蠕虫病毒勒索软件Wannacry的预防、免疫、查杀、文件恢复办法

[收起] 文章目录

• 前篇介绍
• 漏洞排查方法
• 病毒免疫预防措施
• 其他预防措施
• 病毒查杀方法
• 文件恢复方法

前篇介绍

【紧急 重要】勒索病毒全球爆发，中国多所高校中招！ 大量学校电脑感染勒索病毒的预防及缓解措施
安天紧急应对新型“蠕虫”式勒索软件“wannacry”全球爆发

漏洞排查方法

360企业安全天擎团队提供的针对“永恒之蓝”勒索蠕虫所利用漏洞的修复工具。运行该工具后，会自动检测系统是否存在相关漏洞，并提供修复方法。

介绍：http://b.360.cn/other/onionwormfix
下载地址：http://down.b.360.cn/EternalBlueFix.zip

md5:3546C6F87914282C0A03696997ADBE42
sha1:A5B383AC4BAE14DC01F43E737C36B900FDABC8DB
sha256:9F7FCE9B15EE65AF1349C74C8AB200C9AD6C0C45C74E3945F0D4B333AF264207

病毒免疫预防措施

360企业安全天擎团队提供的系统免疫工具；在电脑上运行以后，现有蠕虫将不会感染系统。

介绍：http://b.360.cn/other/onionwormimmune
下载地址：http://dl.b.360.cn/tools/OnionWormImmune.exe

版本：1.0.0.1015
MD5:90cb913660d2f8abb23d8176bafc34ec
sha1:6ae5667431b56a615c2a1987f78836312aa0128d
sha256:2d34be95dd7487670bb39cfd1d16cf74d2dfda22d7e450486968b1a563767e97

此工具有以下两种免疫方式：

基本免疫

通过抢占WannaCry勒索蠕虫运行时创建的内核对象，迫使其不能正常运行从而达到免疫的效果。在终端上直接运行此工具即可实现基本免疫功能。

增强免疫

除了基本免疫功能外，根据《WanaCrypt0r勒索蠕虫完全分析报告》，还可通过劫持域名www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com 的方式进一步增强免疫效果。

操作方法如下：

1. 在内网服务器中部署http server，在http:///en/download.html中下载运行http server;
2. 查看http server所在服务器的ip,确保终端浏览器中能访问http://服务器的ip,然后将免疫工具文件名修改为“OnionWormImmune(xxx.xxx.xxx.xxx).exe”， 其中“xxx.xxx.xxx.xxx”为http server IP地址;
3. 运行改名后的免疫工具OnionWormImmune(xxx.xxx.xxx.xxx).exe即可实现增强免疫效果；

其他预防措施

1.启用并打开“Windows防火墙”，进入“高级设置”，在入站规则里禁用“文件和打印机共享”相关规则。利用系统防火墙高级设置阻止向445端口进行连接。
2.使用自动更新升级到Windows的最新版本。
3.在内外网边界出口禁止外网对内网135/137/139/445端口的连接；
4.在网络核心主干交换路由设备禁止135/137/139/445端口的连接。
5.定期对电脑内重要文件资料进行备份。

临时建议：

防火墙上阻断445端口的访问；
暂时关闭Server服务；
尽快升级；
强化网络安全意识：不明链接不要点击，不明文件不要下载，不明邮件不要打开。

病毒查杀方法

360企业安全天擎团队提供的针对永恒之蓝”勒索蠕虫（wannacry蠕虫）的专杀工具。

介绍：http://b.360.cn/other/onionwormkiller
下载地址：http://dl.b.360.cn/tools/wanaKiller.exe

MD5:2fb6554ccc930533b8492c7c36780a89
sha1:9ceefdd65c1021ac2ffd7207026f165cca0fa8d0
sha256:e91b82790b5a8d9a20e743b9ed1c188db7083c0d7b2257ce21f1f3e20895d371

文件恢复方法

介绍：http://weibo.com/ttarticle/p/show?id=2309404107129664487886

360首发勒索蠕虫病毒文件恢复工具：http://dl./recovery/RansomRecovery.exe 

WNCRY病毒疯狂攻击全球上百个国家，无数宝贵资料被病毒加密，甚至有大学生毕业论文被锁死。360深入分析病毒原理，发现有可能恢复一定比例文件的急救方案，成功概率会受到文件数量等多重因素影响，详细教程见本文。越早操作，成功率越高！！

1.首先安装360安全卫士，选择漏洞修复，打好安全补丁，预防再次被攻击

2.使用360木马查杀功能，清除全部木马，防止反复感染。


3.下载使用“360勒索蠕虫病毒文件恢复工具”恢复被加密的文件
下载地址： http://dl./recovery/RansomRecovery.exe
选择加密文件所在驱动器

扫描后，选择要恢复的文件

强烈建议您选择把恢复的文件保存在干净的移动硬盘或U盘上

本工具的文件恢复成功率会受到文件数量、时间、磁盘操作情况等因素影响。一般来说，中毒后越早恢复，成功的几率越高。

我们尽力而为，但无法确保能够成功恢复多大比例的文件。祝您好运！