正在阅读：比特币勒索病毒如何防范?WannaCry病毒防范攻略比特币勒索病毒如何防范?WannaCry病毒防范攻略

　　【PConline 资讯】近年来，一种以敲诈用户钱财为目的比特币勒索病毒开始流行起来，用户电脑中如果误中这种病毒，该类病毒会自动的加密用户在电脑硬盘中的各类资料文件，由于大多勒索病毒采用了高强度加密方式，所以没有病毒作者手中的密钥，就无法进行文件的解密操作。如果想要解密文档，受害者就不得不为此而交付赎金，甚至有的交付了赎金后因为各种原因依旧无法解密文件，用户资料文件因此被锁，损失惨重。

能让Windows躺着也能中枪的勒索病毒WannaCry

　　近日，一种危害更大，感染力更强的勒索病毒WannaCry现身网络，使得国内多处高校网络和企业内网出现WannaCry勒索软件感染情况，与之前勒索病毒不同的是，WannaCry勒索病毒利用的是NSA黑客武器库泄漏的“永恒之蓝”发起的蠕虫病毒攻击传播功能，使得病毒会自动扫描网络中开放445文件共享端口的Windows机器，扫描到开放了445端口的电脑后，如果用户Windows没有安装对应的安全补丁，则无需用户任何操作，病毒（蠕虫）就能入侵用户电脑系统，进而下载病毒感染Windows。

图1 WannaCry病毒

图2 某高校机房惨遭WannaCry入侵（图片来源微博）

　　也就是传说中的躺着也中枪！不用你做啥，之前的勒索病毒要不就是要你误运行病毒程序或者误浏览挂马网页才能导致中毒，而WannaCry则会自动找上门来。没有安装杀毒软件，没有及时安装Windows安全补丁的开放了该端口的Windows电脑就可能被感染。由于以前国内多次爆发利用445端口传播的蠕虫，部分运营商在主干网络上封禁了445端口，所以对家庭用户影响不大（但并不代表安全）。但是教育网及大量企业内网并没有对此端口进行限制，局域网中又存在大量暴露445端口且存在漏洞的电脑，导致目前内网环境下的蠕虫的泛滥。

图3 惨遭病毒加密的文件

　　是不是有种似曾相识的感觉？这让小编想起了多年前的冲击波病毒，同样无需用户操作，同样使用漏洞入侵用户电脑，同样局域网环境下电脑纷纷中招。看着一排电脑弹出重启倒计时的情形，真壮观！而现在的WannaCry还加上了危害用户资料文件的功能。

图4 你见过这个提示么

什么叫敲诈病毒（勒索软件）：

　　敲诈者病毒是一种目前流行的病毒，通过网络等多种途径传播，受害者电脑感染该病毒后后，病毒将自动加密受害者电脑里的多种常见文件，使得受害者的重要资料文件无法正常使用，并以此为条件向用户勒索钱财。被恶意加密的文件类型包括了文档、邮件、数据库、源代码、图片、视频、key文件和压缩文件等多种文件。黑客们勒索的赎金形式包括真实货币、比特币或其它虚拟货币。一般来说，勒索软件作者还会设定一个支付时限，有时赎金数目也会随着时间的推移而上涨。特殊情况下即使用户支付了赎金，最终也还是无法还原被加密的文件。

敲诈病毒造成的危害：

　　由于敲诈者病毒大多都加密了常见格式文件，诸如用户保存到电脑中的照片、视频等具有纪念价值的文件被加密，工作事业文件被加密严重影响工作。于是便有了不少受害者上网求助。“十几年的照片被恶意加密，跪求破解”。“多年研究资料被加密，研究成果毁于一旦”。由于敲诈者病毒大多数采用了比特币支付方式，并且有些敲诈者病毒的支付页面已经无法打开或者需要采用非常方式打开，导致用户即使想要支付赎金都无从支付。甚至有些敲诈者病毒在用户支付赎金后依然无法进行解密操作。

