比特币勒索病毒蔓延，金山杀毒率先提供免疫和免费文件恢复工具

5月12日以来服务器中了比特币勒索病毒，毒霸安全中心监测到在全国范围内大规模爆发的两种勒索病毒变种Onion和WNCRY。 与以往不同的是，这些新变种在NSA黑客工具包中加入了“永恒病毒”。 “芝兰”0day漏洞用于通过445端口（文件共享）在内网传播类蠕虫感染。 其他未及时安装安全软件或更新系统补丁的内网用户极有可能被被动感染，因此目前受感染的用户主要集中在企业、高校等内网环境。 一旦感染该蠕虫变种，系统重要数据文件将被加密，并被勒索高额比特币赎金（约合人民币2000-50000元）。

从目前的监控情况来看，全网已有数万名用户被感染，QQ、微博等社交平台也已满目疮痍。 因此，此次勒索病毒感染的后续威胁不容小觑。 勒索病毒+远程执行漏洞类蠕虫传播的结合，大大提升了该病毒的安全威胁程度，对近期国内网络安全形势是一次严峻的考验。

在检测到勒索蠕虫传播威胁后，我们的安全团队立即跟进。 目前，金山毒霸可以防御并查杀该勒索蠕虫变种。 以下是我们针对该勒索蠕虫的安全防御方案、传播分析等安全建议，力求让用户避免或降低被勒索的风险。

金山毒霸下载地址：

比特币勒索病毒免疫工具下载：

比特币勒索软件免费文件恢复工具：

【传播感染的背景】

本轮勒索蠕虫的传播主要包括Onion和WNCRY两个家族变种。 这次感染最先在英国、俄罗斯等国家爆发。 据新闻报道，多家企业和医疗机构的系统被感染，损失十分惨重。 安全机构全球监测发现，多达 74 个国家/地区受到勒索蠕虫病毒的攻击。 5月12日以来，全国感染和传播人数也开始急剧增加，多所高校和企业集中爆发并加剧。

[1] 全球74个国家被Onion和WNCRY勒索蠕虫攻击

[2] 24小时内检测到的WNCRY勒索蠕虫攻击数量超过10w+

此次感染病毒迅速爆发的主要原因是前段时间泄露的美国国家安全局（NSA）黑客工具包中的“永恒之蓝”漏洞在传播过程中被利用（微软已于3月发布补丁，漏洞编号: MS17-010)。 与历史上“震荡波”、“冲击波”等大规模蠕虫病毒感染类似，本次传播攻击利用的“永恒之蓝”漏洞可通过445端口直接远程攻击目标主机，感染传播速度极快。

[3] 该勒索蠕虫变种利用“永恒之蓝”漏洞攻击网络

尽管国内部分网络运营商已经封锁了个人用户的445网络端口，但教育网、部分运营商的大型局域网、校园企业内网等仍然存在大量泄露的攻击目标，尤其是对企业来说很严重。 公司关键服务器系统遭到攻击，造成不可估量的损失。 从我们检测到的反馈来看，国内多所高校集中爆发感染传播事件，甚至机场航班信息、加油站等终端系统也受到影响。 预计在不久的将来服务器中了比特币勒索病毒，这种勒索蠕虫造成的影响将进一步加剧。

【4】全国高校内网勒索蠕虫感染攻击爆发

[5]某大学所有机房被WNCRY勒索蠕虫攻击

【6】中国某地加油站系统被勒索蠕虫变种攻击

【7】某机场航班信息终端也被勒索蠕虫攻击

【勒索蠕虫病毒感染现象】

骗子系统中的文档、图片、压缩文件、音视频等常用文件会被病毒加密，然后向用户勒索高额比特币赎金。 WNCRY变种一般勒索价值300至600美元的比特币，而洋葱变种甚至需要用户支付3个比特币，相当于目前比特币市场的3万人民币左右。 此类病毒一般采用RSA等非对称算法，没有私钥无法解密文件。 WNCRY勒索病毒要求用户3天内缴费，否则解密费用加倍，一周内不缴费，密钥将被删除无法恢复。 从某种意义上说，这种勒索病毒是“可防不可破”的，需要安全厂商和用户共同加强安全防御措施和意识。

【8】感染WNCRY勒索病毒的用户系统弹出比特币勒索窗口

[9] 用户文件加密，后缀改为“wncry”，桌面改为勒索威胁

我们追踪了部分变种的比特币支付地址，发现有一小部分用户已经开始向病毒作者支付赎金。 从下图中我们可以看到，该变种的病毒作者已经收到了19位用户的比特币赎金。 共计3.58枚比特币，市值约4万元人民币。

【10】勒索蠕虫的比特币支付信息跟踪

【防御措施建议】

1、安装杀毒软件，保持安全防御功能开启。 建议下载安装金山毒霸，我们的安全团队在第一时间加强了对勒索蠕虫的查杀防御措施。 保持 Dutyrant Defense 处于开启状态以阻止此勒索蠕虫攻击。

金山毒霸下载地址：

立即下载

[11]毒霸杀WNCRY勒索蠕虫

[12] 毒霸勒索病毒防御拦截WNCRY病毒加密用户文件

2、及时更新升级系统。 3月，微软针对NSA泄露的漏洞发布了MS17-010升级补丁，其中包括勒索蠕虫利用的“永恒之蓝”漏洞。 建议用户尽快升级安装。

该漏洞影响以下操作系统版本：

Windows XP／Windows 2000／Windows 2003（微软不再提供安全补丁升级服务，建议关闭445端口）

Windows Vista/Windows 服务器 2008/Windows 服务器 2008 R2

视窗 7/视窗 8/视窗 10

Windows 服务器 2012/Windows 服务器 2012 R2/Windows 服务器 2016

补丁下载地址：（建议根据系统版本下载安装相应的补丁升级包）

【13】微软MS17-010补丁列表

3、谨慎打开来源不明的网址和邮件，打开office文档时禁用宏。 木马和钓鱼邮件一直是勒索病毒在国内外传播的重要渠道。

[16] 钓鱼邮件文档中隐藏勒索病毒，诱导用户打开宏运行病毒

4、养成良好的备份习惯，及时使用网盘或移动硬盘备份重要的个人文件。 在此次勒索蠕虫病毒爆发中，国内多所高校和企业遭到攻击，许多关键重要数据被病毒加密勒索。 希望广大用户提高重要文件备份的安全意识。

金山毒霸保护您的电脑安全，下载地址：

立即下载