勒索软体(Ransomware)已经成为增长最快的恶意软体威胁，目标包括一般家庭用户、医疗保健系统，以及企业网路。根据Fortinet的追踪分析显示，自2016年1月1日起，每天平均有4,000多宗勒索软体攻击。

根据Fortinet的追踪分析显示，自2016年1月1日起，每天平均有4,000多宗勒索软体攻击。

FortiGuard Labs研究团队于5月12日便开始追踪当天迅速传播的新型勒索软体变种。这是一种高毒性且会自我复制的勒索软体，已经影响了俄罗斯内政部、中国地区大学、匈牙利和西班牙电讯商，以及由英国国家卫生服务机构管理的医院和诊所等大型组织。特别值得注意的是，它的赎金要求支援二十多种语言。

这个勒索软体被称为WannaCry、WCry、WanaCrypt0r、WannaCrypt或Wana Decrypt0r，是透过美国国家安全局代号「Eternal Blue」工具的漏洞所传播。这漏洞由黑客组织Shadow Brokers上月于网上披露，利用Microsoft Server Message Block 1.0 (SMBv1)协定中的弱点来进行攻击。

受影响的Microsoft产品

‧Windows Vista

‧Windows Server 2008

‧Windows 7

‧Windows Server 2008 R2

‧Windows 8.1

‧Windows Server 2012及Windows Server 2012 R2

‧Windows RT 8.1

‧Windows 10

‧Windows Server 2016

‧Windows Server Core安装选项

Microsoft在3月份在Microsoft安全公告MS17-010中，已发布针对此漏洞的重要更新程式。 Fortinet同月则发布入侵防御系统特征(IPS signature)来检测和阻止这漏洞，并于今天发布了新防毒特征(AntiVirus signature)以检测和抵御此次攻击。第三方的测试单位也证实了Fortinet Anti-Virus和FortiSandbox能有效地阻止这种恶意软体。有关IPS和AV特征的详细资讯，请参阅本文尾段。

强烈建议采取下列步骤

‧于网路所有受影响的节点安装Microsoft发布的更新程式。

‧确保Fortinet 防毒和IPS检测以及网路过滤引擎都已启用，防止下载到恶意软体，并确保网路过滤能把回到命令和控制(C&C)伺服器的通讯封阻。

‧将UDP埠137/138和TCP埠139/445隔离。

建议用户和企业组织采取下列预防措施

‧建立常规程序来为所有装置的作业系统、软体和韧体安装更新程式。拥有大量装置的大型组织可考虑采用集中的更新程式管理系统。

‧部署入侵防御系统、防毒措施和网路过滤技术，并随时保持更新。

‧定期备份资料之余，亦要验证其完整性并加密，测试复原备份过程，以确保其可用性。

‧扫描所有收发电邮来检测威胁，并为最终用户过滤可执行文件。

‧安排防毒和反恶意软体程式定期自动执行扫描。

‧停用经电邮传输的文件巨集码(macro scripts)。考虑改用Office Viewer等工具预览Microsoft Office附件，而不用Office套件的应用程式直接开启档案。

‧建立业务持续性计划和资安事件因应策略，并定期执行漏洞评估。

如果组织已受到勒索软体的影响，必须：

‧立即从网路中删除受感染的装置，防止勒索软体进一步扩展到网路或其他共享装置。

‧如果您的网路已受感染，请立即截断所有连接装置。

‧如果装置受到感染但资料并未完全损坏，马上把装置关机，可能有机会把握时间清理和恢复资料，控制损害程度并防止情况恶化。

‧把备份资料储存于离线模式。检测到病毒时应立即切断备份系统连接，并加以扫描来确保备份中没有恶意软体。

‧立即联系执法机关回报任何勒索软体案件，并请求协助。

客户的系统安全性对于Fortinet来说至关重要。我们正在积极监测情况以因应任何新的恶意行为，并就最新发展发布资讯。

提供解决方案

‧入侵防御系统特征(IPS signature)：

MS.SMB.Server.SMB1.Trans2.Secondary.Handling.Code.Execution

‧防毒特征(AntiVirus signature)：

W32/Filecoder_WannaCryptor.B!tr

W32/WannaCryptor.B!tr

W32/Generic.AC.3EE509!tr

W32/GenKryptik.1C25!tr

‧CVE安全漏洞资料库（CVE security vulnerability database）：

2017-0143 thru 2017-0148