一个未知应用程序。
    刚打开这个“空降”的文档，一个红色弹窗霸占了屏幕。其中显示：电脑里的文件都被加密了，只有花300美元购买比特币作为“赎金”才能解密；3天内不掏钱，赎金将立刻翻倍，一周内不赎回，将永远恢复不了。
    “我刚在学院的群里吐槽，同学还表示‘默哀’，但没一会儿，好几个人也跟着被勒索了。”
    中招的同学里，最“想哭”的是社会工作学专业的小范(化名)。
    她刚写了17000字的毕业论文，准备收尾后发给导师，就遭遇了“劫持”。“论文还没来得及备份，里边还有很多统计数据……”小范语气沮丧。
    这时候，小白和小范还没有意识到，这款勒索病毒来势汹汹，从12日下午开始到昨天，已经相继袭击了全球近100个国家和地区的逾10万台电脑。
    事实上，缴纳高额赎金也并不是一个靠谱的解毒之道。昨天有网友在网上晒出，即便按照勒索软件页面上提示的途径交了钱，勒索软件依旧“霸屏”。
    中国校园网大面积感染
    南都记者了解到，这是一次全球性的网络攻击，罪魁祸首是一款名为“想哭”(w annacry，又称“永恒之蓝”)的恶意软件。
    新华社消息称，这种勒索软件是不法分子利用了美国国家安全局网络武器库中泄漏出的黑客工具。
    360企业安全集团总裁吴云坤告诉南都，一个月前，Shadow sbroker黑客组织公布了第四批美国国家安全局相关网络攻击工具以及文档，其中包含多个针对Window s系统存在的漏洞而研发的远程操控工具，其中就包括“想哭”。
    综合国内外知名网络安全机构发布的信息显示，截至5月13日19：00，全球有近百个国家和地区“中招”，比如英国多家医院的网络遭受攻击后，紧急取消手术将病人转往其他地方；西班牙电信巨头的总部多台电脑陷入瘫痪。
    而在中国，高校内网、政府机构专网、银行、甚至连中石油的加油站，也相继被勒索病毒“攻破”。其中，校园网成为“重灾区”，国内多所高校遭遇勒索软件入侵，包括北大也没能幸免。昨天，北京大学研究生院打印成绩单的机器也被勒索软件锁牢。
    360针对校园网勒索病毒的监测数据显示，“想哭”在中国校园网迅速扩散，高峰期每小时攻击约4000次。
    中国网络安全企业曾发警告
    事实上，在一个月前，美国国家安全局的“网络武器”被泄漏后，中国的网络安全企业很快发布了网络安全警告。
    360企业安全集团发布消息称，这次泄漏将引发网络世界“核弹危机”，美国国家安全局被泄漏的黑客工具，可以远程攻击全球约7 0 %的Window s机器，紧急建议网民关闭135、137、445端口和3389远程登录，并注意更新安全产品进行防御。
    杭州安恒信息技术有限公司也对中国网民发布了W indow s安全更新的补丁地址，建议配置防火墙或安全策略，屏蔽135、137、445以及3389端口。
    据介绍，从已泄漏的“网络武器”来看，这些端口很有可能成为黑客入侵的“路径”。此前，国内也曾多次爆发利用445端口传播病毒的网络安全事件。
    杭州安恒的首席安全官告诉南都，针对系统存在的漏洞，近一月里，微软更新了相应补丁，但由于网络安全意识薄弱，不少网友并不会及时更新补丁；另外，微软停止服务的系统也不会再有补丁，由此造成此番大规模“中招”。
    从此次勒索软件的传播感染渠道来看，445端口就是一个主要渠道，另外，通过邮件的形势传播也较为多见。
