WannaCry蠕虫在局域网变种中的综合防御方法研究

•12•电子世界・探索与观察随着当今社会各行各业信息化和网络化的发展，计算机病毒最初是通过可移动存储介质（如光盘，U盘等）通过文件或文件传播的. 程序作为载体被动传播，并且仅感染导致单机系统发生故障的简单计算机病毒. 它演变为主动通过网络漏洞进行传播并在网络内进行攻击. 计算机受到广泛感染，并导致复杂的病毒感染. 本文分析了2017年出山）相继推出了勒索软件病毒查杀和文件恢复工具，从而阻止了勒索软件的传播和传播. 勒索软件的危害. . 但是，在WannaCry勒索软件蠕虫之后，该病毒的变种出现了，该病毒感染了局域网中的大量计算机并攻击了局域网中的计算机，从而导致大范围的蓝屏，这可能不能正常使用并造成严重影响. 二，局域网中的WannyCry蠕虫感染现象局域网中的WannyCry蠕虫感染之后，有以下明显现象: 1.局域网中的计算机显示计划外的蓝屏，蓝屏前的某些计算机360杀毒技巧受到“变种”勒索软件蠕虫的远程攻击”.

2. 断开本地网络连接后，蓝屏不出现. 3.某些蓝屏计算机在本地查杀中没有病毒. 4.局域网中的蓝屏计算机数量迅速增加，范围很大. 5.基于端口445的应用程序服务器（例如AD域服务器和网络磁盘）显示为蓝屏. 3.变种WannaCry蠕虫病毒分析WannaCry的先前版本将发布勒索软件以勒索主机. 变种之后，该程序无法在主流Windows平台上运行，并且无法执行勒索软件操作. 但是，如果Intranet中的主机感染了此变种病毒，则该病毒将使用“永恒的蓝色”漏洞来扫描LAN中打开端口445的计算机并进行网络攻击. 由于此病毒变种使用堆注入技术进行漏洞利用，因此不稳定，漏洞利用失败的可能性很小. 如果利用失败，则将导致被攻击主机的蓝屏. 蓝屏信息表明srv.sys驱动程序存在问题. srv.sys是带有“永恒的蓝色”漏洞的驱动程序文件（请参见图1）. 图1. WannaCry蠕虫和WannaCry勒索软件之间的区别. WannaCry病毒具有KillSwitch域名开关. 当病毒可以访问域名（）时，病毒将停止运行并传播，而不会对主机造成任何损害. 尽管该变种病毒也将连接到KillSwitch域名，但不会由于访问该域名而终止.

因此，变异型Wannycry病毒传播速度更快. WannaCry的先前版本将发布勒索软件程序来加密主机文件. 变种之后，该程序无法在主流Windows平台上运行，并且无法对主机文件进行加密以进行勒索软件操作. 五，变种WannyCry蠕虫的特征1.在c: \ window \目录中是否存在感染了变种WannyCry蠕虫的计算机，其中包括mssecsvc.exe，qeriuwjhrf，taskssche.exe. taskche.exe和qeriuwjhrf文件的大小为3432KB，mssecsvc.exe的大小为3636KB. 2.使用md5计算工具来计算上述三个文件的md5值. md5的检查值如下: tasksche.exe 8b2d830d0cf3ad16a547d5b23eca2c6emssecsvc.exe 854455f59776dc27d4934d8979fa7e86qeriuwjhrf 8b2d830d0cf3ad3e3 SYN_SENT数据包是本地处理的，区域是本地方法，目标端口是W区域，本地网络是WYN区域，它的目的是将WYN区域设为本地，方法是将WYN区域设为本地，方法是将SYN_SENT数据包处理为区域1的WYN区域，将目标端口W设为本地网络. 的计算机感染了变体WannyCry蠕虫病毒.

