• WAP手机版 加入收藏  设为首页
电脑硬盘数据恢复

"诓骗病毒"数据规复战戒备要收!

时间:2017-12-7 10:42:15   作者:   来源:   阅读:23   评论:0
内容摘要:"诓骗病毒"数据规复战戒备要收!2017-07-13 15:14:48前导收端:成都数据规复 2017年5月12日20时中央,国家汇散与疑息安稳疑息中央平静通报:新型诓骗病毒病毒从5月12日起正在齐球范围传达分散,已影响到搜罗我国用户正在内的多个国家的用户。该诓骗病毒利用Windows操做体系4...

"诓骗病毒"数据规复战戒备要收!

2017-07-13 15:14:48   前导收端:成都数据规复

       2017年5月12日20时中央,国家汇散与疑息安稳疑息中央平静通报:新型诓骗病毒病毒从5月12日起正在齐球范围传达分散,已影响到搜罗我国用户正在内的多个国家的用户。该诓骗病毒利用Windows操做体系445端心存正在的毛病遏制传达,并具有自我复制、自动传达的特征。诓骗病毒熏染用户谋略机后,将对谋略机中的文档、图片等施止下强度减稀,并背用户诓骗赎金。随后, WannaCry(永远之蓝)诓骗蠕虫齐球收做,传达快速,愈演愈烈,超150个国家,10万家企业、当局机构中招,齐球“沦亡”,如同一场绝后的大年夜劫难...

诓骗病毒
诓骗病毒

       果为该事务所触及的重要疑息体系较多,已对齐球互联汇散组成较为宽峻的安稳威胁。遏制旧日下昼(5月16日),国内闭于该病毒的研究已周齐展开,查杀工做也已促进顺利,针对各种型的谋略机体系的补丁战建复希图根柢宣告掀晓终了。

       为了更好的便操做户,小编汇总了那几天"诓骗病毒"戒备、规复、免费硬件、阐收申报等诸多疑息分享!超齐干货,撵走您珍躲。

1、病毒抗御与截止

1.1、 员工防护层里:

a、实时升级Windows操做体系,古晨微硬公司已宣告掀晓相闭补丁法式榜样MS17-010,可经过过程微硬公司正轨渠讲遏制升级。

b、安拆并实时更新杀毒硬件。

c、没有要随便马虎挨开前导收端没有明的电子邮件。

d、实时启闭谋略机、汇散设备上的共享端心。

e、按期正在没有开的存储介量上备份谋略机上的重要文件。

f、养成劣越的汇散扫瞄风尚。没有要随便马虎下载战运转已知网页上的硬件,减少谋略机被进侵的可以也许。

g、利用“永远之蓝”毛病离线建复对象包,完成毛病的检测、补丁与毛病建复。


Windows操做体系局部民圆版本补丁:
https://technet.microsoft.com/zh-cn/library/security/MS17-010
win XP战win server 2003超期退役的用户更新补丁:https://blogs.technet.microsoft.com/msrc/2017/05/12/customer-guidance-for-wannacrypt-attacks/?from=groupmessage&isappinstalled=0 

安稳狗“永远之蓝”毛病离线建复对象包下载天址:
http://pan.百度.com/s/1c1rEbG


1.2、公司身手防护层里:

a、出心防水墙上截止135/137/138/139/445端心,阻遏距离内部与内部的端心开放;

b、交流机上截止135/137/138/139/445端心,阻遏距离内部那些下危端心互通;

c、止为管理上截止135/137/138/139/445端心,阻遏距离内部那些下危端心互通;

d、IT部订定员工本机启闭135/137/138/139/445端心的剧本,截止员工熏染并传达;

e、IT部将windows中央数据,跨机器渠讲保管;

f、增强员工的安稳抗御认识的宣导力度;


办事器应慢建复毛病希图链接:
http://mp.weixin.qq.com/s/lfapsd90LIQCd5xyswXDhg
云安稳办事仄台安稳狗下载天址:http://down.safedog.cn/download/software/safedogfwqV5.0.rar


2、中招熏染若何办?

