互聯(lián)網(wǎng)上出現(xiàn)針對Windows操作系統(tǒng)的勒索軟件的攻擊案例，涉及到國內(nèi)用戶，已經(jīng)構(gòu)成較為嚴(yán)重的攻擊威脅?；诖饲闆r，國家互聯(lián)網(wǎng)應(yīng)急中心發(fā)布應(yīng)急處置措施，建議用戶及時更新Windows已發(fā)布的安全補丁，并做好四方面工作。

13日，互聯(lián)網(wǎng)上出現(xiàn)針對Windows操作系統(tǒng)的勒索軟件的攻擊案例，勒索軟件利用此前披露的Windows SMB服務(wù)漏洞(對應(yīng)微軟漏洞公告：MS17-010)攻擊手段，向終端用戶進行滲透傳播，并向用戶勒索比特幣或其他價值物，涉及到國內(nèi)用戶(已收到多起高校案例報告)，已經(jīng)構(gòu)成較為嚴(yán)重的攻擊威脅。

一、勒索軟件情況

4月16日，CNCERT主辦的CNVD發(fā)布《關(guān)于加強防范Windows操作系統(tǒng)和相關(guān)軟件漏洞攻擊風(fēng)險的情況公告》，對影子紀(jì)經(jīng)人“Shadow Brokers”披露的多款涉及Windows操作系統(tǒng)SMB服務(wù)的漏洞攻擊工具情況進行了通報(相關(guān)工具列表如下)，并對有可能產(chǎn)生的大規(guī)模攻擊進行了預(yù)警：

表：有可能通過445端口發(fā)起攻擊的漏洞攻擊工具

該勒索軟件在傳播時基于445端口并利用SMB服務(wù)漏洞 (MS17-010)，總體可以判斷是由于此前“Shadow Brokers”披露漏洞攻擊工具而導(dǎo)致的后續(xù)黑產(chǎn)攻擊威脅。當(dāng)用戶主機系統(tǒng)被該勒索軟件入侵后，彈出如下勒索對話框，提示勒索目的并向用戶索要比特幣。

而用戶主機上的重要數(shù)據(jù)文件，如：照片、圖片、文檔、壓縮包、音頻、視頻、可執(zhí)行程序等多種類型的文件，都被惡意加密且后綴名統(tǒng)一修改為 “.WNCRY”。

目前，安全業(yè)界暫未能有效破除該勒索軟的惡意加密行為，用戶主機一旦被勒索軟件滲透，只能通過重裝操作系統(tǒng)的方式來解除勒索行為，但用戶重要數(shù)據(jù)文件不能直接恢復(fù)。

二、應(yīng)急處置措施       

根據(jù)CNVD秘書處普查的結(jié)果，互聯(lián)網(wǎng)上共有900余萬臺主機IP暴露445端口(端口開放)，而中國大陸地區(qū)主機IP有300余萬臺。CNCERT已經(jīng)著手對勒索軟件及相關(guān)網(wǎng)絡(luò)攻擊活動進行監(jiān)測，目前共發(fā)現(xiàn)有向全球70多萬個目標(biāo)直接發(fā)起的針對MS17-010漏洞的攻擊嘗試。

據(jù)此，建議廣大用戶及時更新 Windows已發(fā)布的安全補丁，同時在網(wǎng)絡(luò)邊界、內(nèi)部網(wǎng)絡(luò)區(qū)域、主機資產(chǎn)、數(shù)據(jù)備份方面做好如下工作：

(一)關(guān)閉445等端口(其他關(guān)聯(lián)端口如： 135、137、139)的外部網(wǎng)絡(luò)訪問權(quán)限，在服務(wù)器上關(guān)閉不必要的上述服務(wù)端口；

(二)加強對445等端口(其他關(guān)聯(lián)端口如： 135、137、139)的內(nèi)部網(wǎng)絡(luò)區(qū)域訪問審計，及時發(fā)現(xiàn)非授權(quán)行為或潛在的攻擊行為；

(三)由于微軟對部分操作系統(tǒng)停止安全更新，建議對Window XP和Windows server 2003主機進行排查(MS17-010更新已不支持)，使用替代操作系統(tǒng)。

(四)做好信息系統(tǒng)業(yè)務(wù)和個人數(shù)據(jù)的備份。

CNCERT后續(xù)將密切監(jiān)測和關(guān)注該勒索軟件對境內(nèi)黨政機關(guān)和重要行業(yè)單位以及高等院校的攻擊情況，同時聯(lián)合安全業(yè)界對有可能出現(xiàn)的新的攻擊傳播手段、惡意樣本變種進行跟蹤防范。