Petya敲詐者病毒補丁

Petya敲詐者病毒補丁是一個用于修復最近感染非常嚴重的勒索病毒Petya漏洞的補丁，最近全球范圍內的pc大面積的感染了一種名為Petya的勒索病毒，這個病毒是通過永恒之藍漏洞傳播的，上次沒有感染wannacry病毒的用戶如果還沒有打補丁，很有可能感染上這次的Petya敲詐者病毒。如果你想要保護電腦安全可以來西西下載這個Petya敲詐者病毒。

病毒介紹：

據莫斯科的網絡安全公司Group-IB透露，目前為止，僅俄羅斯和烏克蘭兩國就有80多家公司被Petya病毒感染，這種病毒鎖住了大量的電腦，要求用戶支付300美元的加密數字貨幣才能解鎖。Group-IB還稱，許多電信運營商和零售商也遭到了此新病毒的攻擊，該病毒傳播方式與今年5月爆發的WannaCry病毒非常相似。

（Petya勒索病毒感染國內企業）

騰訊電腦管家稱已緊急響應，并確認了病毒樣本通過永恒之藍漏洞傳播。其軟件可以防御petya勒索病毒，還可全面防御所有已知的變種和其他勒索病毒；此外，漏洞檢測能力也得到升級，加入了NSA武器庫的防御，可以抵御絕大部分NSA武器庫泄漏的漏洞的攻擊。

病毒分析：

根據分析結果，病毒樣本運行之后，會枚舉內網中的電腦，并嘗試在445等端口使用SMB協議進行連接。

深入分析發現，病毒連接時使用的是“永恒之藍”（EternalBlue）漏洞，此漏洞在之前的WannaCry勒索病毒中也被使用，是造成WannaCry全球快速爆發的重要原因之一，此次Petya勒索病毒也借助此漏洞達到了快速傳播的目的。

同時，病毒會修改系統的MBR引導扇區，當電腦重啟時，病毒代碼會在Windows操作系統之前接管電腦，執行加密等惡意操作。

電腦重啟后，會顯示一個偽裝的界面，此界面實際上是病毒顯示的，界面上假稱正在進行磁盤掃描，實際上正在對磁盤數據進行加密操作。

當加密完成后，病毒才露出真正的嘴臉，要求受害者支付價值300美元的比特幣之后，才會回復解密密鑰。

這個加密流程與2016年起出現的Petya勒索病毒的流程相似，twitter上也有安全人員確認了二者的相似關系。但是不同的是，之前的Petya病毒要求訪問暗網地址獲取解密密鑰，而此次爆發的病毒直接留下了一個Email郵箱作為聯系方式。

Petya病毒應急指南：

不要輕易點擊不明附件，尤其是rtf、doc等格式，可以安裝360天擎（企業版）和360安全衛士（個人版）等相關安全產品進行查殺。

及時更新windows系統補丁，具體修復方案請參考“永恒之藍”漏洞修復工具。

內網中存在使用相同賬號、密碼情況的機器請盡快修改密碼，未開機的電腦請確認口令修改完畢、補丁安裝完成后再進行聯網操作。

360企業安全天擎團隊開發的勒索蠕蟲漏洞修復工具，可解決勒索蠕蟲利用MS17-010漏洞帶來的安全隱患。此修復工具集成免疫、SMB服務關閉和各系統下MS17-010漏洞檢測與修復于一體?？稍陔x線網絡環境下一鍵式修復系統存在的MS17-010漏洞，工具下載地址：http://b.#/other/onionwormfix

緩解措施

關閉TCP 135端口

建議在防火墻上臨時關閉TCP 135端口以抑制病毒傳播行為。

停止服務器的WMI服務

WMI（Windows Management Instrumentation Windows 管理規范）是一項核心的 Windows 管理技術 你可以通過如下方法停止 ：在服務頁面開啟WMI服務。在開始-運行，輸入services.msc，進入服務?；蛘?，在控制面板，查看方式選擇大圖標，選擇管理工具，在管理工具中雙擊服務。

在服務頁面，按W，找到WMI服務，找到后，雙擊 ，直接點擊停止服務即可，如下圖所示：

2.阿里云

目前勒索者使用的郵箱已經被關停，不建議支付贖金。

所有在IDC托管或自建機房有服務器的企業，如果采用了Windows操作系統，立即安裝微軟補丁。

對大型企業或組織機構，面對成百上千臺機器，最好還是使用專業客戶端進行集中管理。比如，阿里云的安騎士就提供實時預警、防御、一鍵修復等功能。

可靠的數據備份可以將勒索軟件帶來的損失最小化。建議啟用阿里云快照功能對數據進行備份，并同時做好安全防護，避免被感染和損壞。

3.騰訊電腦管家

騰訊電腦管家已緊急響應，并已經確認病毒樣本通過永恒之藍漏洞傳播，開啟騰訊電腦管家可以防御petya勒索病毒，還可全面防御所有已知的變種和其他勒索病毒；此外，漏洞檢測能力也得到升級，加入了NSA武器庫的防御，可以抵御絕大部分NSA武器庫泄漏的漏洞的攻擊。

4.安天

影響操作系統：“必加”（Petya）勒索軟件影響操作系統：Windows XP及以上版本；

如未被感染

郵件防范

由于此次“必加”（Petya）勒索軟件變種首次傳播通過郵件傳播，所以應警惕釣魚郵件。建議收到帶不明附件的郵件，請勿打開；收到帶不明鏈接的郵件，請勿點擊鏈接。

更新操作系統補?。∕S）

https://technet.microsoft.com/en-us/library/security/ms17-010.aspx

更新Microsoft Office/WordPad遠程執行代碼漏洞（CVE-2017-0199）補丁

https://technet.microsoft.com/zh-cn/office/mt465751.aspx

禁用WMI服務

禁用操作方法：https://zhidao.baidu.com/question/91063891.html

更改空口令和弱口令

如操作系統存在空口令或弱口令的情況，請及時將口令更改為高強度的口令。

免疫工具

安天開發的“魔窟”（WannaCry）免疫工具，針對此次事件免疫仍然有效。

下載地址：http://www.antiy.com/tools.html

如已被感染

如無重要文件，建議重新安裝系統，更新補丁、禁用WMI服務、使用免疫工具進行免疫。

有重要文件被加密，如已開啟Windows自動鏡像功能，可嘗試恢復鏡像；或等待后續可能出現解密工具。