用户37979420
勒索软件的传播得到控制后就安全了吗？
据悉，这个在国内被大家简称为“比特币病毒”的恶意软件，目前攻陷的国家已经达到99个，并且大型机构、组织是头号目标。
在英国NHS中招之后，紧接着位于桑德兰的尼桑造车厂也宣告“沦陷”。
西班牙除了最早被黑的通讯巨头Telefonica，能源公司Iberdrola和燃气公司Gas Natural也没能幸免于难。
德国干脆直接被搞得在火车站“示众”。
这个被大家称之为“比特币病毒”的勒索蠕虫，英文大名叫做WannaCry，另外还有俩比较常见的小名，分别是WanaCrypt0r和WCry。
它是今年三月底就已经出现过的一种勒索程序的最新变种，而追根溯源的话是来自于微软操作系统一个叫做“永恒之蓝”（Eternal Blue）的漏洞。
美国国家安全局（NSA）曾经根据它开发了一种网络武器，上个月刚刚由于微软发布了新补丁而被“抛弃”。
三月底那次勒索程序就叫WannaCry，所以如果你在外媒看到WannaCry 2.0或者WanaCrypt0r 2.0的说法，所指也是本次爆发的勒索程序。
随后，微软在3月发布的补丁编号为MS17-010，结果众多大企业们和一部分个人用户没能及时安装它，才让不知道从什么途径获取并改造了NSA网络武器的WannaCry有机可乘。
而且这回的勒索软件目标并非只有英国NHS，而是遍布全球，总觉得有种“人家不是只针对英国医疗系统”一样、奇怪的“有人跟我一样糟就放心”了的潜台词。
虽然最后事实证明确实全球遭殃。
但WannaCry最早从英国NHS开始爆发，真的只是巧合吗？对于任何勒索病毒而言，医院都是最有可能被攻击的“肥肉”：医护人员很可能遇到紧急状况，需要通过电脑系统获取信息（例如病人记录、过敏史等）来完成急救任务，这种时候是最有可能被逼无奈支付“赎金”的。
医疗信息与管理系统学会的隐私和安全总监Lee Kim也解释说，出于信息储备过于庞大以及隐私考虑，“在医疗和其他一些行业，我们在处理这些（系统）漏洞方面确实会不那么及时”。
这也是为什么科技领域普遍认为WannaCry幕后黑手的时机把握得非常巧妙，毕竟微软更新MS17-010补丁还不到两个月。
从开发并释放WannaCry人士角度来考虑这个问题，他们其实并不在乎具体要把哪个行业作为攻击目标，因为他们的逻辑就是任何有利可图的领域都是“肥肉”，都要上手捞一笔。
所以他们确实并不是非要跟英国NHS过不去，只不过是好下手罢了。
个人电脑用户被攻击的比例比企业和大型机构低很多，这不仅仅是因为个人电脑打补丁比较方便快捷，也因为这样攻击不仅效率不高、获利的可能也更小。
WannaCry的运作机制，根本就是为局域网大规模攻击而设计的。
这样看来，前面提到的全世界其他受攻击大型企业和组织，无论交通、制造、通讯行业，还是国内比较惨烈的学校，确实都是典型存在需要及时从数据库调取信息的领域。
至于敲诈信息的语言问题，Wired在多方搜集信息后发现，WannaCry其实能以总共27种语言运行并勒索赎金，每一种语言也都相当流利，绝对不是简单机器翻译的结果。
截至发稿前，WannaCry病毒的发源地都还没能确认下来。
与其说WannaCry幕后是某种单兵作战的“黑客”，倒不如说更有可能是招募了多国人手的大型团伙，并且很有可能“醉温之意不在酒”。
毕竟想要简单捞一笔的人，根本没有理由做出如此周全的全球性敲诈方案。
WannaCry在隐藏操作者真实身份这方面，提前完成的工作相当缜密。
不仅仅在语言系统上声东击西，利用比特币来索取赎金的道理其实也是一样：杜绝现实货币转账后被通过汇入账户“顺藤摸瓜”的可能。
而且WannaCry的开发者早就有了一个范围宽广、长期作战的策划：“在情况好转之前，它会先变糟糕的——相当糟糕。
”（This'll get worse—a lot worse—before it gets better.）不过，在晚些时候，一位22岁的英国程序猿小哥就似乎“误打误撞”阻止了WannaCry的进一步扩散。
这位小哥在社交网络上的昵称是MalwareTech（中文意思大概是“恶意软件技术”，听起来反而更像个黑客），阻止了WannaCry的进一步全球肆虐后，他在自己的博客上写下了全过程，甚至英国情报机关GCHQ都在官网转po了这篇博文。
MalwareTech本来应该在度假中，不过他还是迅速反应，找到了一份WannaCry软件的样本。
阅读代码时，他发现了一个没有被注册过的域名，下面的代码意思就是WannaCry在黑点电脑前的运行中会先试图访问该域名，如果访问失败就黑掉系统，如果成功则自动退出。
于是MalwareTech就把这个域名给注册了。
在后来一些中文媒体的报道中，小哥的这一举动被强调成是“突发奇想”或者“下意识”之举。
正是因为无效域名被注册，后来被WannaCry感染的电脑都在访问该域名时得到了肯定的返回值，于是没有再锁定信息、展开敲诈。
不过MalwareTech自己解释却不是这样的。
他在博客中写道，注册这个域名是他作为网络安全工作人员的“标准做法”（standard practice）。
过去一年里，遇到所有这样短时间访问量激增的无效域名，他都会将其注册后扔进前面图里提到的“天坑”（sinkhole）里，而这个“天坑”的作用就是“捕获恶意流量”。
WannaCry样本中域名，在昨天全球范围攻击开始后访问量瞬间激增，...
