勒索軟體WanaCrypt0r 2.0防止感染處理設定及解決相關方式 KB4012598

WanaCrypt0r 2.0這個綁架病毒是針對 Windws 作業系統的SMB來攻擊，是針對SMB的445 port漏洞來攻擊，這類病毒發作是2017年05月12周五當天發作，下午五點多正當每個人資料做完就被下班的時候，就有客人來電，電腦怎麼一直跳出不明的視窗，而且很多的檔案都打不開，經到場確認，其中三台是完完全全沒有在上網及收信的只有區網傳輸資料的也中一開始小編也認為那可能就是隨身碟了，但隔了一天，發現結果並不是隨身碟，是Windows的漏動......還好客人之前有要我做備份程式（每天中午自動備份資料）到當天中午前資料在備份硬碟都還在

自動備份是什麼呢？請點我了解

而且聽說台灣都成為受災第二慘的地區（排第一是俄羅斯）。而且真的就算沒有亂點郵件、亂看網站都一樣會中招，也被網友查出，這款勒索病毒是藉由直接攻擊 Windows 的系統漏洞，才能有如此「成績」

目前已知中毒後會被加密的檔案如下

  • Commonly used office file extensions (.ppt, .doc, .docx, .xlsx, .sxi).
  • Archives, media files (.zip, .rar, .tar, .bz2, .mp4, .mkv).
  • Emails and email databases (.eml, .msg, .ost, .pst, .edb).
  • Database files (.sql, .accdb, .mdb, .dbf, .odb, .myd).
  • Developers’ sourcecode and project files (.php, .java, .cpp, .pas, .asm).
  • Encryption keys and certificates (.key, .pfx, .pem, .p12, .csr, .gpg, .aes).
  • Graphic designers, artists and photographers files (.vsd, .odg, .raw, .nef, .svg, .psd).
  • Virtual machine files (.vmx, .vmdk, .vdi).

WannyCry 病毒的中毒及感染特徵會將上述格式所有的檔案加密為 .WNCRY 檔案格式，檔案加密後會彈出紅色視窗要求支付贖金，而且平均每十五秒會持續偵測視窗的存在性，如果使用者關閉該中毒視窗，一樣會一直跳出視窗提醒及持續感染所有未被染感的檔案（所以當一發現下列視窗，第一時間強制關閉電腦，並拔除網路線，然後通知小編備份及救援看資料存在情況）。

中毒後電腦會一直跳出下列視窗

中毒後您電腦的桌布會顯示出下列視窗

注意：請確定您的網路線一定要在發現中毒時馬上拔除網路線，並強制關閉電腦主機，避免在感染別台電腦

有關於微軟的相關補丁，在官網（點我連結）這也能找到，以下是小編分類出來方便更新。

而官網上停止支援的WindowsXP SP2 SP3及Windows Server 2008、Windows Vista、Windows Server 2003,Windows Server 2003, Datacenter Edition、 Windows XP Embedded、也能抓的到補丁KB4012598。


◎拔除網路線並檢查電腦有無中了該款病毒，如果防毒軟體或在工作管理員有看到tasksche.exe 或 mssecsvc.exe的處理方式

請將作業系統445連接埠(port)關閉，操作方式如下：請由以下連結下載批次檔 BLOCK.ZIP，解壓縮後在批次檔按右鍵以系統管理員身分執行，執行完成即可關閉連接埠(Win7以上版本適用)。

點此下載關Port連接埠（下載後解壓縮後執行）

以下是目前市面上常用的系統，教您一步一步操作並防範，請選擇您目前正在使用的電腦作業系統

Windows 7

Windows 8

Windows 10

Windows XP

Windows 7 32位元及64位元更新檔下載（包含 KB4012215、KB4015549、KB4019264）


Windows 7 x64
Windows 7 x64 64位元

Windows 7 x32
Windows 7 x86 32位元

下載完畢後直接執行安裝，當安裝完直接重新開機即可

萬一安裝過程出現0x80070422錯誤

安裝更新出錯0x80070422訊息，請點這裡解決

然後接著將SMB關閉

先開啟一個筆記本，將下列虛線內的文字復製，然後另存新檔在檔案類型選擇『所有檔案』檔案名稱打上CLOSESMB.REG後存檔，然後執行您剛存檔的CLOSESMB登錄檔後按『是』（然後電腦記得重新開機就完成了）

可以直接按這裡下載後執行合併登錄即可

==================================================

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\LanmanServer\Parameters]
"SMB1"=dword:00000000

