关于防范电脑感染勒索病*的通知
各部门，校园网用户：
近期国内多所院校（包括我校部分单位）出现ONION勒索软件感染情况，磁盘文件会被病*加密为.onion后缀，该勒索软件是此前活跃的勒索软件Wallet的一类变种，运用了高强度的加密算法难以破解，被攻击者除了支付高额赎金外，往往没有其他办法解密文件，只有支付高额赎金才能解密恢复文件，对学习资料和个人数据造成严重损失。
根据网络安全机构通报，这是不法分子利用NSA黑客武器库泄漏的“永恒之蓝”发起的病*攻击事件。如果电脑感染勒索病*，重要文件被加密，类似下图所示。
经过初步调查，此类勒索病*利用了基于端口传播扩散的SMB漏洞，部分学校感染台数较多，大量重要信息被加密，只有支付高额的比特币赎金才能解密恢复文件，损失严重。远程利用代码和4月14日黑客组织ShadowBrokers（影子经纪人）公布的EquationGroup（方程式组织）使用黑客工具包有关。其中的ETERNALBLUE模块是SMB漏洞利用程序，可以攻击开放了端口的Windows机器，实现远程命令执行。微软在今年3月份发布的MS17-补丁，修复了ETERNALBLUE所利用的SMB漏洞。目前基于ETERNALBLUE的多种攻击代码已经在互联网上广泛流传，除了捆绑勒索病*，还发现有植入远程控制木马等其他多种远程利用方式。
根据安全公司的统计，目前国内平均每天有不低于台机器遭到基于ETERNALBLUE的远程攻击，并且攻击规模还有进一步扩大趋势。
此次利用的SMB漏洞影响以下未自动更新的操作系统：
WindowsXP／Windows／Windows
WindowsVista／WindowsServer／WindowsServerR2
Windows7／Windows8／Windows10
WindowsServer／WindowsServerR2／WindowsServer
个人预防措施：
1.未升级操作系统的处理方式（不推荐，临时缓解）：
启用并打开“Windows防火墙”，进入“高级设置”，在入站规则里禁用“文件和打印机共享”相关规则。
2.升级操作系统的处理方式（推荐）：
建议广大师生使用自动更新升级到Windows的最新版本。对于Win7及以上版本的系统确认是否安装了MS17-补丁，如没有安装则受威胁影响。Win7以下的WindowsXP/目前没有补丁，只要开启SMB（即：文件和打印机共享）服务就受影响，该服务系统默认是开启的。
学校缓解措施：
1.信息中心原有安全策略已在校园网各运营商出口及数据中心边界禁止外网访问有关的SMB共享端口（///）。
2.为降低安全风险，现已在核心交换（网关）上禁止VLAN间（我校主要以部门为单位划分不同VLAN，即网段）的SMB共享端口（///）的访问连接，这样会导致不同VLAN间不能使用文件和打印共享，VLAN内不受影响，但同样VLAN内的病*传播也无法阻止。
建议加固措施：
1.及时升级操作系统到最新版本；
2.勤做重要文件非本地备份；
3.停止使用WindowsXP、Windows等微软已不再提供安全更新的操作系统。
参考链接：