建议先采取预防措施，然后再全面研究预防措施以清除病毒. 首先在局域网中的所有计算机上安装补丁程序（如果补丁程序不成功，则可以直接关闭端口445）以阻止病毒传播；然后检查整个网络中的计算机是否有病毒，并一一删除病毒. 已确认已感染病毒的计算机应立即从网络上断开连接，并脱机处理，以避免病毒传播或重复感染. 对于无法立即安装或无法安装LAN变体的蓝屏WannaCry蠕虫综合防御方法研究中国中车资信信阳机车杨永刚◎◎万方数据•13•电子世界•探索和观察补丁的计算机可以临时使用采取措施关闭TCP 445端口以避免病毒攻击. 2.处理步骤2.1首先，将病毒免疫应用于LAN中的计算机. 病毒免疫的方法有两种: 一种是安装补丁程序，另一种是关闭本地端口445. 建议可以安装补丁程序的服务器应安装尽可能多的补丁程序来修复漏洞. 具体操作计划如下: （1）安装MS17-010补丁. 根据本地操作系统的类型，在Microsoft官方网站上下载相应操作系统的MS17-010补丁，然后通过U盘将其复制到本地计算机上进行安装（Microsoft官方于三月份发布补丁MS17-010）. 已发布，用于修复“永恒之蓝”病毒使用的SMB漏洞.

在安装补丁程序之前，应断开本地计算机的网络连接蠕虫病毒传播途径，以避免在补丁程序安装过程中攻击蓝屏并导致系统崩溃. 并确保本地操作系统满足补丁程序的升级要求，例如: win7系统必须升级到win7 sp1版本，某些版本的Windows server2008必须升级到server 2008 R2 sp1版本，等等. （2）关闭端口445在安装系统修补程序的过程中，安装可能不会成功，或者没有条件下载修补程序的用户可以通过以下方法关闭计算机的端口445，以防止受到计算机上其他计算机的攻击. ①在组策略管理器的本地安全管理功能中，建立IP安全策略以禁止所有计算机访问计算机的TCP端口445；为了防止计算机感染病毒，该计算机还可以攻击网络上的其他计算机. 该策略禁止计算机发送目标端口为445的数据包. 操作步骤如图2所示: 图2②通过修改本地注册表禁用本地TCP端口445. 在开始菜单中，输入regedit，然后按Enter. 依次单击注册表选项“ HKEY_LOCAL_MACHINE \ SYSTEM \ CurrentControlSet \ services \ NetBT \ Parameters”以输入NetBT服务的相关注册表项.

然后单击鼠标右键单击子参数右侧的“新建”，“ QWORD（64位）值”，然后将其重命名为“ SMBDeviceEnabled”，然后将此子项更改为“ 0“. 操作步骤如图3所示: 在修改了图3中的注册表后，如果它是Windows XP系统，则在重新启动系统后将自动关闭TCP 445端口；否则，将关闭TCP 445端口. 如果是Windows 7，则必须禁用服务器服务. 步骤是单击“开始”以依次运行，输入service.msc进入服务管理控制台. 在管理控制台中找到服务器服务，然后双击以进入管理控制界面. 将服务器启动类型调整为“禁用”，将服务状态更改为“停止”，最后单击“应用”并重新启动计算机. 操作步骤如图4所示: 图4③您可以通过Internet下载一些具有端口关闭功能的工具来关闭端口445. 如图5所示: 图5万方数据•14•电子世界•探索与观察④之前和之后关闭端口后，可以通过netstat -ano命令查看端口状态，以确保TCP 445端口已成功关闭.

