【企业IT管理员必读】WanaCrypt0r 2.0和ONION等勒索软

近期爆出WanaCrypt0r 2.0勒索加密事件，影响较大，尽管事件已经过去，但是部分用户仍可能被入侵，阿里云安全专家建议您进行自我排查和应急处理，防止业务数据泄露。
近期爆出WanaCrypt0r 2.0、onion以及wallet等后缀的勒索加密事件，影响较大，对于企业的IT管理员和信息安全管理员，阿里云安全专家推荐您按照以下举措进行应急响应和处理：

• 进入到云盾控制台，开通免费版态势感知自动检测是否被入侵；

• 检查服务器上是否存在mssecsvc.exe、taskse.exe、tasksche.exe、@WanaDecryptor@.exe 进程或文件(可以打开“任务管理器”或“全盘搜索w文件”)，如果存在，请立即结束进程，并查找到文件位置，根据文件创建时间确认文件为非法后，删除文件；

• 如果发现大面积wannacry蠕虫加密数据并内网传播，请立即断网；

• 如果发现部分主机疑似被植入了蠕虫，但数据未被加密，强烈建议您使用ECS提供的快照功能立即创建磁盘快照备份；

• 微软已于2017年3月份修复了此次三个高危的零日漏洞，建议您立即安装相关补丁（域用户建议通过域控紧急推送微软官方的补丁），参见：https://help.aliyun.com/knowledge_detail/52638.html，其中MS17-010为必须安装的补丁，下载链接点击：https://technet.microsoft.com/zh-cn/library/security/MS17-010修复漏洞；

• 安装防病毒软件（如MSE）：https://support.microsoft.com/en-us/help/17466/windows-defender-offline-help-protect-my-pc清理，并同时按照第一步打上补丁；

• WindowsServer 2003微软官方已经紧急发布针对此次事件的特殊补丁：https://blogs.technet.microsoft.com/msrc/2017/05/12/customer-guidance-for-wannacrypt-attacks/，因此建议您立即安装相关补丁（域用户建议通过域控紧急推送微软官方的补丁），修复漏洞。

• 通过安全组策略增加访问控制策略，关闭公网和内网入方向的TCP137、139、445、3389端口(注意，关闭3389端口可能导致无法远程登录服务器，建议您通过ECS的管理终端功能登录管理服务器)；

• 使用以下命令关闭SMB服务：

• 关闭SMB服务方案二       
  1.请在控制面板>程序>启用或关闭windows功能>取消勾选SMB1.0/CIFS文件共享并重启系统。
  2.打开控制面板>查看网络状态和任务>更改适配器设置>右键点击正在使用的网卡后点击属性>取消勾选Microsoft网络文件和打印机共享，重启系统。

• 检查【内网】入方向是否存在0.0.0.0/0 允许策略，如果存在，建议您备份安全组设置后，尽快删除0.0.0.0/0条目（注意:删除此策略前，请您务必确认内网需要互访的请求已经单独通过安全组策略放行，具体安全组实践您可参考：https://yq.aliyun.com/articles/70403）

• 对于已经被加密的机器目前尚无可靠的解密手段，若有备份，建议您重置系统后使用备份数据进行恢复；

• 新创建的ECS已经安装了补丁，不受此事件影响，但依然建议您确认高危端口是否对内外网开放；如非必要，建议您参考第四步，关闭相关端口；