如何防范WannaCry病毒

　　那么，如何防范这种勒索病毒呢？咱一起来看看！

　　WannaCry所会加密的文件类型：.doc, .docx, .xls, .xlsx, .ppt, .pptx, .pst, .ost, .msg, .eml, .vsd, .vsdx, .txt, .csv, .rtf, .123, .wks, .wk1, .pdf, .dwg, .onetoc2, .snt, .jpeg, .jpg, .docb, .docm, .dot, .dotm, .dotx, .xlsm, .xlsb, .xlw, .xlt, .xlm, .xlc, .xltx, .xltm, .pptm, .pot, .pps, .ppsm, .ppsx, .ppam, .potx, .potm, .edb, .hwp, .602, .sxi, .sti, .sldx, .sldm, .sldm, .vdi, .vmdk, .vmx, .gpg, .aes, .ARC, .PAQ, .bz2, .tbk, .bak, .tar, .tgz, .gz, .7z, .rar, .zip, .backup, .iso, .vcd, .bmp, .png, .gif, .raw, .cgm, .tif, .tiff, .nef, .psd, .ai, .svg, .djvu, .m4u, .m3u, .mid, .wma, .flv, .3g2, .mkv, .3gp, .mp4, .mov, .avi, .asf, .mpeg, .vob, .mpg, .wmv, .fla, .swf, .wav, .mp3, .sh, .class, .jar, .java, .rb, .asp, .php, .jsp, .brd, .sch, .dch, .dip, .pl, .vb, .vbs, .ps1, .bat, .cmd, .js, .asm, .h, .pas, .cpp, .c, .cs, .suo, .sln, .ldf, .mdf, .ibd, .myi, .myd, .frm, .odb, .dbf, .db, .mdb, .accdb, .sql, .sqlitedb, .sqlite3, .asc, .lay6, .lay, .mml, .sxm, .otg, .odg, .uop, .std, .sxd, .otp, .odp, .wb2, .slk, .dif, .stc, .sxc, .ots, .ods, .3dm, .max, .3ds, .uot, .stw, .sxw, .ott, .odt, .pem, .p12, .csr, .crt, .key, .pfx, .der（资料来源微博）

防范救援措施一： 为Windows及时安装安全补丁

　　及时的为Windows安装上安全补丁，一直是小编强调的电脑安全措施之一。及时的安装安全补丁，可以防范病毒木马利用漏洞来入侵用户电脑，你只需要做的是开启Windows update自动安装更新功能。可惜的是，由于某些原因，国内许多Windows都被人为的关闭了自动安装补丁功能。微软在3月份已经针对NSA泄漏的漏洞发布了MS17-010升级补丁，包括本次被敲诈者蠕虫病毒利用的“永恒之蓝”漏洞。

图5  开启自动安装更新功能

　　但是对已经停止支持的旧版Windows系统却不能自动获取到最新的安全补丁，不过微软这次也对停止支持的Windows发布了专门的修复补丁，用户自行下载对应的操作系统版本的补丁进行安装。点击进入  当然最好的就是升级到Windows 10创意者更新版。记得把补丁下载回本地，重要资料所在电脑采用断网打补丁形式。

　　先关文章推荐：为游戏而生！Windows10创意者更新新功能全体验

防范救援措施二： 安装一个靠谱的杀毒软件

　　目前敲诈者病毒已经被各个安全软件公司所关注，当然相应的各个知名杀毒软件也能够查杀该病毒及其后续可能出现的一些变种，所以安装一款靠谱的杀毒软件还是非常有必要的，还有记得要升级所安装的杀毒软件病毒库到最新版本。请不要相信啥杀毒软件无用论，关键时刻靠谱的杀毒软件可以帮上你大忙。谨慎打开不明来源的网址和电子邮件，特别是电子邮件附件，打开office文档的时候禁用宏。

　　另外，一些安全公司已经推出了防范方案，例如360的NSA武器防范补丁，大家可以下载安装。

防范救援措施三： 关闭Windows 445端口

　　首先，你得查询一下自己的Windows是否已开启445端口。方法如下：以管理员身份运行命令提示符，在窗口内输入 netstat -an，查看是否开放445端口。

图6 查询是否开放445端口

　　方法1：打开控制面板→网络和共享中心→更改适配器设置→正在使用的网卡右键菜单→属性→在列表中找到Microsoft网络的文件和打印机共享→去掉前边的勾→确定→重启电脑。此方法将导致其他人无法访本机共享的文件夹及打印机。