国内有哪些预防勒索病毒的软件？
展开全部 WannaCry利用Windows操作系统445端口存在的漏洞进行传播，并具有自我复制、主动传播的特性。
被该勒索软件入侵后，用户主机系统内的照片、图片、文档、音频、视频等几乎所有类型的文件都将被加密，加密文件的后缀名被统一修改为.WNCRY，并会在桌面弹出勒索对话框，要求受害者支付价值数百美元的比特币到攻击者的比特币钱包，且赎金金额还会随着时间的推移而增加。
...
企业和个人如何防御勒索病毒？
企业和个人防御勒索病毒：1.限制管理员权限。
Petya勒索病毒的运行需要管理员权限，企业网管可以通过严格审查限制管理员权限的方式减少攻击面，个人用户可以考虑使用非管理员权限的普通账号登陆进行日常操作。
2.关闭系统崩溃重启。
Petya勒索病毒的“发病”需要系统重启，因此想办法避免系统重启也能有效防御Petya并争取漏洞修补或者文件抢救时间。
大多数Windows系统都被设置为崩溃自动重启，用户可以在系统中手关闭此设置。
只要系统不重新启动引导，病毒就没有机会加密MFT主文件分区表，用户就有机会备份磁盘中的文件（微软官方教程）。
3.立刻安装微软针对SMB漏洞的MS17-010补丁。
与防范Wannacry病毒一样禁用SMBv1。
但是未经确实的报告显示，即使是更新补丁和杀毒软件的Windows 10（对Wannacry免疫），也会被Petya勒索病毒感染，因此仅仅更新补丁和杀毒软件并不能高枕无忧。
4.立刻警告并培训终端用户加强对钓鱼邮件附件的防范。
不要点击未知链接和附件。
这一条也许是最重要的。
5.立即更新杀毒软件。
目前主流杀毒软件都已经发布了针对Petya的病毒样本更新。
6.备份重要数据。
重要文件进行本地磁盘冷存储备份，以及云存储备份。
7.接种Petya勒索病毒疫苗。
目前安全专家发现Petya/NotPetya/Petna等勒索病毒在运行时会扫描硬盘中的一个名为Perfc的文件，如果该文件存在，则攻击终止。
因此如果用户自己手工在对应目录（C:\windows）下添加同名文件，就可实现对上述勒索病毒的免疫。
这个文件也被称为疫苗。
添加方法也非常简单：首先在windows文件夹选项中打开“显示隐藏文件和后缀名”，然后在C:\windows目录下找到notepad.exe这个文件（其他文件也可以的，以下流程相同），拷贝复制到同目录重命名为perfc（无后缀名），并在文件属性中将其设置为“只读”，至此大功告成。
就这么简单，对于熟悉windows操作的用户来说，整个疫苗接种只需要一两分钟。
用户还可以重复两次上述流程，生成perfc.dat和perfc.dll两个文件，据说可以增加保险系数。
“疫苗接种法”有两点注意事项：1.这种方法需要每台电脑逐一操作，企业网管或安全部门可以制作一个批处理文件来提高接种效率。
2.此种方法未必能够防范发酵中的其他勒索病毒变种，因此前述其他防范措施依然不可省略。
7.中招也不要支付赎金。
Petyawrap的赎金接收邮箱已经关闭（根据Petya赎金实时统计目前只收到3.6比特币），而且也没有C&C命令控制服务器，这意味着Petyawrap受害者已经没有办法支付赎金解密文件。
有业界人士认为这种不要赎金直接“撕票”的做法背后另有企图。
电脑中了勒索病毒会有什么反应？
展开全部 WannaCry（又叫Wanna Decryptor），一种“蠕虫式”的勒索病毒软件，大小3.3MB，由不法分子利用NSA(National Security Agency，美国国家安全局)泄露的危险漏洞“EternalBlue”（永恒之蓝）进行传播。
该恶意软件会扫描电脑上的TCP 445端口（Server Message Block/SMB），以类似于蠕虫病毒的方式传播，攻击主机并加密主机上存储的文件，然后要求以比特币的形式支付赎金。
勒索金额为300至600美元。
