服务热线: 0371-65995777
   
 
关于WannaMine挖矿病毒的安全预警
文章来源 :大数据通信      发布时间 :2018/11/27 12:18:36
 

一、概要

近期,WannaMine挖矿病毒出现新型变种版本。新变种基于WannaMine旧版本进行改造,新增免杀技术,具有更高隐蔽特性,容易大范围传播感染。传播方式仍利用永恒之蓝漏洞(MS17-010)漏洞。目前,已有国内企业发生感染事件,大量终端电脑和服务器出现卡顿和蓝屏现象。请各位租户注意防范。

二、威胁级别

威胁级别:【严重】

(说明:威胁级别共四级:一般、重要、严重、紧急。)

三、影响范围

开启了445端口SMB网络共享协议,且未升级漏洞(ms17-010)补丁的Windows系统(包括个人版和服务器版)。

四、排查和处置方法

排查方法:

1. 检查系统是否安装了MS17-010漏洞补丁包;

2. 检查系统是否开启了445端口的SMB网络共享协议;

3. 检查系统是否存在对codidled.com的链接;

4. 检查系统是否存在以下病毒文件目录:

C:\Windows\System32\MarsTraceDiagnostics.xml

C:\Windows\AppDiagnostics\

处置方案:

1. 隔离感染主机:已中毒计算机尽快隔离,关闭所有网络连接,禁用网卡;

2. 切断传播途径:关闭潜在终端的SMB 445等网络共享端口,关闭异常的外联访问;

3. 查找攻击源:手工抓包分析或借助态势感知类产品分析,确认全网感染数量;

4. 查杀病毒:可使用以下工具进行查杀(http://edr.sangfor.com.cn/tool/SfabAntiBot.zip),停止异常挖矿进程TrustedHostex.exe,并删除snmpstorsrv.dllMarsTraceDiagnostics.xml

5. 修补漏洞:安装永恒之蓝漏洞补丁,请到微软官网,下载对应的漏洞补丁;

https://technet.microsoft.com/zh-cn/library/security/ms17-010.aspx

6. 删除病毒目录(如下),并重启主机。

C:\Windows\System32\MarsTraceDiagnostics.xml

C:\Windows\AppDiagnostics\

五、安全建议

1. 不从不明网站下载相关的软件,不要点击来源不明的邮件以及附件;

2. 及时给电脑打补丁,修复漏洞;

3. 修改密码:设置主机账号密码为高强度的密码;

4. 对重要的数据文件定期进行非本地备份;

5. 安装专业的第三方反病毒软件;

6. 关闭或通过安全组限制不必要的文件共享权限以及端口,如:4453389等。

注意:修复漏洞前请将资料备份,并进行充分测试。