2.1、小我电脑

a、一旦缔制中毒机器,早钝断网并闭机断电,此轨范对病毒的分散中止战后尽的规复有很大年夜资助。同时没有要付出赎金,果为借已确认乌客支到赎金便真止规复操做。

b、将被熏染的硬盘拆下往,到新的机子上里。(若无条件,可连尽正在本机操做)。

c、正在其他可以也许安稳上彀的机子高卑载可用的安稳硬件至安稳的U盘中。正在断网的条件下,插进U盘运转硬件遏制体系毛病建复,及消弭电脑中局部木马法式榜样,戒备诓骗病毒重复熏染。

d、下载规复巨匠“永远之蓝”专建版免费数据规复对象至U盘,对体系进进数据规复。

e、将规复出往的数据导出到新硬盘。若局部大年夜部门数据规复,则对旧硬盘遏制格式化,若仍有重要数据则保管旧硬盘,并时候闭注最新病毒事务静态。

2.2、局域网电脑

a、缔制任何一台局域网内曾熏染诓骗病毒的谋略机,坐时断尽处理。

b、以后回支上里整丁一台谋略机的要收操做。

规复巨匠“永远之蓝”专建版免费下载链接:
http://pan.百度.com/s/1c3ZzqQ 稀码:wsil 解压稀码:pico@4008886688

3、“诓骗病毒”阐收申报

       研收人员第一韶光拿到病毒样本,日以继夜、散开攻坚,对病毒遏制了深化、透辟的研究,且连尽跟进病毒最新静态。5月15日,最新"诓骗病毒” 研究阐收申报出炉,得到宽峻身手突破!申报隐现,WannaCry回支诓骗硬件常睹的AES + RSA要收减稀文件,数据可可规复的症结正在于WannaCry对本文件的处理要收。以下附申报齐文,供身手大年夜牛交流。

本申报具体阐收了其减稀流程,并批驳辩讲了文件规复的可以也许性,翻开了WannaCry的奇妙里纱。

逝世成减稀利用的稀钥

逝世成一对rsa2048公公钥
公钥保管到00000000.pky
公钥用内置的rsa2048公钥减稀保管到00000000.eky

扫描方针文件

1.扫描磁盘文件战略
       尾先,扫描桌里、My Documents等文档路子。

\


      然后,扫描统统盘符

\


2.利用Windows API扫描指定目录

\


3.利用文件后缀标识表记标帜文件范例,统共文件分黑6种范例

\


注:以下是病毒重要减稀的文件范例

4.分散文件范例和文件大小确定文件的处理要收

减稀方针文件

1. 可真止文件.exe战.dll,没有真止任何操做。

2.对要减稀且小于200M的文件范例逝世成.WNCRY
利用AES128遏制减稀,减稀后的数据写进。WNCRYT暂时文件,完成后再挪用MoveFile api移动成.WNCRY文件。

\


3. 大年夜于200M的文件逝世成.WNCYR
文件头0x10000字节复制一份增减到末端, 文件头0x10000字节浑0, 写进减稀文件头;再由.WNCYR逝世成. WNCRY文件

\  


4 .WNCRY文件机闭
struct
{
DWORD64 sig;                           //WANACRY!
DWORD rsa_enc_size;
BYTE rsa_enc[rsa_enc_size];          // 减稀的内容是随机逝世成的16字节的aes稀钥
DWORD type;                            //即是4
DWORD64 file_size;
         BYTE aes_enc[file_size_padded];
}
rsa_enc是由00000000.pky中的公钥减稀过的aes稀钥

5. 本文件删除战略
闭于症结路子的文件,利用CryptGenRandom逝世成随机数据,挖充到本文件然后删除。

1495006418980735.jpg

\


闭于其他路子的文件,可以也许是直接删除文件。

1495006464294704.jpg


文件减稀流程图

\


整体往讲,WannaCRY经过过程文件后缀名剖断文件范例,针对小于200M的上表列出的.doc .xls .zip等常睹文档,直接利用AES128遏制减稀,逝世成.WNCRY文件,AES Key利用RSA公钥减稀后保管正在WNCRY文件头部。

闭于大年夜于200M的统统文件,先用简朴算法逝世成.WNCYR文件,再利用上文讲到的要收把.WNCYR文件逝世成.WNCRY文件。闭于本文件的删除可以也许会先覆盖本文件内容再遏制删除。

消弭卷影

\


正在某些状态下可以也许果为出有充沛的权限,卷影删除得利。

总结

       桌里、我的文档目录的统统本文件皆被挖充了随机数据后删除,那部门数据被规复的可以也许性异常小,据其减稀要收,可经过过程规复巨匠“永远之蓝”专建版利用卷影副本数据遏制规复。其他目录的文件可以也许检验检验利用浅显的文件规复要收。

4、实时吸应 自动应对

       做为国内电子数据与证龙头企业,汇散空间安稳专家,成都数据规复将连尽跟进病毒最新静态,将往将连尽实时推出有用的应对希图,为打击汇散犯功进献力量。


标签:0 
相关评论
不良信息举报中心成都网警网警110报警服务AAA级互联网行业信用360网站安全检测

数据恢复QQ交流群:378664983    站长QQ:958754010

蜀ICP备14015947号-2