В свете текущих новостей решил задать вопрос по теме того, как обезопасить свой компьютер от популярного wcrypt (Wanna Cry/Wana Decrypt0r). У кого есть данные по этой теме?
-
geektimes.ru/post/289115– Visman13 мая 2017 в 10:37
-
1скачайте с сайта мелкософта kb4012212 только свое 64 или 86 и установите, если у вас автоматически вставляться обновление то посмотрите обновление установлено или нет вышло оно в марте 2017 года.– kokik15 мая 2017 в 11:54
-
1А если оно у вас не установлено и не устанавливается - значит у вас не древняя семерка, которая вышла 8 лет назад, а что-то посвежее.– user17722116 мая 2017 в 10:45
2 ответа
Обновление Windows MS17-010
Вирус использует эксплоит ETERNALBLUE, которую закрывает выпущенное в марте обновление безопасности Microsoft MS17-010. Рекомендую проверить в центре обновления наличие такого обновления (по коду) на вашем компьютере (например, код для Windows 7 будет KB4012212 или KB4012215, или любой другой ежемесячный набор исправлений качества системы безопасности начиная с мартовского (2017 год)).
Если обновления не установлены, скачать их можно с официального сайта Microsoft:
https://technet.microsoft.com/en-us/library/security/ms17-010.aspx
Для старых систем (Windows XP, Windows Server 2003R2) Microsoft выпустил специальные патчи:
https://blogs.technet.microsoft.com/msrc/2017/05/12/customer-guidance-for-wannacrypt-attacks/
Закрываем порты 135 и 445
По отчетам антивирусных компаний, wcrypt проникает на компьютеры через порты SMB (Server Message Block). Для предотвращения проникновения, блокируем порты 135 и 445, через которые проникает вирус (в большинстве случаев они не используются обычными пользователями).
Для этого открываем консоль с правами администратора (cmd.exe -> запуск от имени администратора). И выполняем в ней поочередно 2 команды (после каждой команды должен быть статус OK)
netsh advfirewall firewall add rule dir=in action=block protocol=TCP localport=135 name="Block_TCP-135"
netsh advfirewall firewall add rule dir=in action=block protocol=TCP localport=445 name="Block_TCP-445"
Отключение поддержки SMBv1
Уязвимость также можно закрыть, полностью отключив поддержку SMBv1. Для этого достаточно выполнить следующую команду в командной строке запущенной от имени Администратора (для Windows 8 и выше):
dism /online /norestart /disable-feature /featurename:SMB1Protocol
Обнаружение антивирусами
Список антивирусов, которые по данным Virus Total от 17.05.2017 обнаруживают wcrypt:
-
Я ось ставил в апреле. Ни одно из обновлений не присутствует. Скачать kb4012215 и поставить руками нельзя - "обновление не применимо к данному компьютеру". Выключить SMB1Protocol нельзя - "Error: 0x800f080c Имя компонента "SMB1Protocol" неизвестно Имя компонента Windows не распознано."– vitidev13 мая 2017 в 10:57
-
1
-
@vitidev kb4012215 - это апдейт для 7-ки.– user17722113 мая 2017 в 20:30
-
@PashaPash У меня она и есть. В итоге поставилось 12212 и это при том, что обновление включено.– vitidev13 мая 2017 в 23:20
-
А касперский бы помог? Или антивирус был бы тут бесполезен?– user20891616 мая 2017 в 13:47
Расскажу как я избавился от шифровальщиков в нашей корпоративной сети.
У нас в фирме около 1000 хостов и периодически компьютеры заражались шифровальщиками. И если корпоративную почту мы защитили, шифровальщики все равно устанавливались через личную почту или веб ресурсы.
Решение очень простое в групповых политиках "Конфигурация компьютера/конфигурация windows/Параметры безопасности/Политики ограниченного использования программ/Дополнительные правила" выставляем все пути через которые могут запускаться программы (programm files, Windows...). В назначенные типы файлов удаляем ярлыки и добавляем JS которых по дефолту почему то нет. И все. Эта политика была применена задолго до эпидемий Wanna Cry/Wana Decrypt0r и с тех пор ни одного заражения.
p.s. и конечно пользователи не должны сидеть под админом, ровно как и админы.