当前位置首页通知公告 关于 WnsrvMiner 新型挖矿病毒预警

网站导航

联系方式

联系电话

故障报修:66666

数字化平台维护:65697

网站、服务器维护:62175

一卡通维护:63235

无线网维护:62850

投诉电话:67778

关于 WnsrvMiner 新型挖矿病毒预警

文章作者:  发布时间:2018-09-17  浏览次数:4761

 

一、 概要

近期,出现一种利用永恒之蓝漏洞的新型病毒(WmSrvMiner)。该病毒在主机中伪装为 svchost.exe,通过感染主机设备进行挖矿,主要表现为异常卡顿,严重影响主机性能和业务正常运行。由于该病毒集成多种病毒模块,查杀难度较高,极易导致内网横向传播扩散。目前,据第三方机构推测,感染主机数量超过 15 万。

请涉及威胁的用户根据自身业务情况,采取防护措施。

二、威胁级别

威胁级别:【严重】

(说明:威胁级别共四级:一般、重要、严重、紧急。)

三、影响范围

开启了 135、139、445 端口 SMB 网络共享协议的 Windows 系统(包括个人版和服务器版)。

四、影响范围

排查方法:

1. 检查系统是否安装了最近系统漏洞补丁包;

2. 检查系统是否开启了 445 端口的 SMB 网络共享协议,或者不必要的共享端口;

3. 检查内网是否有主机访问恶意链接(103.55.13.68:13333);

4. 检查系统是否存在异常运行的 svchost.exe;

5. 检查系统 C:\Windows\security\IIS 文件目录是否存在永恒之蓝(Eternalblue.dll)、永恒浪漫 (mance.exe) 等攻击程序。

处置方案:

1. 隔离感染主机:已中毒计算机尽快隔离,关闭所有网络连接,禁用网卡;

2. 切断传播途径:关闭潜在终端的 445 等网络共享端口,关闭异常的外联访问;

3. 查找攻击源,确认感染数量:手工抓包分析或借助态势感知类产品分析,确认全网感染数量;

4. 使用专业的第三方反病毒软件, 升级最新病毒库并查杀病毒;

5. 在网络出口封堵恶意链接(103.55.13.68:13333)访问,阻止恶意程序下载攻击组件;

6. 提高密码难度:如果主机账号密码为简单密码,建议重置高强度的密码。

五、安全建议

1. 不从不明网站下载相关的软件,不要点击来源不明的邮件以及附件;

2. 及时给电脑打补丁,修复漏洞;

3. 修改密码:设置主机账号密码为高强度的密码;

4. 对重要的数据文件定期进行非本地备份;

5. 安装专业的第三方反病毒软件;

6. 关闭不必要的文件共享权限以及关闭不必要的端口,如: 135、139、445 等。

注意:修复漏洞前请将资料备份,并进行充分测试。

 


现代教育技术中心

2018-09-17

徐州工业职业技术学院 现代教育技术中心 ICP备06020539号

数字校园| 用户指南| 故障解答| 下载中心