中国·新葡的京集团-www.35222.com-Official website

信息来源：CNCERT

        在Wannacry蠕虫事件发生之后，CNCERT对“永恒之蓝”SMB漏洞攻击进行了持续监测。在Wannacry蠕虫传播的初期，发起SMB漏洞攻击尝试的主机数量（很可能已感染蠕虫）呈现下降趋势，而在最近几日，发起SMB漏洞攻击尝试的主机数量又出现了明显上升的趋势。现将有关情况通报如下：

        综合CNCERT和国内网络安全企业已获知的样本情况和分析结果，通过SMB漏洞传播的蠕虫病毒中，除具备勒索软件功能的变种外，还有一些变种具备远程控制功能但没有勒索软件功能，而感染了后者的用户一般不易觉察，难以及时采取防护和处置措施，因此SMB漏洞攻击次数上升可能标志着出现新的蠕虫变种依然在默默传播，我国互联网安全仍然面临着巨大风险。CNCERT再次提醒广大互联网用户及时做好应急防护措施，详细方法见CNCERT于5月30日发布的《关于防范Windows操作系统勒索软件Wannacry的情况通报》(http://www.cert.org.cn/publish/main/8/2017/20170513170143329476057/20170513170143329476057_.html)。

        在此提醒广大用户及时采取如下方法进行自查：

        1、在以下目录出现如下文件之一：

            c:windowsmssecsvc.exe

            c:windowstasksche.exe

            c:windowsqeriuwjhrf

            c:program filesmicrosoft updatesupdateinstaller

            c:program filesmicrosoft updatessvchost.exe

            c:program filesmicrosoft updatestorunzip.exe

        2、在磁盘任意位置出现以下七个文件之一：

            architouch.inconfig.xml

            doublepulsar.inconfig.xml

            eternalblue.inconfig.xml

            eternalchampion.inconfig.xml

            eternalromance.inconfig.xml

            eternalsynergy.inconfig.xml

            smbtouch.inconfig.xml

        3、利用进程监视工具，发现名为tasksche.exe的进程。

        4、在注册表中搜索“EternalRocks”关键字。

        若主机中出现上述情况之一，即可判断当前系统已被蠕虫病毒感染。

        CNCERT后续将密切监测和关注该勒索软件对境内党政机关和重要行业单位以及高等院校的攻击情况，同时联合安全业界对有可能出现的新的攻击传播手段、恶意样本变种进行跟踪防范。请国内相关单位做好信息系统应用情况排查工作，如需技术支援，请联系 CNCERT。电子邮箱： cncert@cert.org.cn，联系电话： 010-82990999。