如图6-7所示: 图6图7⑤对于某些服务器，例如AD域控制器蠕虫病毒传播途径，网络磁盘，打印服务器和其他基于端口445主体服务的设备，如果无法安装漏洞修补程序，则您修补漏洞后，应重新安装操作系统，然后重新部署系统，以避免感染或病毒攻击. （3）安装修补程序或关闭TCP 445端口后，计算机可以再次连接到网络以正常使用. 2.2通过检查本地计算机的C: \ windows \目录中是否存在三个文件mssecsvc.exe，qeriuwjhrf，taskssche.exe，确定服务器和计算机设备是否感染了WannyCry蠕虫病毒，其中tasksche的文件大小为.exe和qeriuwjhrf为3432KB，mssecsvc. exe大小为3636KB. 如果存在上述三个文件，则可以确认它们已感染了变体WannyCry蠕虫. 应该检查系统中蓝屏的计算机或服务器以及图8所示的提示. 图82.3 WannyCry蠕虫病毒清除的变种可以通过以下三种方式清除病毒: （1）手动清除病毒并重新启动计算机，在启动进入安全模式时按F8键，在C: \ windows中找到mssecsvc.exe. \在安全模式下的\目录，Qeriuwjhrf，taskssche.exe三个文件中，删除.

（2）特殊的查杀工具使用特殊的查杀工具（例如WannyCryKill）可以直接查杀. 杀死速度很快，您可以在几秒钟内杀死变体WannyCry蠕虫. （3）杀毒软件目前，所有主流杀毒软件都可以检测并杀死变体WannaCry蠕虫病毒. 您可以使用全盘扫描对计算机进行完全消毒，然后根据防病毒结果和处理建议进行处理. 使用杀毒软件杀和杀由于扫描文件都比较慢. 七. 难以处理WannyCry蠕虫变体WannyCry蠕虫没有killswitch限制，并且不需要访问Internet. 结果，一旦一台计算机感染了WannaCry蠕虫，Intranet就会迅速传播，从而影响更多计算机并找到病毒. ，只能杀死并杀死整个网络，并进行全面防御. 但是，在多种情况下很难清除病毒: 1.网络上提供了大量基于端口445的应用程序，例如共享打印机和网络磁盘，导致中毒次数和范围迅速增加服务器和终端计算机. 2. + 3.某些服务器和客户端在补丁安装过程中出现故障，导致系统崩溃. 4.一些关键的应用服务器，例如AD域服务器和网络磁盘服务器，可能必须使用端口445，但是由于系统问题而无法安装MS17-010补丁. 在这种情况下，您只能重新部署操作系统和应用程序系统，然后安装补丁程序. 5.终端计算机数量大，用户的操作能力不均匀，处理不及时或用户未按要求进行处理，导致局域网计算机杀毒不彻底，防御操作不正确，并反复感染计算机.

6. 该变异病毒的单个病毒宿主没有明显的感染特征，容易引起企业内部网的传播，扩大了影响范围. 必须注意. 8.关于WannyCry蠕虫防御的建议1.网络建设应合理规划网段，并通过交换机访问控制列表，防火墙策略等阻止对网段之间的TCP 445端口的访问，并且仅允许访问指定的IP端口445. 2.信息系统的构建应避免使用易受攻击的端口，例如TCP445. 3.尽量不要在网络中建立共享的网络磁盘. 3.最好使用带有IP的网络打印机，并尽量不要使用共享打印机. 4.建立补丁服务器，并及时安装高风险漏洞补丁. 无法安装补丁程序的服务器和设备应关闭本地TCP 445端口，而无法关闭补丁程序的服务器和设备应及时重新部署系统. 5.计算机已完全安装并部署有正版防病毒软件，并且定期进行全屏杀毒可以有效清除WannyCry勒索软件蠕虫. 6.注意服务器的安全性，并定期检查并杀死服务器上的病毒. 9.结论通过验证，本文中的WannyCry蠕虫在局域网中的防御方法可以有效地阻止WannyCry蠕虫在局域网中的传播，并抵抗WannyCry蠕虫在服务器和计算机终端上的攻击，以及上述方法而且措施易于操作，可以在学校和企业等局域网环境中得到充分推广和应用. 作者简介: 杨永刚（1987—），男，四川省资阳市人，本科，中车资阳机车工程师. 研究方向是网络安全. 万方数据

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/jisuanjixue/article-271519-1.html