==================================================

Windows 8 及8.1 32位元及64位元更新檔下載（8.1包含KB4012216、KB4015550、KB4019215）

Windows 8.1 x64
Windows 8.1 64位元下載

Windows 8.1 x86
Windows 8.1 32位元下載

Windows 8 x64
Windows 8 x64 (KB4012598)

Windows 8 x86
Windows 8 x86 (KB4012598)

安裝更新出錯0x80070422訊息，請點這裡解決

Windows 8 另外一項處理方式（下列的指令建議直接用復製、貼上方式會比較快）

1.至command開始工作視窗，點選所有程式→找系統管理工具在上面按右鍵選擇系統管理員執行

2. 執行 set-ExecutionPolicy Unrestricted ，輸入 Y →下圖圈一

3. 執行 set-SmbServerConfiguration -EnableSMB1Protocol $false，輸入 Y→下圖圈二

4.最後用這個指令來檢查，如下圖就表示成功關閉SMB1服務→上圖圈三

get-SmbServerConfiguration | Select EnableSMB1Protocol, EnableSMB2Protocol

Windows 10 處理方式

（下列的指令建議直接用復製、貼上方式會比較快）

1.至command開始工作視窗，點選所有程式→找系統管理工具在上面按右鍵選擇系統管理員執行

2. 執行 set-ExecutionPolicy Unrestricted ，輸入 Y →下圖圈一

3. 執行 set-SmbServerConfiguration -EnableSMB1Protocol $false，輸入 Y→下圖圈二

4.最後用這個指令來檢查，如下圖就表示成功關閉SMB1服務→上圖圈三

get-SmbServerConfiguration | Select EnableSMB1Protocol, EnableSMB2Protocol

Windows xp sp3處理之方式

 

WindowsXP的話直接下載下列檔案後並執行安裝，安裝完畢後重新開機即可。

Windows XP x86 SP3 (KB4012598)

以上教學，不知您還有沒有不清楚的地方，如果還有疑問，可以來電或於下方留言喔~

===========================================

◎執行更新檔時候如果出現0x80070422的訊息之處理方式

錯誤原因：Software Protection service被停用或無法正常運行。
解決方式：啟動Software Protection service，設定啟動類型為＂自動（延遲開始）＂

在電腦按右鍵→選擇管理，如下圖 參考下圖，在電腦管理視窗裡選擇『服務』（下圖步驟1.）→後找到右方名稱 Software Protection service （下圖步驟2.）在該名稱上 Software Protection service 按右鍵→選內容後會跳出Software Protection service視窗，在啟動類型上選擇「[自動(延遲開始)]」（下圖步驟3.）後點啟動（下圖步驟4.）→然後按確定。>

===========================================

7個簡單的步驟來保護自己

目前，沒有WannaCry解密工具或任何其他解決方案可供使用，因此強烈建議用戶遵守預防措施以保護自己。
  • 保持系統最新：首先，如果您使用受支持但較舊版本的Windows操作系統，請保持系統更新，或者僅將系統升級到Windows 10。
  • 使用不支持的Windows操作系統？如果您使用不受支持的Windows版本，包括Windows XP，Vista，Server 2003或2008，請應用Microsoft發布的緊急修補程序。
  • 啟用防火牆：啟用防火牆，如果已經存在，請修改防火牆配置以阻止通過網絡或Internet訪問SMB端口。該協議在TCP端口137,139和445以及UDP端口137和138上運行。
  • 禁用SMB：按照Microsoft描述的步驟禁用服務器消息塊（SMB）。
  • 使您的防病毒軟件保持最新：病毒定義已被更新，以防止此最新的威脅。
  • 備份：要始終緊緊抓住所有重要的文件和文檔，請保持良好的備份例程，使其複製到外部存儲設備，並不總是連接到您的PC。
  • 小心網絡釣魚：始終懷疑發送電子郵件的未經請求的文檔，除非驗證來源，否則不要點擊這些文檔中的鏈接。

     

    不委外施工是我們從創業開始的一個公司原則，將您的設備及家交給我們規劃、施工，我們一直當做自己的家和自己的設備在施做，這樣的精神還會有做不滿意的工程嗎？除了技術．服務．品質外，我們要求的是最完美的整合，我們一直自我要求盡量讓客戶達到三不煩 哪三煩；怎麼都處理不好？那麼多設備還要找那麼多家廠商來處理！什麼時候要來處理？ 如果以上產品介紹還有疑問，歡迎您指教或來電詢問。