图7 Microsoft网络文件和打印机共享

　　方法2：控制面板→Windows 防火墙→确认防火墙为开启状态→高级设置→入站规则→新建规则→端口→特定本地端口→填入445→阻止连接→输入名称。

图8 Windows防火墙

　　方法3：Windows XP用户，运行命令提示符“运行→输入cmd”，在弹出的命令行窗口中分别输入下面三条命令以关闭SMB。

　　net stop rdr

　　net stop srv

　　net stop netbt

防范救援措施四：尝试文件恢复

　　小编在测试病毒的时候发现该病毒采用的是先生成加密文件再删除原文件的方式，所以用户就可以使用数据恢复软件对被删除的原文件进行恢复，存在成功恢复的可能，前提是用户没有再往该目标分区写入文件。此外有安全软件发布了拦截补丁与文件尝试恢复工具，中招者可以尝试一下。

　　有研究人员指出，该病毒将文件内容写入到构造好的文件头后，保存成扩展名为.WNCRY的文件，并用随机数填充原始文件后再删除，防止数据恢复，所以使用数据恢复途径可能无效。

图9 WannaCry加密文件时的状态

防范救援措施五：病毒作者设的开关得好好利用

　　WannaCry（另有称WannaCry）病毒传播不久，一位国外的安全研究人员在病毒样本中发现了一串看上去很长，看上去随意打出来的域名：

http://www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com。后经研究发现，勒索样本启动后会首先请求该域名，在没有得到回应后，病毒才会执行加密操作，相反的话则放弃加密操作并直接退出，也就是说， 感染的电脑如果能够成功连通该域名，就不会被恶意加密。目前该域名已经处于可访问状态，所以可以连接互联网的电脑就暂时的安全了。至于内网的用户，管理员可以在内网建一个该域名来暂时规避风险。不过该方法靠不靠谱还很难说。据传新变种已经没有此开关了。

　　据：国家网络与信息安全信息通报中心紧急通报：监测发现，在全球范围内爆发的WannaCry 勒索病毒出现了变种：WannaCry 2.0， 与之前版本的不同是，这个变种取消了Kill Switch，不能通过注册某个域名来关闭变种勒索病毒的传播，该变种传播速度可能会更快。

防范救援措施六： 定期异地备份

　　硬盘有价，数据无价。和以前不同，现在有许多人都习惯了把重要资料保存在电脑中，方便查看与修改。可是许多人却忘记了硬盘会坏，电脑可能被盗，文档可能被误删除，系统可能会被感染病毒，甚至到了目前的文档可能会被敲诈类病毒加密的地步。因为这些原因而导致重要资料丢失的新闻并不鲜见，有个教授甚至因此而丢失了几十年的科研记录。

　　所以养成定期的文档备份习惯是必须的事情。现在有许多自动同步软件，可以帮助你自动进行文档的本地及局域网、FTP备份。

图10 FileGee同步备份软件

　　而且还有许多的网盘软件，也可以帮助你把指定的文档定期的备份到网盘存储空间去。部分网盘还支持多版本文件功能，更是可以帮你找回文件的旧版本。

　　而笔者建议的是，至少要用一个移动存储器（如U盘、移动硬盘）来对重要资料进行异地备份。也就是说，备份存储器不要时刻与电脑进行连接。只在需要备份时进行连接。为的就是防范备份文件在系统中毒后也会遭到感染。

　　对于这个用户备份的移动存储器里边的备份文件保密问题，你可以采用Windows BitLocker功能相对该移动存储器进行加密操作。

总结

　　WannaCry勒索病毒来势汹汹，此病毒的特点是利用Windows漏洞与开放的端口进行传播，导致用户的Windows无需任何操作也能感染上该病毒。小编的建议就是备份备份，异地定时备份！看多了因为硬盘损坏、病毒感染而导致重要资料文件丢失的例子，重要资料记得备份！