Меню
ГлавнаяЯндекс

Как защищаться от атаки вируса-шифровальщика «WannaCry. Про обновление Windows от вируса-шифровальщика WannaCry

Вирус-шифровальщик WannaCry , или Wana Decryptor , поразил десятки тысяч компьютеров по всему миру. Пока те, кто попал под атаку, ждут решения проблемы, еще не пострадавшим пользователям стоит использовать все возможные рубежи защиты. Один из способов избавить себя от вирусного заражения и защититься от распространения от WannaCry - это закрытие портов 135 и 445, через которые в компьютер проникает не только WannaCry, но и большинство троянов, бэкдоров и других вредоносных программ. Средств для прикрытия этих лазеек существует несколько.

Способ 1. Защита от WannaCry - использование Firewall

Firewall, также известный как брандмауэр, в классическом понимании - это стена, разделяющая секции построек для защиты их от пожара. Компьютерный брандмауэр работает похожим образом - он защищает компьютер, соединенный с интернетом, от лишней информации, фильтруя поступающие пакеты. Большинство firewall-программ можно тонко настроить, в т.ч. и закрыть определенные порты.

Видов брандмауэров существует множество. Самый простой firewall - это стандартный инструмент Windows, который обеспечивает базовую защиту и без которого ПК не продержался бы в «чистом» состоянии и 2 минуты. Сторонние брандмауэры - например, встроенные в антивирусные программы - работают гораздо эффективнее.

Преимущество брандмауэров в том, что они блокируют все подключения, которые не соответствуют указанному набору правил, т.е. работают по принципу «запрещено все, что не разрешено». Из-за этого при использовании firewall для защиты от вируса WannaCry скорее придется открывать нужные порты, чем закрывать ненужные. Убедиться в том, что брандмауэр Windows 10 работает, можно, открыв настройки программы через поиск и зайдя в дополнительные параметры. Если порты по умолчанию открыты, закрыть 135 и 445 можно, создав соответствующие правила через настройки брандмауэра в разделе входящих подключений.

Однако в некоторых случаях брандмауэром пользоваться невозможно. Без него обеспечить защиту от зловреда WannaCry будет сложнее, но закрыть самые очевидные дырки получится без особых затруднений.

Действенный способ защиты от Wana Descrypt0r проиллюстрирован на видео!

Способ 2. Блокируем распространение вируса с Windows Worms Doors Cleaner

Windows Worms Doors Cleaner - эта простая программа весит всего 50 КБ и позволяет закрыть порты 135, 445 и некоторые другие в один клик от вируса WannaCry.

Скачать Windows Worms Doors Cleaner можно по ссылке: http://downloads.hotdownloads.ru/windows_worms_doors_cleaner/wwdc.exe

Главное окно программы содержит перечень портов (135–139, 445, 5000) и краткую информацию о них - для каких служб используются, открыты они или закрыты. Рядом с каждым портом имеется ссылка на официальные положения службы безопасности Microsoft.

  1. Чтобы закрыть порты с помощью Windows Worms Doors Cleaner от WannaCry, нужно нажать на кнопку Disable.
  2. После этого красные кресты заменятся зелеными галочками, и появятся надписи, говорящие о том, что порты успешно заблокированы.
  3. После этого программу нужно закрыть, а компьютер - перезагрузить.

Способ 3. Закрытие портов через отключение системных служб

Логично, что порты нужны не только вирусам, таким как WannaCry - в нормальных условиях ими пользуются системные службы, которые большинству пользователей не нужны и легко отключаются. После этого портам незачем будет открываться, и вредоносные программы не смогут проникнуть в компьютер.

Закрытие порта 135

Порт 135 используется службой DCOM (Distributed COM) , которая нужна для связи объектов на разных машинах в локальной сети. Технология практически не используется в современных системах, поэтому службу можно безопасно отключить. Сделать это можно двумя способами - с помощью специальной утилиты или через реестр.

При помощи утилиты служба отключается так:

В системах Windows Server 2003 и старше нужно выполнить ряд дополнительных операций, но, поскольку вирус WannaCry опасен только для современных версий ОС, затрагивать этот момент нет смысла.

