勒索蠕虫现场处理指南

发布时间:2017-05-13 12:33:35

一、 缓解及防御措施
        1. 通过天擎控制台下发免疫工具(OnionWormImmune.exe)到终端,没有部署的天擎的终端手动运行免疫工具(OnionWormImmune.exe);
        2. 天擎控制台升级最新的流行木马库,同时将下列文件md5在控制台加黑;
        MD5: 73095B7A1A52AA072DE7DB2DA8FF0496
        SHA1: 4D28112AFE26A1F885AF6E2E6C0365E1273F48D3
        MD5: 84C82835A5D21BBCF75A61706D8AB549
        SHA1: 5FF465AFAABCBF0150D1A3AB2C2E74F3A4426467
        MD5: 4FEF5E34143E646DBF9907C4374276F5
        SHA1: 47A9AD4125B6BD7C55E4E7DA251E23F089407B8F
        MD5: 8495400F199AC77853C53B5A3F278F3E
        SHA1: BE5D6279874DA315E3080B06083757AAD9B32C23
 
二、 安装漏洞补丁
        1. 对于微软当前支持的操作系统:Win7 SP1及以上、服务器Win2008 R2及以上,安装MS17-010、MS10-061、CVE-2017-0146、CVE-2017-0147、MS14-068、MS09-050、MS08-067;对应的漏洞补丁KB号详见“微软高危漏洞-MSID与KBID对照表.xlsx”;
        2. 对于较低版本如Win7 sp0、win2008, 需要在可选补丁中安装更高的sp补丁;
        3. 对于微软不再提供补丁支持的操作系统如WinXP、Win2003,只能停用server、IIS、rdp等服务,停止服务前需评估对业务是否有影响,如果有影响则通过防火墙acl严格限制出入站网络访问;
        停止server和rdp的lua处置工具。
 
三、 网络措施
        1、 在各级交换机、防火墙上,禁止445端口。
        2、 所有中毒的机器立即离线