    南都记者了解到，此次勒索软件的波及范围之广、影响之大，已经震动微软。昨天下午，微软紧急决定对此前已经停止支持服务了多年的Window sxp和Window s2003系统发布了“特别补丁”。
    只能隔离并重装系统
    中了勒索病毒，到底该乖乖掏钱，还是寻求其他的破解之道？
    昨天，南都记者邀请到国内网络安全公司的专家支招。
    有白帽黑客向南都指出，“想哭”勒索软件，是一款具有自动传播功能的蠕虫病毒，同时使用了A E S和R SA两项加密技术。其中，A E S技术的特点是速度快，往往被黑客用来加密电脑中的大量文件，需要输入一段秘钥才能恢复这些文件。而R SA技术的加密效果更好，用该技术来加密秘钥，将使用户无法轻易破解秘钥。“两项技术相结合，短期内几乎破解无望。”
    专家建议，用户不要掏钱交“赎金”。360企业安全集团建议，对已“中招”的电脑，建议首先隔离，并对系统进行重装。
    好消息是，对如此“强悍”的勒索软件，还是可以提前预防。
    除了关闭445端口的访问，还可以采取升级防火墙，将电脑系统更新到最新版本，安装微软针对“想哭”发布的补丁等措施进行预防。此外，特别建议对重要数据和资料立即进行备份。
    据了解，由于勒索者采用了加密通信网络和比特币支付方式，能够很好地隐藏自己，截至目前，还尚未有机构追踪到勒索者。
    链接
    1.为什么有的网友刚开机、电脑还没有联网，竟然也中招了？
    可能在开机之前，就已经感染了这种蠕虫病毒。
    2 .为什么校园网成为“重灾区”？
    校园网内的学生电脑应用普及，电脑情况复杂而且缺乏有效的安全管理，一旦有一台电脑感染，就可以造成大面积的影响。
    该病毒主要是通过“445”端口，这个端口在校园网内是默认开启的，这就导致病毒很轻易就流入学校。
    3 .为什么这次勒索软件病毒传播这么快？
    这个蠕虫病毒软件是自动进行传播和感染，不需要点击就可以执行。
    知多D
    如何才能不“中招”？
    什么是勒索软件？
    勒索软件是一种恶意软件，通过对电脑上的文件进行某种形式的加密操作，使用户无法打开文件，随后向用户发出勒索通知。
    你的电脑如何“中招”？
    电脑用户往往会收到一封经过伪装的电子邮件，例如有关招聘信息、购货清单等。一旦点击相关链接或打开附件，就会感染该病毒，导致电脑文件被黑客锁住。
    美国Malwarebytes公司恶意软件高级研究员杰罗姆·塞古拉说，这些电脑中毒后，屏幕上会出现具体勒索要求，例如必须在何期限内支付多少赎金、支付方式等，超过期限则电脑文件将被销毁。
    在12日病毒攻击中，一些用户最终使用虚拟货币比特币支付赎金。
    如何有效防范？
    美国加利福尼亚大学洛杉矶分校计算机科学和网络安全教授彼得·赖海尔提醒，应及时更新电脑操作系统，尤其是安装安全补丁。
    以此次攻击为例，这款病毒利用了微软“视窗”操作系统的一个漏洞，而微软曾于3月14日针对这个漏洞发布了补丁。“那些安装过补丁的用户，这次不太可能受影响。”赖海尔说。
    比利亚塞尼奥尔说，一些垃圾邮件可能以常用联系人的名义发来，必须提高警惕。对于可疑的链接或附件，不要轻易打开。　新华社