Через реестр порт от вирусной программы WannaCry закрывается следующим образом:

  1. 1. Запускается редактор реестра (regedit в окне «Выполнить»).
  2. 2. Ищется ключ HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Ole.
  3. 3. Параметр EnableDCOM меняется с Y на N.
  4. 4. Компьютер перезагружается.

Редактировать реестр можно только из-под учетной записи администратора.

Закрытие порта 445

Порт 445 используется службой NetBT - сетевым протоколом, который позволяет старым программам, полагающимся на NetBIOS API, работать в современных сетях TCP/IP . Если такого древнего ПО на компьютере нет, порт можно смело блокировать - это закроет парадный вход для распространения вируса WannaCry. Сделать это можно через настройки сетевого подключения или редактор реестра.

Первый способ:

  1. 1. Открываются свойства используемого подключения.
  2. 2. Открываются свойства TCP/IPv4.
  3. 3. Нажимается кнопка «Дополнительно…»
  4. 4. На вкладке WINS ставится флажок у пункта «Отключить NetBIOS через TCP/IP».

Сделать это нужно для всех сетевых подключений. Дополнительно стоит отключить службу доступа к файлам и принтерам, если она не используются - известны случаи, когда WannaCry поражал компьютер через нее.

Второй способ:

  1. 1. Открывается редактор реестра.
  2. 2. Ищутся параметры NetBT в разделе ControlSet001 системных записей.
  3. 3. Удаляется параметр TransportBindName.

То же самое следует сделать в следующих разделах:

  • ControlSet002;
  • CurrentControlSet.

После завершения редактирования компьютер перезагружается. Следует учитывать, что при отключении NetBT перестанет работать служба DHCP.

Заключение

Таким образом, чтобы защититься от распространения вируса WannaCry, нужно убедиться, что уязвимые порты 135 и 445 закрыты (для этого можно использовать различные сервисы) или включить брандмауэр. Кроме того, необходимо установить все обновления системы Windows. Чтобы избежать атак в будущем, рекомендуется всегда пользоваться свежей версией антивирусного ПО.

WannaCry (также известна как WannaCrypt, WCry, WanaCrypt0r 2.0 и Wanna Decryptor) — вредоносная программа, сетевой червь и программа-вымогатель денежных средств, поражающая только компьютеры под управлением операционной системы Microsoft Windows. Программа шифрует почти все хранящиеся на компьютере файлы и требует денежный выкуп за их расшифровку. Её массовое распространение началось 12 мая 2017 года — одними из первых были атакованы компьютеры в Испании, а затем и в других странах. Среди них по количеству заражений лидируют Россия, Украина и Индия. В общей сложности, от червя пострадало более 500 тысяч компьютеров, принадлежащих частным лицам, коммерческим организациям и правительственным учреждениям, в более чем 150 странах мира

Что надо сделать что бы защититься от вируса

1. Закрыть TCP-порты 1024-1035, 135 и 445.
2. Загрузить патч от Майкрософт, который закрывает уязвимость (через которую внедряется WannaCry)
3. Отключить протокол SMB v1 (по которому внедряется WannaCry)
4. Установить фаервол.

А теперь подробнее

1. Как закрыть TCP-порты 1024-1035, 135 и 445

Самый простой вариант - это завершить работу программ или служб, которые используют эти порты (можно сказать открывают). В первую очередь это порты 135-139, 445, Это можно сделать вручную, что требует определенных знаний и навыков. Чтобы немного упростить вам эту задачу мы рекомендуем использовать небольшую программку Windows Worms Doors Cleaner , объемом всего 50 kB. Скачав ее и запустив, вы увидите следующее окошко

Вам останется только нажать кнопки с надписью Disable и Close, после чего перезагрузить компьютер. В итоге все индикаторы должны быть зеленого цвета. Это будет означать, что порты 135-139, 445 и 5000 закрыты.

2. Как загрузить патч от Майкрософт, который закрывает уязвимость.

3. Как отключить протокол SMB v1


Способ первый

1. Вызвать командную строку. (Win + R)
2. Прописать команду "regedit" (появится окно с разделами слева).
3. Открыть следующий раздел: "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\LanmanServer\Parameters".
4. В окне справа нажать правую кнопку мыши, выбрать: "Создать" -> "Параметр DWORD (32 бита)".
5. Созданный файл переименовать в "SBM1".
6. Открыть этот файл, значения должны быть следующими: "Значение: 0", "Система исчисления: Шестнадцатеричная".
7. Нажать "ОК".
8. Перезагрузить компьютер.