2017年5月14日，WannaCry 勒索病毒出现了变种：WannaCry 2.0，取消Kill Switch 传播速度或更快。
截止2017年5月15日，WannaCry造成至少有150个国家受到网络攻击，已经影响到金融，能源，医疗等行业，造成严重的危机管理问题。
中国部分Windows操作系统用户遭受感染，校园网用户首当其冲，受害严重，大量实验室数据和毕业设计被锁定加密。
预防方法：1、为计算机安装最新的安全补丁，微软已发布补丁MS17-010修复了“永恒之蓝”攻击的系统漏洞，请尽快安装此安全补丁；对于windows XP、2003等微软已不再提供安全更新的机器，可使用360“NSA武器库免疫工具”检测系统是否存在漏洞，并关闭受到漏洞影响的端口，可以避免遭到勒索软件等病毒的侵害。
2、关闭445、135、137、138、139端口，关闭网络共享。
3、强化网络安全意识：不明链接不要点击，不明文件不要下载，不明邮件不要打开……4、尽快（今后定期）备份自己电脑中的重要文件资料到移动硬盘、U盘，备份完后脱机保存该磁盘。
5、建议仍在使用windows xp, windows 2003操作系统的用户尽快升级到 window 7/windows 10，或 windows 2008/2012/2016操作系统。
为何说国内勒索病毒疫情严重？
4月10日消息，国内安全团队火绒近日发出安全警报，报告称国内勒索病毒疫情非常严峻，政府、企业和个人用户都在被攻击之列，而系统漏洞是勒索软件攻击的主要入口。
根据“火绒威胁情报系统”监测和评估，每天感染用户电脑的勒索病毒有10多种（家族），每天感染量高达10-15万台电脑，其中以漏洞为传播途径的勒索病毒占90%以上。
由上图可见，虽然勒索病毒有系统漏洞、病毒邮件、网页挂马等多种传播途径，但通过漏洞传播的勒索病毒感染数量最多，给机构和个人带来的危害最大。
上述被感染用户的共同特点是电脑裸奔——既没给系统漏洞安装补丁程序，也没有安装合格的安全软件。
另外，国内大量用户使用盗版系统，导致系统补丁更新不及时或者更新困难，也是病毒疫情高居不下的重要原因。
案例一：福建某上市公司的服务器被勒索病毒Ransom/Bunnyde入侵，导致该企业核心的ERP（财务系统）数据库被加密，向病毒团伙支付了数万人民币赎金后，获得密钥恢复了数据。
该病毒是利用垃圾邮件和漏洞等方式传播，火绒工程师调查发现，该企业服务器既没安装补丁程序，又没安装任何安全软件。
案例二：某个人网站运营者的电脑感染了勒索病毒，导致其网站大部分数据被加密，迫不得已暂时关停了网站。
火绒工程师调查发现，该网友使用的服务器系统Windows Server 2008存在风险漏洞，但是没有安装SP补丁和其他的系统补丁，同时也没有安装任何安全软件，所以被勒索病毒轻而易举地入侵。
案例三：某高校学生电脑连接学校网络时，被通过校园网主机系统漏洞进入的勒索病毒感染，包括毕业论文在内的所有文件被加密，该病毒提示需要支付近1万元人民币赎金。
可悲的是，该学生支付赎金后，病毒团伙并没有提供任何解密方式（部分勒索病毒团伙会“讲信用”，拿到赎金后提供解密密钥）。
勒索病毒为什么“绑架”比特币？
这次勒索病毒袭击的原因与比特币本身并没有直接关系，业内担心会比特币会被“妖魔化”。
而黑客之所以要求以比特币支付赎金，只是看中了它在全球转账汇款时的种种优势，从而成为了被选中的支付手段。
实际上，这种黑客勒索软件从1980年开始就已经存在。
根据Cyence的资料显示，黑客往往锁定医院、企业等一些资讯化程度不高的场所，平均每单的赎金支付在500~1000美元。
而由于比特币的存在，让全球勒索相比盗刷信用卡之类的犯罪，变得更加低成本和低风险。
企业和个人如何防御勒索病毒？
展开全部 企业和个人防御勒索病毒： 1.限制管理员权限。