十字港登陆

据微信公众号“网信上海”5月13日消息，12日，互联网上出现针对Windows操作系统的勒索软件（Wannacry）攻击案例。目前，包括高校、能源等重要信息系统在内的多类用户受到攻击，已对我国互联网络构成较为严重的安全威胁。

上海市互联网信息办公室13日表示，该勒索软件利用已披露的Windows SMB服务漏洞（对应微软漏洞公告：MS17-010）攻击手段，对计算机中的文档、图片等实施高强度加密，并向用户勒索赎金。市网信办已于13日下午向本市各关键信息基础设施单位发出预警，各单位一旦发现感染，要及时报告相关情况，并开展应急处置。

上海市网信办建议广大互联网用户：

［1］升级Windows操作系统，目前微软公司已发布相关补丁程序MS17-010，可通过微软公司正规渠道进行升级。

［2］安装并及时更新杀毒软件。

［3］不要轻易打开来源不明的电子邮件。

［4］及时关闭计算机、网络设备上的445端口。

［5］要切实做好内网的安全管理，关闭非必需端口，及时升级，严格做好内外网隔离。

［6］定期在不同的存储介质上备份计算机上的重要文件。

［7］切勿轻信网上所谓的有偿解密方法、渠道，小心网络诈骗分子利用这次事件招摇撞骗。

附：技术防护措施

一、下载安装微软已发布修复“永恒之蓝”攻击的系统漏洞补丁MS17-010。

补丁网址为 ：

https://technet.microsoft.com/zh-cn/library/security/MS17-010

Windows xp和2003的补丁：

https://blogs.technet.microsoft. ... wannacrypt-attacks/

二、在 Windows 电脑上运行系统自带的免费杀毒软件并启用 Windows Updates 的用户可以免受这次病毒的攻击。

Windows 10 的用户可以通过【设置】-【Windows 更新】启用 Windows Updates 安装最新的更新，同时可以通过【设置】-【Windows Defender】，打开安全中心。

三、关闭 445端口，关闭网络共享。

通用方法如下（不同操作系统略有差异）：

1.【运行】输入“regedit”。

2.确定后定位到 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Servi ces\NetBT\Parameters目录。

3.新建名为“SMBDeviceEnabled”的DWORD值，并将其设置为 0，则可关闭 445 端口。

十字港登陆

5月13日，全球范围内发生大规模劫持数据、勒索比特币的病毒事件。目前，英国NHS系统中超过1/2的机构已受到攻击，医院的电脑被锁定，医院近乎陷入瘫痪，这直接导致很多门诊预约被取消，就医的病人被迫转移。黑客索要每家医院支付300比特币（约合400万人民币）的赎金，否则将删除所有资料。国内部分高校教育网也遭到攻击，高校学生的毕业论文及设计资料被锁。
其实，本次黑客攻击是利用从美国国家安全局窃取的黑客工具实现的，而且还利用了微软操作系统的漏洞。这件事情用铁一般的事实说明了，如今中国信息技术产业建立在美国的基础软硬件之上，其安全性是非常值得商榷的。

攻击利用了什么漏洞
正如一些资深码农所言，BUG是修补不完的，在软件开发中程序员无意间的失误就会留下漏洞，而这种漏洞连开发这个软件的工程师自己都不知道。何况很多厂商出于种种目的，会故意留下一些后门。
比如本次病毒攻击，就是利用了微软的MS17-010漏洞。MS17-010是Windows系统一个底层服务的漏洞，通过这个漏洞可以影响445端口。黑客就是通过在网络上扫描开放的445端口，然后把蠕虫病毒植入被攻击电脑，而被攻击的电脑会被黑客控制，去扫描其他电脑，由此引发链式反映，最终形成海量电脑被黑客控制的结果。

