勒索病毒新变种：上班先拔网线关WiFi,再开电脑！

近期全球范围内爆发基于Windows网络共享协议进行攻击传播的蠕虫恶意代码，目前已有国内外多个高校校内网、大型企业内网和政府机构专网被感染，系统一旦被感染，Office、PDF等重要文件将被加密，需要向黑客支付高额赎金才能解密恢复文件，对重要数据造成严重损失。 此次勒索病毒可远程攻击Windows的文件共享端口，如果系统未及时更新补丁或关闭端口，无需用户任何操作，只要开机联网，攻击者就能在电脑里执行任意代码，植入勒索病毒等恶意程序。

下午，国家网络与信息安全信息通报中心发出就勒索病毒发布紧急通报：监测发现，在全球范围内爆发的WannaCry勒索病毒出现了变种：WannaCry2.0，与之前版本的不同是，这个变种取消了Kill Switch，不能通过注册某个域名来关闭变种勒索病毒的传播，该变种传播速度可能会更快。请广大网民尽快升级安装Windows操作系统相关补丁，已感染病毒机器请立即断网，避免进一步传播感染。

几乎与此同时，北京市委网信办、北京市公安局、北京市经信委联合发出《关于WannaCry勒索蠕虫出现变种及处置工作建议的通知》。《通知》同样指出，WannaCry 勒索蠕虫已经出现新变种，并给出了具体处理建议。

几个小时前，英国BBC发文称：安全专家警告，下一波网络攻击即将来临，很可能在星期一。

附：《通知》全文

关于WannaCry 勒索蠕虫出现变种及处置工作建议的通知

各有关单位：

有关部门监测发现，WannaCry 勒索蠕虫出现了变种：WannaCry 2.0，与之前版本的不同是，这个变种取消了所谓的Kill Switch，不能通过注册某个域名来关闭变种勒索蠕虫的传播。该变种的传播速度可能会更快，该变种的有关处置方法与之前版本相同，建议立即进行关注和处置。

一、请立即组织内网检测，查找所有开放445 SMB服务端口的终端和服务器，一旦发现中毒机器，立即断网处置，目前看来对硬盘格式化可清除病毒。

二、目前微软已发布补丁MS17-010修复了“永恒之蓝”攻击的系统漏洞，请尽快为电脑安装此补丁，网址为https://technet.microsoft.com/zh-cn/library/security/MS17-010；对于XP、2003等微软已不再提供安全更新的机器，建议升级操作系统版本，或关闭受到漏洞影响的端口，可以避免遭到勒索软件等病毒的侵害。

三、一旦发现中毒机器，立即断网。

四、启用并打开“Windows防火墙”，进入“高级设置”，在入站规则里禁用“文件和打印机共享”相关规则。关闭UDP135、445、137、138、139端口，关闭网络文件共享。

五、严格禁止使用U盘、移动硬盘等可执行摆渡攻击的设备。

六、尽快备份自己电脑中的重要文件资料到存储设备上。

七、及时更新操作系统和应用程序到最新的版本。

八、加强电子邮件安全，有效的阻拦掉钓鱼邮件，可以消除很多隐患。九、安装正版操作系统、Office软件等。

北京市委网信办

北京市公安局

北京市经信委

2017年5月14日

知道吗，这是真的，不是狼来了！

第一步：

什么都不用说，先断网，再备份！

拔掉网线，关掉WiFi，然后开机备份文档。

注意注意！不要备份在本机和网络硬盘上。

第二步：

开机。

第三步：紧急备份：您看到预警通知后，建议您即刻断开办公终端的网络连接，通过移动存储设备（U盘、移动硬盘等）对重要办公文件进行备份，这样即使计算机遭遇了勒索软件攻击，您也能够恢复所有文件。

第四步：

控制面板 >防火墙>高级设置 > 在入站规则(新建规则) > 端口 > TCP打勾 >特定输入(445) > 阻止连接 > 名字輸入(阻挡勒索病毒连接名)

具体如下：

1. 打开控制面板->系统和安全->Windows 防火墙

2. 点击高级设置（打开高级安全Windows防火墙）

3. 在入站规则（也就是外网访问你的电脑的规则）图标上右键->新建规则

移除点击此处添加图片说明文字

4. 点击端口，然后点击下一步

移除点击此处添加图片说明文字

5. 点击TCP， 然后在“特定本地端口”里输入445

移除点击此处添加图片说明文字

6. 点击下一步

7. 点击阻止连接

移除点击此处添加图片说明文字

8. 点击下一步

9. 全选上，然后下一步。

10. 随便起名字，然后完成。

到这里，你完成了阻止所有通过445端口连接你的电脑的连接。。。。不放心的可以再把UTP也阻止了(方法一样）。

445端口关闭后，本机cmd窗口执行命令"netstat -ano | findstr ":445""，回车后无任何返回。

这样确保了你上网时不被病毒攻击

第五步：连接网络，打补丁

补丁升级地址：

更新最新的5月份KB4012264补丁，如果你的更新记录如下，则表示已更新

Windows 7 : KB4012215 或 KB4015549 或 KB4019264

Windows 8.1:KB4012216 或 KB4015550 或 KB4019215

===

Windows 10

直接去Windows更新便可

Windows 8.1 64：

http://download.windowsupdate.com/c/msdownload/update/software/secu/2017/05/windows8.1-kb4019215-x64_d06fa047afc97c445c69181599e3a66568964b23.msu

Windows 8.1 32：

http://download.windowsupdate.com/c/msdownload/update/software/secu/2017/05/windows8.1-kb4019215-x86_fe1cafb988ae5db6046d6e389345faf7bac587d7.msu

Windows 7 64：

http://download.windowsupdate.com/c/msdownload/update/software/secu/2017/05/windows6.1-kb4019264-x64_c2d1cef74d6cb2278e3b2234c124b207d0d0540f.msu

Windows 7 32：

http://download.windowsupdate.com/c/msdownload/update/software/secu/2017/05/windows6.1-kb4019264-x86_aaf785b1697982cfdbe4a39c1aabd727d510c6a7.msu

＝＝

针对老版本Windows，微软已推出KB4012598 :

Windows Vista 32/64

Windows Server 2008 32/64

Windows 8 32/64

Windows XP SP3

Windows Server 2003

http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012598

什么是WannaCry？就是一些混蛋编写的利用Windows中的SMB漏洞的病毒代码，也被称为Wana Decrypt0r，WannaCryptor或WCRY，和其它勒索病毒变体一样，阻止你访问计算机或文件，并要求支付赎金解锁文件。

该病毒具有传染性，传播快，所以请大家务必对自己的电脑升级防护，避免二次传播。

最后，如果你被感染，千万不要支付他妈的赎金，这助长这些混蛋的嚣张气焰，没准还会要你支付更多的赎金。

如果发现被感染，赶快关机，交给专业人士处理。

千万不要打开可疑的电子邮件，永远不要打开可疑的附件！

作者：@中国好4G ：资深分析师｜特约撰稿人｜新媒体专栏作者｜手机评测专家