勒索病毒/勒索蠕蟲 WannaCry/Wcry(想哭) - 資安趨勢部落格

< WannaCry 勒索病毒 > 60 天前已修正的問題,怎麼還會肆虐全球呢？-「為何不修補就好？」事情沒您想像的簡單!

2017 年 05 月 17 日2017 年 05 月 17 日趨勢科技 TrendMicro

「WannaCry(想哭)勒索病毒/勒索蠕蟲」所利用的漏洞，是美國國安局 (NSA) 遭到外流的某項工具所攻擊的漏洞，同樣情況的還有另一個叫做「EwokFrenzy」的漏洞。EwokFrenzy 在 ZDI 資料庫中登記的漏洞編號為 ZDI-07-011，這是 10 年前的事了。難道這意味著該漏洞在廠商已經修正 10 年之後還有效嗎？看起來似乎如此。而這也是我們 20 多年來一直呼籲大家定期修補系統並做好備份的重要原因。

Zero Day Initiative (ZDI) 漏洞懸賞計畫機構對於修補漏洞的看法或許和大多數人不同。通常，我們會收到研究人員的第一手通報，然後我們會在內部驗證漏洞是否為真。接著，我們會通報給廠商。最後，當廠商釋出修補更新之後，我們會發布漏洞的一些詳細資訊。這些修補更新就是防範網路攻擊最好的方法。但最近，一個 Microsoft 在 2017 年 3 月即已修正的漏洞被一個叫做「Wanna」、「WannaCry(想哭)勒索病毒/勒索蠕蟲」或「Wcry」的勒索病毒所攻擊，使得全球都傳出災情。

怎麼會有 60 天前就已修正的問題會在全球造成這麼大的災情呢？人們為什麼不安裝修補更新呢？有時候，修補工作並不如您想像的容易，尤其對大型企業。

第一步：前置工作

要建立一套完整的修補作業，企業首先必須掌握自己所有的資產。而這項工作聽起來容易，做起來卻相當困難。企業可選擇採用開放原始碼軟體或商用軟體工具來搜尋並登記其網路上的所有系統和裝置。就算他們用的是免費軟體，安裝建置仍需耗費成本。一旦企業找出所有需要保護的資產，接下來他們必須建立一套明確的流程來更新這些裝置，並且留下清楚的記錄。此時不光只有工作站和伺服器必須更新，一些網路裝置 (如路由器和交換器) 也要保持更新。所以，企業必須決定：是否該採用一套自動化系統？或是由系統管理員逐一到每台裝置上進行更新？由於早期的安全更新通常需要重新開機，或者可能打斷業務流程，因此，何時套用更新就很重要。此外，留下修補的記錄可以確保企業整體修補版本的一致性。

第二步：掌握最新修補訊息 繼續閱讀

「設定更新已經完成25%,不要關閉你的電腦」急著下班時,看到這個很”想哭”嗎? 談WannaCry 勒索病毒和更新修補的現實問題

2017 年 05 月 17 日2017 年 05 月 17 日趨勢科技 TrendMicro

2017年至今被標記為重大的漏洞有637個而且還在增加中，這比2016年（共回報1057個）的速度更快，而且這些數字僅僅是用於遠端攻擊的漏洞！這些並不一定都會影響你的企業，但現實是你每個月都要面臨嚴重漏洞。

旁觀者的直覺反應是「為什麼他們沒有修補自己的系統？」就跟數位世界內的大多數問題一樣，這並沒有看上去那麼簡單。雖然責怪受害者很容易，但這波勒索活動真正凸顯出了防禦方所面臨的根本難處。

WannaCry攻擊活動使用的是已公開近 60天的已知漏洞。不幸的是，我們將會在未來,持續看到該漏洞被攻擊。

[編者按：關於趨勢科技產品與 WannaCry 相關的最新資訊，請參閱。]

