昨天夜间，全球近 100 个国家的计算机同时遭到了来自一款名为 wana Decrypt0r 2.0 的勒索软件的攻击。几乎同时，国内各大高校中教育网中计算机也遭到了攻击，有不少学生朋友已经中招。wana Decrypt0r 是什么？如何预防它？电脑感染以后又应该如何应对？这篇文章将给你答案。
wana Decrypt0r 2.0 的前身是之前泄露的 NSA 黑客武器库中的「永恒之蓝」攻击程序，在被不法分子改造之后变成了一款「勒索软件」。被攻击目标在感染它之后，系统中的图片、文档、视频、压缩包文件等会被加密，并只有向勒索者支付 5 比特币或 300 美元的「赎金」才能将文件解锁。由于它采用了安全性极强的 AES 加密算法，因此很难被破解或者绕过。
Wana Decrypt0r 2.0 中招画面 来源：idropnews：
wana Decrypt0r 2.0 目前会影响几乎所有的基于 Windows NT 内核的客户端/服务器操作系统，包括：
目前 wana Decrypt0r 2.0 只会感染 Windows 桌面操作系统，如果你使用的是 Linux 或者 macOS 则暂时不会感染，但依然推荐你及时进行安全更新，因为并不知道勒索软件是否会更新从而支持攻击 Linux 或者 macOS。
由于 wana Decrypt0r 2.0 基于之前的 NSA 黑客武器「永恒之蓝」攻击程序，因此其攻击方式均为通过向 Windows SMBv1 服务器发送特殊设计的消息，从而允许执行远程的攻击代码。黑客会在公网扫描开放 445 端口的 Windows 设备并植入勒索软件，而这一过程无需用户的任何操作，这也是其可以快速在全球传播的原因。
对于国内的普通家庭用户而言，由于此前国内曾被利用类似技术的蠕虫病毒攻击过，因此国内运营商在主干网上封掉了 445 端口，但是国内高校的「教育网」并未封掉 445 端口，所以本次国内高校计算机成为了受感染的重灾区。
此外，国内许多企业内部局域网也没有封掉 445 端口，因此企业内网中的 Windows 桌面设备感染 wana Decrypt0r 2.0 可能性也相当高。
为了防止中招带来的数据损失以及财产损失，以下的方式可以帮助你预防 wana Decrypt0r 2.0 勒索软件。
本次遭到攻击的设备绝大部分都是教育网以及企业内网中的 Windows 设备，很大一部分的原因是这些设备并未及时安装系统更新。
早在今年三月份，微软就已经针对 Windows 设备推出了月度安全更新，其中就已经包括了本次勒索软件 wana Decrypt0r 2.0 所利用漏洞的安全修补程序。因此，如果你还没有下载这个更新，你可以在 Windwos 中检查并下载安装，防范勒索软件。
另外，你也可以单独下载安全修补程序 KB4012212 进行更新，并通过 MS17-010 了解更多相关安全问题。
如果你的设备处于特殊环境，暂时无法通过 Windows 安全更新进行预防，那么你也可以通过禁用 SMBv1 来预防，具体操作如下：
对于客户端操作系统：
对于服务器操作系统：
如果你使用系统自带的防火墙，那么你可以通过以下步骤封禁 445 端口：
对于 Windows 2000 / XP 用户而言，因为目前微软已经结束了对这两款操作系统的支持，因此可以通过修改注册表的方式关闭：
如果你觉得通过修改注册表的形式太麻烦，也可以使用 360 推出的 NSA 武器库免疫工具进行检测，并根据软件提出的方案进行操作，从而避免中招。
由于影响过于广泛，微软针对此前已经结束支持的 Windows XP、Windows Server 2003 以及 Windows 8 发布了单独的安全更新，用来封堵本次勒索软件所利用的安全漏洞，使用以上三款操作系统的用户或系统管理员点击 这里 下载更新。更多详情请参考 TechNet Blogs。
国内安全媒体 Freebuf 公布了目前可以尝试的两种勒索软件中招解决方案：
方法一，利用黑客在勒索赎金交易环节设计的疏忽，对其进行交易欺骗，具体操作步骤如下：
1. 打开自己的那个勒索软件界面，点击 copy，复制黑客的比特币地址
2. 把 copy 粘贴到 btc.com （区块链查询器）
3. 在区块链查询器中找到黑客收款地址的交易记录，然后随意选择一个 txid（交易哈希值）
4. 把 txid 复制粘贴到勒索软件中，并点击 connect us。
5. 等黑客看到后，再点击勒索软件上的 check payment。
6. 再点击 decrypt 解密文件即可。
方法二：
使用开源的脚本（需要 Python 3 环境）来运行尝试恢复，本质与方法一相同。
国外安全专家已经找到了勒索软件的一个「隐藏后门」，勒索软件在入侵时会尝试访问一个网址，如果可以顺利访问（返回相关网络状态码）就不再加密被入侵电脑中的资料文件，而目前这个网址已经被安全人员进行了注册，从而阻断了该勒索软件的进一步传播。
但是目前该网址在国内访问不是很顺畅，我们可以通过修改系统 host 的方式，将其映射到国内一些网站的 IP 上，从而达到免疫的作用，具体修改操作为：
1. 在「我的电脑」中进入到 C:\Windows\System32\drivers\etc 目录中，找到 host 文件
2. 用「记事本」打开 host 文件
3. 添加以下文本：
www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com 220.181.57.2174. 保存退出
5. 如果遇到权限问题，可将 host 文件拷贝至桌面，在桌面修改完成后再覆盖回源地址。
据国家网络与信息安全信息通报中心紧急通报：
监测发现，在全球范围内爆发的 WannaCry 勒索病毒出现了变种：WannaCry2.0，与之前版本的不同是，这个变种取消了 Kill Switch，不能通过注册某个域名来关闭变种勒索病毒的传播，该变种传播速度可能会更快。请广大网民尽快升级安装Windows操作系统相关补丁，已感染病毒机器请立即断网，避免进一步传播感染。
因此，采用修改 host 来访问「隐藏后门」的方式已经失效，不能保证免疫作用，请各位参考本文的其他方法或及时更新安全补丁。
此内容由惯性聚合(RSS阅读器)自动聚合整理，仅供阅读参考。 原文来自 — 版权归原作者所有。