【網(wǎng)絡(luò)安全】：新勒索病毒Petya來(lái)襲怎么辦？有什么預(yù)防辦法？

　　新一輪的勒索病毒變種(本次名為Petya)又再一次襲擊并導(dǎo)致歐洲多國(guó)的多個(gè)組織、多家企業(yè)的系統(tǒng)出現(xiàn)癱瘓。新變異病毒(Petya)不僅對(duì)文件進(jìn)行加密，而且直接將整個(gè)硬盤(pán)加密、鎖死，在出現(xiàn)以下界面并癱瘓后，其同時(shí)自動(dòng)向局域網(wǎng)內(nèi)部的其它服務(wù)器及終端進(jìn)行傳播，那么我們?cè)撛趺崔k?下面小編就為大家介紹一下，一起來(lái)看看吧!

　　本次新一輪變種勒索病毒(Petya)攻擊的原理：

　　經(jīng)普華永道網(wǎng)絡(luò)安全與隱私保護(hù)咨詢服務(wù)團(tuán)隊(duì)的分析，本次攻擊的病毒被黑客進(jìn)行了更新，除非防病毒軟件已經(jīng)進(jìn)行了特征識(shí)別并且用戶端已經(jīng)升級(jí)至最新版病毒庫(kù)，否則無(wú)法查殺該病毒，病毒在用戶點(diǎn)擊帶病毒的附件之后即可感染本地電腦并對(duì)全盤(pán)文件進(jìn)行加密，之后向局域網(wǎng)其它服務(wù)器及終端進(jìn)行自動(dòng)傳播。

　　以上所述的Petya病毒攻擊及傳播原理，與“5.12WannaCry”以及“6.23勒索軟件新變種”病毒的攻擊及傳播原理一致，不同點(diǎn)在于：

　　1.感染并加密本地文件的病毒進(jìn)行了更新，殺毒軟件除非升級(jí)至最新版病毒庫(kù)，否則無(wú)法查殺及阻止其加密本機(jī)文件系統(tǒng);

　　2.“5.12WannaCry”及“6.23勒索軟件新變種”在傳播方面，分別利用了微軟Windows系統(tǒng)的一個(gè)或者若干個(gè)系統(tǒng)漏洞，而Petya綜合利用了“5.12WannaCry”及“6.23勒索病毒新變種”所利用的所有Windows系統(tǒng)漏洞，包括MS17-010(5.12WannaCry永恒之藍(lán)勒索病毒)及CVE-2017-8543/CVE-2017-8464(6.23勒索病毒新變種)等補(bǔ)丁對(duì)應(yīng)的多個(gè)系統(tǒng)漏洞進(jìn)行傳播。

　　3.本次新變異病毒(Petya)是直接將整個(gè)硬盤(pán)加密和鎖死，用戶重啟后直接進(jìn)入勒索界面，若不支付比特幣將無(wú)法進(jìn)入系統(tǒng)。

　　應(yīng)對(duì)建議：

　　目前優(yōu)先處理步驟如下：

　　1、補(bǔ)丁修復(fù)(如已按我們之前的通報(bào)，升級(jí)所有補(bǔ)丁，則可略過(guò)此步驟)

　　2、殺毒軟件升級(jí)及監(jiān)控

　　3、提升用戶信息安全意識(shí)度

　　1.補(bǔ)丁修復(fù)：

　　如前所述，本次Petya利用了“5.12WannaCry”及“6.23勒索軟件新變種”的所有漏洞，因此，補(bǔ)丁方面必須完成“5.12WannaCry”及“6.23勒索軟件新變種”對(duì)應(yīng)的所有補(bǔ)丁，包括：

　　廠商無(wú)補(bǔ)丁或無(wú)法補(bǔ)丁的修復(fù)建議：

　　端口限制：使用系統(tǒng)自帶的防火墻設(shè)置訪問(wèn)規(guī)則，即使用系統(tǒng)自帶的防護(hù)墻，設(shè)置遠(yuǎn)程訪問(wèn)端口137、139、445、3389的源IP：

　　3389端口設(shè)置：

　　Windows 2003：通過(guò)防火墻策略限制訪問(wèn)源IP

　　Windows 2008：在組策略中關(guān)閉智能卡登錄功能:

　　組策略(gpedit.msc)-->管理模板-->Windows組件-->智能卡

　　2.殺毒軟件升級(jí)及監(jiān)控

　　確認(rèn)最新病毒庫(kù)已經(jīng)可以查殺Petya病毒;升級(jí)相應(yīng)病毒庫(kù)并推送至所有服務(wù)器及主機(jī)。

　　3.提升用戶信息安全意識(shí)度：

　　本次Petya病毒的感染源頭依然是通過(guò)電子郵件向用戶發(fā)送勒索病毒文件的形式(或者是用戶主動(dòng)下載帶病毒的軟件并打開(kāi))，所以提升用戶信息安全意識(shí)度是關(guān)鍵的應(yīng)對(duì)措施之一。

　　用戶下載文件包中如發(fā)現(xiàn)包含有異常的附件，則必須注意該附件的安全，在無(wú)法確定其安全性的前提下，提醒用戶不要打開(kāi)。

　　建議進(jìn)一步加強(qiáng)對(duì)高管及用戶的信息安全意識(shí)度宣貫，并且需要結(jié)合最新的信息安全趨勢(shì)或者熱點(diǎn)問(wèn)題進(jìn)行不同主題的宣貫，而且要持之以恒。