作者：Mark Nunnikhoven（趨勢科技雲端研究副總）

2017年5月12日出現的 WannaCry勒索病毒被精心設計來充分利用今日大型企業所最常見的安全難題。從基本的網路釣魚開始，此變種利用最近的漏洞（CVE-2017-0144/MS17-010）在脆弱的內部網路散播，肆虐於大型組織。

來看看這則紐約時報的貼文，他們用我的資料作出一張很酷的動態地圖

– MalwareTech（@MalwareTechBlog）2017年5月13日

這並非最新的零時差漏洞，修補程式MS17-010在攻擊（或持續性攻擊）前59天就已經發布。今日安全社群所面臨的難題之一是如何在大量業務活動內有效的溝通網路安全。

馬上更新修補程式,不要再拖了 !

安全社群的共識是，更新修補是你的第一道防線。儘管如此，組織需要花上100天或更久來部署修補程式的狀況並不少見。為什麼？原因很複雜。但大致可歸結到一個事實，就是IT對業務運作很重要。任何中斷都令人沮喪和代價高昂。

從使用者的角度來看，「設定更新已經完成25%,不要關閉你的電腦」急著下班時,看到這個很想哭嗎?持續進行更新很累人也妨礙到了工作。更糟的是更新後無法預期應用程式會發生什麼事。

繼續閱讀

PC-cillin2017 雲端版成功封鎖攔截勒索病毒 WannaCry,即刻免費安裝試用,不再「想哭」!

2017 年 05 月 16 日2017 年 05 月 17 日趨勢科技 TrendMicro

史上第一勒索蠕蟲WannaCry/Wcry大舉入侵，全球氾濫！由於該病毒會掃瞄區域網路 (LAN) 和網際網路上的電腦是否開放 TCP 445 連接埠，然後再利用系統漏洞將自己植入電腦中執行,散播相當快速。

相關報導:

WannaCry”想哭”勒索病毒的勒贖訊息,帶著嘲諷意味說:「對半年以上沒錢付款的窮人,會有活動免費恢復,能否輪到你,就要看你運氣怎麼樣了…. 」不想在你上網正開心時,電腦跳出這個勒索訊息,才發現檔案被鎖了,現在就讓趨勢科技 PC-cillin 2017 雲端版協助您立刻啟動防禦 !

以下為勒索病毒 WannaCry中毒畫面與趨勢科技 PC-cillin 2017 雲端版成功移除該病毒的畫面:

PC-cillin 2017雲端版最新病毒碼成功移除WannaCry (想哭) 勒索病毒

繼續閱讀

預防勒索病毒,五大絕招! 史上第一勒索蠕蟲WannaCry/Wcry大舉入侵，全球氾濫！趨勢科技教你拒當資安人質！

2017 年 05 月 14 日2017 年 06 月 06 日趨勢科技 TrendMicro

趨勢科技提供企業及個人防禦機制與免費風險評估工具

利用週末期間橫掃全球的勒索蠕蟲「WannaCry/Wcry」，是第一隻結合蠕蟲擴散行為大規模擴散、遂勒索之利的勒索蠕蟲，目前於各地都有傳出嚴重受害案例，為了守護大家的資料安全，讓台灣民眾上班上學日都能順利步入正軌，全球網路資安解決方案領導廠商趨勢科技 (東京證券交易所股票代碼：4704)在此提供防禦機制與免費風險評估工具！趨勢科技於今年四月中首次監測到勒索病毒（RANSOM_WCRY.C），最初它透過網路釣魚攻擊誘使使用者從Dropbox網址下載惡意程式；而在5月 13 日週末，趨勢科技發現這個肆虐全球的勒索病毒 Ransomware (勒索軟體/綁架病毒)

台灣有網友分享，當他前往停車場取車繳費時螢幕顯示卻「想哭」病毒勒索的畫面，無法繳費，車子也出不去，只好求助停車場業者開啟閘門脫困。

「WannaCry/Wcry」已進化為結合了Windows Server Message Block （SMB) 伺服器漏洞EternalBlue（亦被稱為CVE-2017-0144和 MS17-10）與新勒索病毒家族（RANSOM_WCRY.I / RANSOM_WCRY.A）的新變種。