Способ второй

1. Открыть "ПУСК".

2. В поиске прописать "powershell".
3. Запустить от имени админа.
4. Прописать в консоли следующую команду:

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" SMB1 -Type DWORD -Value 0 -Force

5. Нажать Enter.
6. Перезагрузить компьютер.

Антон Бочкарев , консультант по информационной безопасности «Инфосистемы Джет».

Если кратко, то WannaCry - классический шифровальщик совмещенный с червем. То есть основной функционал вируса - шифрование файлов на зараженных машинах, а основной метод распространения - использование уязвимости MS 17-010.

Каждый экземпляр вируса сканирует доступные ему сети на предмет хостов с открытым 445 портом и проверяет уязвимы ли они к MS 17-010. Если да, то происходит заражение шифровальщиком и распространение по этому же принципу дальше. Параллельно со сканированием вирус пытается применить эксплойт к случайным IP-адресам.

Модуль шифрования ищет преимущественно следующие типы файлов:

  • Файлы электронной почты
  • Файлы баз данных
  • Ключи шифрования
  • Сертификаты
  • Архивы
  • Документы MS Office
  • Виртуальные машины
  • Исходные коды ПО

Для сокрытия своей деятельности и командных серверов вирус использует Tor.

Что за уязвимость MS 17-010

Уязвимость существует в реализации протокола SMBv1 для MS Windows и позволяет удаленно выполнить произвольный код на уязвимой машине. Уязвимость была устранена Microsoft в марте и был выпущен патч. Когда эпидемия набрала обороты, Microsoft был выпущен патч на более неподдерживаемые версии ОС Windows(XP, 2003).

Что за эксплойт:

Эксплойт был разработан предположительно для АНБ США и был выложен в открытый доступ в результате утечки информации 14 апреля, получив название EternalBlue.

Масштабы эпидемии и ее причины:

Вирус уже поразил сотни тысяч компьютеров по всему миру во время первой волны заражения, включая корпоративные сети МВД, РЖД и «Мегафона», международного аэропорта во Франкфурте. Также об атаках на свои системы сообщили Сбербанк и Минздрав, были зашифрованы данные, хранящиеся в больницах в Великобритании, однако многими организациями факт заражения скрывается, поэтому истинный масштаб сложно оценить.

Основная причина столь массовой эпидемии - несвоевременная установка обновлений безопасности и использование устаревших версий ОС.

Основные способы защиты:

1. Для гарантированного предотвращения заражения рекомендуется обновить операционную систему. Для всех версий ОС Windows, включая устаревшие версии были выпущены специальные патчи, доступные по ссылке (http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012598)

2. Также для гарантированного предотвращения заражения на системах, на которых невозможна установка обновлений, возможно отключить поддержку протокола SMBv1, для этого необходимо выполнить следующую команду:

dism /online /norestart /disable-feature /featurename:SMB1Protocol

Однако это может помешать работе службе Active Directory.

3. Для уменьшения риска заражения вирусом, рекомендуется установить Антивирусное ПО, или сконфигурировать межсетевой экран для блокировки 445 порта в сеть Интернет.

4. Для защиты от подобных атак в будущем настоятельно рекомендуется регулярное обновление ПО, а также регулярное резервное копирование на защищенные носители или сервера.

Мы будем следить, за развитием ситуации.

Да, этот вирус прокричал на весь мир 12 мая очень громко. Wanna Cry оказался не тем вирусом, который тихо и спокойно распространяется себе по миру от компьютера к компьютеру, с которым постепенно обучаются работать антивирусы и который со временем становится одним из фигурантов таблицы распознаваемых вирусов.

Нет, здесь всё гораздо сложнее. Вирус буквально в несколько часов распространился по всему миру. Особенно пострадали Россия и Китай, какое-то время держалась Австралия, но и она угодила в эту «яму».

Зашифрованные компьютеры отображают выписки за сотню долларов биткойны, без гарантии разблокировки файлов. Эта скорость и масштаб во многом обусловлены рядом факторов. Теперь, когда джинн выходит из бутылки, мы можем ожидать увидеть новые варианты этого выкупа.

