勒索病毒WannaCry 2.0变种专杀工具 360最新版

周一开机指南

第一步：

个人用户在断网状态下，在C:\Windows\System32\drivers\etc\hosts中手动加入如下文字：

“www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com 220.181.57.217”（不带引号）

原理很简单，把地址解析到百度网站上，欺骗病毒认为成功连接上服务器，从而达到免疫灭活目的。

而对于公司用户则更加方便，只要网管人员先在隔离网中建立免疫域名，搭建内部解析服务。可以通过在内部网络搭建DNS Server，将www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com域名地址解析到内网WEB Server的IP地址，同时WEB Server接受该域名的连接请求，从而实现免疫。那么连接到公司的所有电脑都能实现免疫效果，快捷简单。

第二步：

当然这仅仅是前期避免感染病毒做法，免疫成功后还是需要及时打补丁，修复SMB漏洞，避免新变种病毒有机可乘，可以使用诸如360 NSA武器库免疫工具、瑞星“永恒之蓝”免疫工具。之所以推荐这类型工具，因为简单易操作，一键即可以完成相关操作，方便了很多什么都不懂的电脑小白。如果你动手能力强，也可以自行操作（开启系统防火墙、创建新规则禁用相关445网络端口），这里就不详细说明了。

WannaCry攻击流程

勒索病毒被漏洞远程执行后，会从资源文件夹下释放一个压缩包，此压缩包会在内存中通过密码：WNcry@2ol7解密并释放文件。这些文件包含了后续弹出勒索框的exe，桌面背景图片的bmp，包含各国语言的勒索字体，还有辅助攻击的两个exe文件。这些文件会释放到了本地目录，并设置为隐藏。

其中u.wnry*就是后续弹出的勒索窗口。

窗口右上角的语言选择框，可以针对不同国家的用户进行定制的展示。这些字体的信息也存在与之前资源文件释放的压缩包中。

通过分析病毒，可以看到，以下后缀名的文件会被加密：docx.docb.docm.dot.dotm.dotx.xls.xlsx.xlsm.xlsb.xlw.xlt.xlm.xlc.xltx.xltm.ppt.pptx.pptm.pot.pps.

以图片为例，查看电脑中的图片，发现图片文件已经被勒索软件通过Windows Crypto API进行AES+RSA的组合加密。并且后缀名改为了*.WNCRY

此时如果点击勒索界面的decrypt，会弹出解密的框。

115p7UMMngoj1pMvkpHijcRdfJNXj6LrLn

12t9YDPgwueZ9NyMgw519p7AA8isjr6SMw

13AM4VW2dhxYgXeQepoHkHSQuy6NgaEb94。

作者目前是通过这三个账号随机选取一个作为钱包地址，收取非法钱财。

相关资讯

国内多家单位遭病毒攻击

5月12日晚，WannaCry勒索病毒在全球多个国家蔓延，国内多所高校的网络遭受到勒索病毒的攻击，大量学生毕业论文等重要资料被病毒加密，只有支付赎金才能恢复。

昨日，北青报记者了解到，受到该病毒影响的不仅仅是校园网，还包括部分企事业单位。

据一名中国联通郑州分公司的工作人员称，5月14日，因为受到比特币勒索病毒的影响，单位电脑全部瘫痪。

5月13日，响水公安局出入境办事处发布消息称，因公安网遭遇新型病毒攻击，暂时停办出入境业务，具体恢复时间等待通知。

“弄了一宿，数据也没有恢复过来。”昨天，山东的一名民警告诉北青报记者，受到勒索病毒影响，单位存储资料的电脑被锁定，学习计算机专业的他最终也只能束手无策。

中石油部分加油站受影响

同样受影响的还有中国石油加油站。昨日，中国石油在其官网中发布公告称，5月12日22点30分左右，因全球比特币勒索病毒爆发，公司所属部分加油站正常运行受到波及。病毒导致加油站加油卡、银行卡、第三方支付等网络支付功能无法使用。不过，加油及销售等基本业务运行正常，加油卡账户资金安全不受影响。

昨日下午，北青报记者与北京地区五个中国石油加油站取得了联系。

其中中国石油首汽12号加油站的工作人员表示，13日起，因为受到新型病毒的影响，加油站的手机支付、加油卡支付等多种支付方式均受到影响，虽然上午进行了紧急抢修，但仍存在网络不稳定的情况。中国石油国门加油站的工作人员告诉北青报记者，截至下午4点，国门加油站仍只接受现金支付或国门加油站的加油卡支付费用。

中国石油昨天下午表示，根据现场验证过的技术解决方案，开始逐站实施恢复工作。80％以上加油站已经恢复网络连接，受病毒感染的加油站正在陆续恢复加油卡、银行卡、第三方支付功能。

中国石油大湖山庄西南、中国石油东鹏加油站、中国石油京顺加油站的工作人员告诉北青报记者，已经在中午前恢复了手机支付和加油卡支付的功能。

病毒传播一度被意外拦阻

来自英国的消息似乎为战胜勒索病毒带来了一丝希望。

英国媒体13日报道，一名22岁的英国网络工程师12日晚注意到，这一勒索病毒正不断尝试进入一个极其特殊、尚不存在的网址，于是他顺手花8.5英镑（约合75元人民币）注册了这个域名，试图借此网址获取勒索病毒的相关数据。

令人不可思议的是，此后勒索病毒在全球的进一步蔓延竟然得到了阻拦。

这名工程师和同事分析，这个奇怪的网址很可能是勒索病毒开发者为避免被网络安全人员捕获所设定的“检查站”，而注册网址的行为无意触发了程序自带的“自杀开关”。

也就是说，勒索病毒在每次发作前都要访问这个不存在的网址，如果网址继续不存在，说明勒索病毒尚未引起安全人员注意，可以继续在网络上畅行无阻；而一旦网址存在，意味着病毒有被拦截并分析的可能。

在这种情况下，为避免被网络安全人员获得更多数据甚至反过来加以控制，勒索病毒会停止传播。

勒索病毒已经出现新变种

意外拦阻勒索病毒的英国网络工程师和一些网络安全专家都表示，这种方法目前只是暂时阻止了勒索病毒的进一步发作和传播，但帮不了那些勒索病毒已经发作的用户，也并非彻底破解这种勒索病毒。

他们推测，新版本的勒索病毒很可能不带这种“自杀开关”而卷土重来。这种推测果然很快成为现实。

昨天国家网络与信息安全信息通报中心紧急通报：监测发现，在全球范围内爆发的WannaCry勒索病毒出现了变种：WannaCry 2.0， 与之前版本的不同是，这个变种不能通过注册某个域名来关闭变种勒索病毒的传播，该变种传播速度可能会更快。