应对Windows操作系统勒索软件WannaCry处置手册.PDFVIP

应对Windows 操作系统勒索软件“WannaCry ”处置手册 参考：CNCERT 应对Windows 操作系统勒索软件“WannaCry”处置手册（网址： /webinfo/show/4140 ） 一、确认主机是否被感染 被感染主机会在屏幕显示类似如下的支付赎金通知的界面： 二、被感染主机处置流程 1）将该主机隔离或断网（拔网线）； 2）使用PE 盘进入操作系统，将可用文件进行备份，并对备份数据进行离线处理； [1] 3）重新安装操作系统，或者利用安天发布的专杀工具 清除主机中的勒索软件； [4] 4）若采用专杀工具方式清除主机中勒索软件，则可以利用360 发布的文件恢复工具 尝试 恢复部分被勒索软件加密的文档； 5）根据未感染主机处置流程对主机进行安全防护； 6）若存在该主机备份，则启动备份恢复程序。 三、未感染主机处置流程 对于未感染主机，可以通过手动修改配置或者使用免疫工具进行防护，避免主机被感 染。 1、手动修改系统安全配置 主要流程概括如下： 1）关闭网络，开启系统防火墙； 2）利用系统防火墙高级设置阻止向445 端口进行连接（该操作会影响使用445 端口的服 务）及网络共享或者手动停止SMB 服务； 3）打开网络，升级操作系统补丁。建议使用win10 系统的用户，尽快将系统升级到1703 版本。 1.1 Win7、Win8、Win10 的处理流程 1）关闭网络 2）打开控制面板-系统与安全-Windows 防火墙，点击左侧启动或关闭Windows 防火墙 3）选择启动防火墙，并点击确定 4）点击高级设置 5）点击入站规则，新建规则，以445 端口为例 6）选择端口、下一步 7）选择特定本地端口，输入445，下一步 8）选择阻止连接，下一步 9）配置文件，默认全选，下一步 10）设置名称，可以任意输入，完成即可。 11）手动停止SMB 服务 控制面板→网络与共享中心→更改适配器设置→选择当前连接的网络图标→右键属性→取 消对“Microsoft 网络的文件和打印机共享”的勾选→确定 计算机右键→选择管理菜单→展开服务和应用程序菜单→点击服务菜单→禁用 “sever”、“TCP/IP NetBIOS Helper”服务 11）恢复网络 12）升级操作系统补丁 任何升级都可能带来不可预见的问题，因此请提前对重要数据进行备份。 方法一：自动安装补丁 开启系统自动更新，并检测更新进行安装 方法二：手动安装补丁（以Windows7 为例） 步骤一、查看操作系统版本 1、开始菜单“计算机”右键选择“属性”； 2、弹出的系统属性中，可以查看版本。 3、到微软官方网站【9】或者学校FTP 【10】下载对应版本的补丁，下载后手动安装。安 装完毕后，按照系统提示重新启动电脑。 注: 学校FTP 补丁从微软官方网站下载，但受用户电脑软硬件、操作系统等环境影响，不 能保证所有系统都能安装成功，请您谨慎操作，升级前做好文件备份工作。 4、检查是否安装成功 查看更新历史记录 搜索对应版本号的更新记录，查看是否安装成功。 注：在系统更新完成后，如果业务需要使用SMB 服务，将上面设置的防火墙入站规则删除 即可。 1.2 XP 系统的处理流程 1）依次打开控制面板，安全中心，Windows 防火墙，选择启用。 2）通过注册表关闭445 端口，单击“开始”—— “运行”，输入“regedit”，单击“确 定”按钮，打开注册表。 3）找到HKEY_LOCAL_MACHINE\System\Controlset\Services\NetBT\Parameters，选择 “Parameters”项，右键单击，选择“新建”—— “DWORD 值”。 4）将DWORD 值命名为“SMBDeviceEnabled”，值修改为0。 5）重启机器，查看445 端口连接已经没有了。 6）安装微软总部针对该漏洞（MS17-010）发布的特别补丁[5]。 参考 [1]蠕虫勒索软件专杀工具（WannaCry）（安天提供）： /response/wannacry/ATScanner.zip [2]蠕虫勒索软件免疫工具（WannaCry）（安天提供）： /response/wannacry/Vaccine_for_wannacry.zip [3]