這波勒索病毒大規模攻擊所用的漏洞 EternalBlue 是Shadow Brokers駭客集團據稱從美國國家安全局（NSA）外洩的漏洞之一，攻擊該漏洞之後可以將檔案送入受害系統，再將此檔案作為服務執行，接著再將真正的勒索病毒檔案送入受害系統，它會用.WNCRY副檔名來對檔案進行加密（也會送入另一個用來顯示勒索通知的檔案）；被針對的副檔名共有176種，包括Microsoft Office、資料庫、壓縮檔、多媒體檔案和各種程式語言常用的副檔名。

【圖說】「WannaCry/Wcry」勒索病毒感染途徑

趨勢科技提出五大防護措施建議與免費檢測工具

趨勢科技提醒這個漏洞在今年三月份就已經被微軟所修補，呼籲無論是企業還是個人都應盡快更新系統以修補此安全性弱點，所以強烈建議民眾為作業系統安裝最新的修補程式，尤其是跟安全性弱點 EternalBlue 相關的安全性修補程式，此外也可透過 GPO 或是微軟官方的說明停用此類含有漏洞的 SMB，正確配置SMB服務才能免於受到此次攻擊影響，最後建議可以根據端點電腦、信件、伺服器、閘道、網路安全等等採用分層式防護以確保有效防禦各個潛在入侵點，如趨勢科技企業客戶可使用最新版本的OfficeScan™ 與 WorryFree Business Security ，並請確保已啟用「預測性機器學習」功能（OfficeScan XG 版本、Worry-Free Services）以及所有與勒索病毒相關的防護功能，而一般消費者則可以升級安裝已經可以防禦該勒索病毒攻擊的 PC-cillin 2017 雲端版。

另一方面，除了OfficeScan™ 、WorryFree Business Security及PC-cillin 2017用戶之外，趨勢科技現也提供大眾採用最新機器學習技術的免費風檢評估工具，企業可申請使用「TrendMicro™ Machine Learning Assessment Tool」，並趨勢科技也提供「i3C-您隨身的3C好麻吉」App，協助民眾透過Android手機與平板，經由wifi 連線檢查家中使用windows平台的連網裝置是否有受到勒索病毒侵犯的風險；而面臨勒索病毒還在全球範圍持續擴散的威脅，趨勢科技也建議台灣各個使用者，立即執行以下操作以防止勒索病毒攻擊！繼續閱讀

預防勒索病毒,如何避免成為WannaCry/Wcry勒索蠕蟲的受災戶?(內含關閉445通訊埠之參考步驟)

2017 年 05 月 14 日2017 年 05 月 17 日趨勢科技 TrendMicro

WannaCry 勒索病毒/勒索蠕蟲在全球範圍持續擴散，為避免週成為受災戶，以下提供企業員工與一般用戶的注意事項，建議您立即執行以下操作避免病毒攻擊！

立即使用隨身碟、外接硬碟或者雲端空間，備份您的重要資料。
關閉Windows系統的445通訊埠，關閉網路共用資料夾（詳細步驟如下文）。
不要點擊來路不明的網站和檔案等。
修補相關漏洞。微軟 EternalBlue 安全性修補程式的安裝可點此。而 Windows XP、Windows 8等系統的使用者，可以點擊這裡下載安裝修補程式
開啟電腦作業系統的Windows Update，隨時升級系統與修補漏洞。

另外請務必注意：如果您的電腦遭攻擊，建議千萬不要乖乖繳納贖金，因為這會助長犯罪,且不保證檔案可以取得回來。

以下為關閉445通訊埠之參考步驟：

1、從控制台中選擇「Windows 防火牆」，並點選左方「進階設定」：繼續閱讀