Наиболее пострадавшими странами, по нашим данным, являются: Россия, Украина, Тайвань, Индия, Бразилия, Таиланд, Румыния, Филиппины, Армения и Пакистан. Более половины попыток нападений, которые мы записали, были в России. Большие учреждения также сильно пострадали, особенно больницы и другие общественные службы. Многие из них полагаются на устаревшие системы для работы и просто не могут обновлять свои системы.

Дело дошло до выступлений ведущих политиков мира. Громогласное заявление сделал и один из руководителей Microsoft, прямо обвинивший спецслужбы США в безответственном поведении. Дело в том, что, оказывается, американское ФБР в течение последних нескольких лет вело исследования системы Windows на наличие всевозможных недоработок и лазеек. Для своих целей, конечно. И лазейки были найдены – в Microsoft тоже работают не боги, им тоже свойственно ошибаться.

Если вы еще этого не сделали, установите обновленный антивирус

Вот некоторые из шагов, которые вы должны предпринять, чтобы оставаться в безопасности. Однако миллионы пользователей проигнорировали эти обновления.

Оставайтесь в поиске фишинговых писем и ссылок

Даже выходит за рамки обнаружения обычных кодовых подписей и просматривает фактическое поведение установленных приложений . Таким образом, даже если он не знает, как будет выглядеть следующий вариант, он будет знать, чтобы поймать его, когда он видит его в действии.

То же самое, что делает шифрование таким мощным инструментом, когда оно используется для защиты информации, также делает его такой проблемой, когда оно используется для лечения. Если вы инфицированы, вот несколько рекомендаций. Мы знаем, что это не очень чувствительно, когда на карту поставлены ваши личные фотографии или важные рабочие файлы. Но нет гарантии, что ваши файлы будут расшифрованы или что преступники не просто убегут с деньгами. Уплата только делает эти схемы более привлекательными. И любой контакт с атакующими дает им больше шансов заразить вас большим количеством вредоносных программ. Изолируйте его из Интернета как можно скорее. Остановите распространение вредоносного ПО на других или получите больше инструкций от тех, кто его создал. Восстановление из резервной копии Если вы используете следуя рекомендациям и сохраняя резервную копию на внешнем жестком диске, вы можете использовать его для восстановления данных. Вы должны иметь доступ к истории версий своих файлы и восстановить их до более ранних, незашифрованных состояний. Мы работаем над инструментом дешифрования, который может восстановить ваши файлы.

  • Не платите выкуп.
  • Что бы ни случилось, мы не рекомендуем вам платить выкуп.
  • Никогда не платите выкуп: нет гарантии, что вы вернете свои файлы.
Эта угроза обнаруживает следующие симптомы зараженных систем.

Проблема только в том, что каким-то образом изыскания сыщиков США вдруг стали известны всему компьютерному миру, вернее тому, кто нашёл возможность на них поживиться.

Собственно говоря, способ распространения вируса Wanna Cry традиционен:

Может запускаться wannacry и через незнакомые exe- или js-файлы, заражение, возможно, происходит и через графический файл (а что может быть заманчивее, чем sexy-картинка).

Защита от вирусов и корпоративных угроз. Защита конечных точек с адаптивной защитой от угроз - реальная защита и динамическое сжатие приложений. Назначение правила = безопасность. Динамическое сдерживание приложений - правила ограничения. Имя правила: выполнение любого дочернего процесса.

Название правила: изменение папок данных пользователей. Название правила: изменение мест регистрации при запуске. Имя правила: чтение или изменение файлов в любом месте сети. Название правила: создание файлов в любом сетевом расположении. Название правила: изменение бит скрытого атрибута.

Известны случаи, когда инфицирование произошло просто потому, что компьютер был в сети. Не обходит он своим внимание и облачные технологии – полностью оказались посрамлены её проповедники, они не так уж и защищены, как об этом нам постоянно говорится. В общем, при первом взгляде на складывающуюся ситуацию – край, из которого нет выхода, спереди стена, а назад некуда.

Эти обновления контента доступны в текущих сборках. Почему вы называете правила защиты доступа в целом? Имена правил не влияют на само правило и могут быть названы как угодно. Начальник Европола предупредил, что угроза кибератаки, которая заняла международные службы, «будет продолжать расти», когда люди вернутся на работу в понедельник.

Роб Уэйнрайт, директор Европола, сказал, что нападение ударит как в частном, так и в государственном секторах.