　　WannaCry勒索病毒攻擊者利用Windows系統(tǒng)默認(rèn)開(kāi)放的445端口在企業(yè)內(nèi)網(wǎng)內(nèi)進(jìn)行病毒傳播與擴(kuò)散，并且更為嚴(yán)重的是，攻擊者不需要用戶進(jìn)行任何操作即可自行進(jìn)行病毒的感染與擴(kuò)散。感染后的設(shè)備上所有的文件都將會(huì)被加密，無(wú)法讀取或者修改，也即造成了整個(gè)系統(tǒng)的癱瘓：

　　在5月13號(hào)，普華永道網(wǎng)絡(luò)安全法及隱私保護(hù)咨詢服務(wù)團(tuán)隊(duì)向您做出了及時(shí)的通報(bào)，并提供了有關(guān)的應(yīng)對(duì)建議，同時(shí)協(xié)助許多客戶進(jìn)行了應(yīng)對(duì)操作(譬如立即修補(bǔ)有關(guān)系統(tǒng)補(bǔ)丁，如MS17-010補(bǔ)丁等)。

　　在6月13日，微軟發(fā)布了Windows系統(tǒng)的新漏洞通報(bào)(“CVE-2017-8543、CVE-2017-8464”)，并且提供了有關(guān)的補(bǔ)丁。在昨天(6月22日)，黑客利用微軟Windows系統(tǒng)的上述新漏洞，開(kāi)發(fā)出新變種的勒索病毒，并在過(guò)去幾天向互聯(lián)網(wǎng)展開(kāi)了初步攻擊，由于感染及傳播需要一定的時(shí)間，因此，攻擊效果集中于昨天出現(xiàn)。截至今日，主要受攻擊及影響的對(duì)象集中于工廠、酒店、醫(yī)院及零售行業(yè)。

　　本次新一輪變種勒索病毒攻擊的原理：

　　本次攻擊利用了微軟Windows系統(tǒng)的兩個(gè)新漏洞“CVE-2017-8543、CVE-2017-8464”，該病毒利用以下方式來(lái)攻擊并加密被攻擊對(duì)象系統(tǒng)中的文件：

　　1.利用Window Search(Windows Search的功能是為我們電腦中的文件、電子郵件和其他內(nèi)容提供內(nèi)容索引、屬性緩存和搜索結(jié)果，默認(rèn)的服務(wù)狀態(tài)是處于開(kāi)啟的狀態(tài))漏洞來(lái)提高權(quán)限并遠(yuǎn)程執(zhí)行加密命令，從而達(dá)到對(duì)全盤(pán)文件進(jìn)行加密的結(jié)果;

　　2.自動(dòng)創(chuàng)建Windows快捷方式LNK(.lnk)，通過(guò)LNK來(lái)提高權(quán)限，并對(duì)文件進(jìn)行加密。

　　在加密過(guò)程中，全程都沒(méi)有任何彈框提示就直接加密文件或?qū)е码娔X藍(lán)屏(這是與5.12勒索病毒軟件不同的其中一個(gè)特點(diǎn))。

　　應(yīng)對(duì)建議：

　　目前優(yōu)先處理步驟如下：

　　1、補(bǔ)丁修復(fù)

　　2、添加郵件網(wǎng)關(guān)黑名單

　　3、殺毒軟件升級(jí)及監(jiān)控

　　4、提升用戶信息安全意識(shí)度

　　1.補(bǔ)丁修復(fù)：

　　目前微軟已發(fā)出補(bǔ)丁，下載地址如下：

　　https://support.microsoft.com/zh-cn/help/4025687/microsoft-security-advisory-4025685-guidance-for-older-platforms

　　具體操作指南：

　　先打開(kāi)https://support.microsoft.com/zh-cn/help/4025687/microsoft-security-advisory-4025685-guidance-for-older-platforms，會(huì)看到CVE-2017-8543、CVE-2017-8464，找到相應(yīng)版本的補(bǔ)丁進(jìn)行下載(目前XP、Window2003不受影響)，并執(zhí)行相應(yīng)主機(jī)及個(gè)人電腦的補(bǔ)丁升級(jí)。

　　2.添加郵件網(wǎng)關(guān)文件黑名單

　　在原有的黑名單上，增加如下后綴：

　　.lnk

　　.link

　　3.殺毒軟件升級(jí)及監(jiān)控

　　3.1.病毒庫(kù)升級(jí)及推送至所有服務(wù)器及主機(jī);

　　3.2.殺毒軟件控制臺(tái)監(jiān)控：

　　查看殺毒軟件控制臺(tái)查看報(bào)警信息，如是否有入侵事件，如針對(duì)SMB攻擊(如SMB BoublePulsar ping、溢出攻擊)，對(duì)已感染的進(jìn)行處理;

　　本次新勒索病毒變種，雖然是利了微軟Windows系統(tǒng)的新系統(tǒng)漏洞，但其感染源頭依然是通過(guò)電子郵件向用戶發(fā)送勒索病毒文件的形式(或者是用戶主動(dòng)下載帶病毒的軟件并打開(kāi))，所以提升用戶信息安全意識(shí)度是關(guān)鍵的應(yīng)對(duì)措施之一。

　　用戶下載文件包中如發(fā)現(xiàn)包含有異常的附件(本次是.lnk/.link的文件)，則必須注意該附件的安全，在無(wú)法確定其安全性的前提下，提醒用戶不要打開(kāi)。

　　建議進(jìn)一步加強(qiáng)對(duì)高管及用戶的信息安全意識(shí)度宣貫，并且需要結(jié)合最新的信息安全趨勢(shì)或者熱點(diǎn)問(wèn)題進(jìn)行不同主題的宣貫，而且要持之以恒。

　　好了今天小編的介紹就到這里了，希望對(duì)大家有所幫助!如果你喜歡記得分享給身邊的朋友哦!