Petya勒索病毒的运行需要管理员权限，企业网管可以通过严格审查限制管理员权限的方式减少攻击面，个人用户可以考虑使用非管理员权限的普通账号登陆进行日常操作。
2.关闭系统崩溃重启。
Petya勒索病毒的“发病”需要系统重启，因此想办法避免系统重启也能有效防御Petya并争取漏洞修补或者文件抢救时间。
大多数Windows系统都被设置为崩溃自动重启，用户可以在系统中手关闭此设置。
只要系统不重新启动引导，病毒就没有机会加密MFT主文件分区表，用户就有机会备份磁盘中的文件（微软官方教程）。
3.立刻安装微软针对SMB漏洞的MS17-010补丁。
与防范Wannacry病毒一样禁用SMBv1。
但是未经确实的报告显示，即使是更新补丁和杀毒软件的Windows 10（对Wannacry免疫），也会被Petya勒索病毒感染，因此仅仅更新补丁和杀毒软件并不能高枕无忧。
4.立刻警告并培训终端用户加强对钓鱼邮件附件的防范。
不要点击未知链接和附件。
这一条也许是最重要的。
5.立即更新杀毒软件。
目前主流杀毒软件都已经发布了针对Petya的病毒样本更新。
6.备份重要数据。
重要文件进行本地磁盘冷存储备份，以及云存储备份。
7.接种Petya勒索病毒疫苗。
目前安全专家发现Petya/NotPetya/Petna等勒索病毒在运行时会扫描硬盘中的一个名为Perfc的文件，如果该文件存在，则攻击终止。
因此如果用户自己手工在对应目录（C:\windows）下添加同名文件，就可实现对上述勒索病毒的免疫。
这个文件也被称为疫苗。
添加方法也非常简单： 首先在windows文件夹选项中打开“显示隐藏文件和后缀名”，然后在C:\windows目录下找到notepad.exe这个文件（其他文件也可以的，以下流程相同），拷贝复制到同目录重命名为perfc（无后缀名），并在文件属性中将其设置为“只读”，至此大功告成。
就这么简单，对于熟悉windows操作的用户来说，整个疫苗接种只需要一两分钟。
用户还可以重复两次上述流程，生成perfc.dat和perfc.dll两个文件，据说可以增加保险系数。
“疫苗接种法”有两点注意事项：1.这种方法需要每台电脑逐一操作，企业网管或安全部门可以制作一个批处理文件来提高接种效率。
2.此种方法未必能够防范发酵中的其他勒索病毒变种，因此前述其他防范措施依然不可省略。
7.中招也不要支付赎金。
Petyawrap的赎金接收邮箱已经关闭（根据Petya赎金实时统计目前只收到3.6比特币），而且也没有C&C命令控制服务器，这意味着Petyawrap受害者已经没有办法支付赎金解密文件。
有业界人士认为这种不要赎金直接“撕票”的做法背后另有企图。
Wannacry勒索病毒会蔓延到手机上吗
wanacry”勒索病毒主要针对Windows操作系统的用户（包含家庭电脑）主要感染以学校，机场，企业，医疗机构等大型用户。
全球范围内尚未出现手机系统（安卓/iOS）遭受感染的案例，手机用户避免高危操作即可。
因为：腾讯安全反病毒实验室负责人马劲松表示，手机上确实也出现过类似勒索病毒，但并没有证据证实跟这次勒索病毒事件有关系。
也就是说，WannaCry病毒基于Windows系统传播，智能手机并不会受到影响。
不过，如果把手机当作存储器去连接了感染此次勒索病毒的电脑，那可能会造成手机内SD卡的损坏。
敲诈者木马本身没什么不一样，但是Wana系列敲诈者木马的传播渠道是利用了445端口传播扩散的SMB漏洞MS17-101，微软在17年3月发布了该漏洞的补丁。
2017年4月，黑客组织Shadow Brokers公布的Equation Group（方程式组织）使用的“网络军火库”中包含了该漏洞的利用程序，而该勒索软件的攻击者或者攻击组织就是在借鉴了“网络军火库”后进行了这次全球大规模的攻击，主要影响校园网，医院、事业单位等内网用户。
wanacry勒索软件主要针对Windows PC用户。