电脑中毒被锁死

必须说明的是，MS17-010原本是美国国家安全局（NSA）旗下组织“方程式小组”御用的0Day漏洞。不过这些“方程式小组”的“御用漏洞”泄漏出去也颇具讽刺意味——在去年，处于黑客金字塔顶端的“方程式小组”，被一伙叫做“影子经纪人”神秘黑客给黑了，结果导致大量“方程式小组”的御用黑客工具大量泄漏。
“方程式小组”并非官方正式称呼，而是卡巴斯基在发现某个神秘黑客组织之后给起的名字。起这个名字的原因是因为该神秘黑客组织技术实力极强。像2010年破坏伊朗核设施的“震网”病毒，就很有可能出自“方程式小组”的手笔。
2015年，卡巴斯基就表示，在全球42个国家发现了“方程式小组”的500个感染行为。而且卡巴斯基还认为，这只是冰山一角，因为这个黑客团队制造的“武器”拥有超强的自毁能力，绝大多数进攻完成之后，不会留下任何痕迹。
在去年，一个名叫“影子经纪人”的黑客组织攻入了“方程式小组”，并发现了大量黑客工具，还免费向所有人泄露了其中部分黑客工具和数据。更绝的是，“影子经纪人”还宣称将通过互联网拍卖所获取的这些“最好的文件”，如果他们收到100万个比特币，就会公布更多工具和数据。
值得一提的是，“影子经纪人”从“方程式组织”获取的文件中，一些黑客工具名称与斯诺登公布的内容相吻合。不过，比较倒霉的是，目前还没有“影子经纪人”收到100万个比特币的公开消息。
因此，本次全球范围内遭受黑客攻击，很可能只是这伙神秘黑客想通过这种方式，要挟一些机构将窃取的工具变现，同时也是在示威——在经过全球范围内的黑客攻击后，以后要开展各种业务也会顺利得多。
攻击范围有多大
其实，早在去年美国洛杉矶也遭遇过类似的网络袭击，根据美国联邦调查局数据，当时黑客一共得到13140英镑的赎金。根据BBC报道，在本次攻击中，病毒攻击已经扩散到74个国家，西班牙的电讯公司Telefónica、俄国内政部都遭受了攻击。已经至少有10笔，每笔额度为300美元左右的赎金，被打到黑客提供的比特币账户。
就中国而言，由于运营商限制了445端口，所以大部分用户不受影响。只是教育网不在限制445端口的行列，因而国内教育网受到影响较大。就目前的消息看，国内每天有5000多台机器遭到攻击，浙江杭州下沙高教园区校园网大量被黑，浙传、计量、理工大学等高校的学生电脑里的资料文档被锁死。四川大学、桂林电子科技大学、桂林航天工业学院、山东大学、大连海事大学、广西师范大学、贺州学院，以及广西等地区的大学都受到了病毒攻击。

此外，根据网友爆料，国内加油站系统也可能中毒了。有网友发现去加油站加油只收现金。

中了病毒怎么办
首先要说明的是，由于国内运营商限制了445端口，所以国内大部分用户不受影响，主要受影响的是中国高校的教育网络。如果有网友已经中毒了，那么非常不幸，目前还没有有效的解决办法。只能等待高手去寻找黑客攻击工具的漏洞，或者直接拿下黑客的控制服务器。如果能够有高手做到之前的两点，那么就有恢复电脑中数据和文件的可能性。
但如果无法破解黑客攻击工具的漏洞，要么按照黑客的要求支付比特币，或者身边有懂技术的朋友，把操作系统重新安装，不过这样一来，电脑里的数据和文档就没有了。
如果还没有中毒，而且还是校园网用户，网络上已经有网友给出了解决之道，比如安装反勒索软件，不过最直接有效的办法当然是拔网线......
另外，广大网友要擦亮眼睛，对于网络上贩卖解密工具的情况，很有可能是假的，毕竟这次黑客用的是美国国家安全局（NSA）旗下组织“方程式小组”御用攻击工具，这种级别的攻击也只有卡巴斯基、360这种量级的选手能够应付，而像卡巴斯基和360给出的解密工具未必会向用户收费。
文末附上广西师范大学给校园网用户的提醒：
1. 为计算机安装最新的安全补丁，微软已发布补丁ms17-010修复了“永恒之蓝”攻击的系统漏洞，请尽快安装此安全补丁。
网址为https://technet.microsoft.com/zh-cn/library/security/ms17-010；
对于windows xp、2003等微软已不再提供安全更新的机器，可使用360“nsa武器库免疫工具”检测系统是否存在漏洞，并关闭受到漏洞影响的端口，可以避免遭到勒索软件等病毒的侵害。免疫工具下载地址：http://dl.360safe.com/nsa/nsatool.exe。
2. 关闭445、135、137、138、139端口，关闭网络共享。
3. 强化网络安全意识：不明链接不要点击，不明文件不要下载，不明邮件不要打开……
4. 尽快（今后定期）备份自己电脑中的重要文件资料到移动硬盘、u盘，备份完后脱机保存该磁盘。
5. 建议仍在使用windows xp，windows 2003操作系统的用户尽快升级到window 7/windows 10，或 windows 2008/2012/2016操作系统。

广西师范大学网络信息中心

nightwish

call.me

图二