作者lawrence99 (最近天氣變冷了)
看板AntiVirus
標題Re: [情報] WanaCrypt0r 2.0 大規模攻擊漏洞系統
時間Sun May 14 13:05:47 2017
想請教 imasa 大大
目前我已關掉多項服務, netbios 也關了
跑您整合的程式出現下列訊息
https://img.kekeke.cc/t/xiwxrxTgbg.png
(不知是否跟我關掉太多服務相關)
然後我跑 netstat -n -a
結果如下,沒有看到 445 ,這樣是否暫且安全了呢?
https://img.kekeke.cc/t/xiwyCNfCds.png
https://img.kekeke.cc/t/xiwBf9oYls.png
再麻煩 imasa 大幫忙看看,謝謝 :)
※ 引述《imasa (便當俠)》之銘言：
: ※ 引述《imasa (便當俠)》之銘言：
: : 有興趣的人可以看看
: : http://roger6.blogspot.tw/2017/05/wanacrypt0r-20-eternalblue-ms-17-010.html
: : 在此就先不浪費篇幅在這post了
: : 推 bignose0623: 想請問如何知道電腦有無中獎？在檔案尚未察覺被加密 05/13 05:28
: : → bignose0623: 前，感謝 05/13 05:28
: 這裡有偵測的script下載
: https://github.com/countercept/doublepulsar-detection-script
: 或者你也可以下載我改寫後打包起來的程式來偵測:
: v1.06
: https://mega.nz/#!aQQWEDAA!BuzKVICsuslIGEjgYRyV8gjxnaopivDV_13H0sUIqEE
: 備用載點:
: https://www.mediafire.com/?jiph1b52d3uuwei
: 執行前請確認檔案有無被偷改過
: v1.06 File Info
: Executable File SHA1: 3DE8A176F3A8EC4AA33C1DA6B5EB18DFEBDFDEBF
: Executable File Size: 9,248,968 Bytes
: 檢查自己機器時，左鍵點兩下程式就可以了 (XP除外)
: 下面是程式執行後的偵測結果
: 現在會直接掃描電腦是否有安裝相關的的 MS17-010 KB
: KB號碼參考同討論串其他網友分享的ID
: 尚未被攻擊:
: 顯示 No presence of DOUBLEPULSAR SMB implant
: http://imgur.com/bhha3st
: 被攻擊成功:(WanaCrypt0r可能已進行加密中或潛伏期)
: http://imgur.com/BXFTu8G
: 按照我前文的內容把SMBv1協定關閉時
: 顯示 This machine has already closed SMBv1 protocol
: 這是我自己加的、原本的script沒有這段，會跳exception
: 這是win7的範例圖
: http://imgur.com/vxjHIth
: winXP的範例圖
: http://imgur.com/wCqEQzJ
: 偵測程式的其他用法請參考原始script的說明
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 111.83.1.106
※ 文章網址: https://www.ptt.cc/bbs/AntiVirus/M.1494738353.A.305.html
→ zaji: 請問更新KB4019264成功 KB4019112失敗 有關係嗎? 05/14 13:24
→ lawrence99: 是那個 3,4 月 5 月彙整套件嗎? 只要裝 5 月的就行 05/14 13:27
推 abramtw: 是安全了 05/14 13:28
→ RozenMaiden: KB4019264有裝成功就好 05/14 13:31
推 w30701: 問個笨問題，關閉smb之後還能上網嗎？ 05/14 13:31
→ lawrence99: 沒有影響哦 @@ 我都還用的好好的 05/14 13:33
推 abramtw: 可以啦 只是你的芳鄰會消失而已 05/14 13:33
→ w30701: 謝謝大大們解說，成功更新後也沒偵測到中毒，所以可以把sm 05/14 13:35
→ w30701: b給打開了是嗎？ 05/14 13:35
→ lawrence99: 你還需要用到網芳嗎? 若沒有就暫且關了吧,不知何時會 05/14 13:36
→ lawrence99: 有變種病毒出來 05/14 13:36
→ abramtw: 現在開是不會中2.0 但難保3.0後天上市喔 05/14 13:37
→ Risedo: 445我win7怎樣都關不掉 05/14 14:34
推 kenji1111: 請問安裝KB4019264後還需要去看445 port或regedit嗎? 05/14 15:16
→ lawrence99: 檢查一下 445 很快 05/14 15:25
推 abram: 建議是都做 沒有副作用 更安全 05/14 15:26
推 godbirdman: win7 445也是關不掉 其他更新倒是都可安裝成功 05/14 15:27
推 kenji1111: 445只能用防火牆檔嗎? 05/14 15:48
→ qama: 請問win7到regedit清掉TransportBindName和創造SMB1為0 05/14 15:51
→ qama: 但是用netstat -n -a看445是listening，這樣是安全的嗎？ 05/14 15:51
→ qama: 還是說防火牆的TCP和UDP也要把445關掉呢？謝謝@@ 05/14 15:51
→ qama: 我的硬體太新，但是沒有灌到WIN10，結果更新不讓我更新@@ 05/14 15:52