Меня беспокоит то, как цифры будут продолжать расти, когда люди пойдут на работу и вернут свои машины в понедельник утром. Он сказал: В настоящий момент мы сталкиваемся с нарастающей угрозой, цифры растут, меня беспокоит то, как цифры будут продолжать расти, когда люди приступают к работе и превращают свои машины в понедельник утром.

Сначала создавалось впечатление, что объектом внимания вируса становится только системный диск “C:” . Но по мере развития ситуации оказалось, что вирус распространился и на съёмные диски, что неожиданно – на Windows 10. Про флешки и говорить не приходится, они просто «горят, как свечки».

Вины Microsoft нет

Многие из них будут предприятиями, включая крупные корпорации. Национальный центр кибербезопасности опубликовал свой последний совет по вирусу. Как узнать, заражен ли компьютер? На экране появится сообщение с требованием выкупа, таймер обратного отсчета и биткойн-кошелек для внесения средств.

Крупнейшие кибератаки, хаки и нарушения данных

От вирусов к нарушениям данных киберпреступность далека от современного изобретения - вот список сайтов из самых больших атак в истории. Каков наилучший способ защитить вашу систему? Для особо уязвимых систем они должны быть закрыты в качестве окончательного отказоустойчивого способа остановить выкуп.

Как проявляется

WannaCry представляет собой программу под названием WanaCrypt0r 2.0, которая атакует исключительно ПК на OC Windows. Программа использует "дыру" в системе - Microsoft Security Bulletin MS17-010, существование которой было ранее неизвестно.

Вирус WannaCry распространяется через электронную почту. После открытия вложения в письме со спамом запускается шифратор и зашифрованные файлы после этого восстановить практически невозможно.

3 На что нужно обращать внимание, чтобы не заразить компьютер вирусом WannaCry?

Внимательно смотрите, что вам присылают по электронной почте. Не раскрывайте файлы с такими расширениями: .exe , .vbs и .scr . Мошенники могут использовать несколько расширений, чтобы замаскировать вредоносный файл как видео, фото или документ (например, avi.exe или doc.scr ), пишет ru24.top.

Гендиректор компании по предотвращению и расследованию киберпреступлений Group-IB Илья Сачков советует: "В случае с WannaCry решением проблемы может стать блокировка 445 порта на Firewall (межсетевой экран), через которое идет заражение". Для обнаружения потенциально вредоносных файлов нужно включить опцию "Показывать расширения файлов" в настройках Windows.

4 Что предприняла компания Microsoft, чтобы защитить OC Windows от вируса WannaCry?

Microsoft уже выпустила "заплатку" - достаточно запустить обновление Windows Update до последней версии . Стоит отметить, что защитить свой компьютер и данные смогут только пользователи, купившие лицензионную версию Windows - при попытке обновить "пиратку" система просто не пройдет проверку. Также необходимо помнить, что Windows XP уже не обновляется, как, разумеется, и более ранние версии , сообщает Rorki.ru.

5 Простейшие способы защиты от вируса WannaCry

Чтобы не "поймать" на свой компьютер вирус WannaCry, нужно следовать нескольким простым правилам безопасности:

  • вовремя осуществлять обновление системы - все зараженные ПК не были обновлены,
  • пользоваться лицензионной ОС,
  • не открывать сомнительные электронные письма,
  • не переходить по сомнительным ссылкам, оставленных пользователями, не вызывающими доверия.

6 Что нужно делать, если вы "поймали" вирус WannaCry на свой компьютер?

Если вы подозреваете, что ваш компьютер заражен вирусом WannaCry, нужно в обязательном порядке отключить устройство от интернета или Wi-Fi - это позволит предотвратить распространение вируса, советуют в Group-IB. Рекомендации специалистов: никогда не платить выкуп мошенникам, так как нет никакой гарантии, что злоумышленники отправят ключ дешифрования, советует alldaynews24.ru.

6 Как минимизировать ущерб от возможного заражения вирусом WannaCry?

"Лаборатория Касперского" предлагает регулярно делать резервные копии файлов: "Храните копии на носителях, которые не постоянно подключены к компьютеру. Если есть свежая резервная копия , то заражение шифровальщиком - не трагедия, а всего лишь потеря нескольких часов на переустановку или чистку системы".