如何看待 2017 年 5 月 12 日中国大量高校及公共设备发生电脑中毒，勒索比特币的事件？
————5.17补充———— 评论区有大量愤怒的知乎网友，表达了自己对于360对nsatool的愤怒。对于给大家造成的困扰，深表歉意。 1、360的nsatools不是专杀工具，不能杀毒，手动双击运行病毒程序这种的它也防不住。 2、360的nsatools只是微软的一些补丁的离线安装包（的集合）；我在全新安装的windows7sp1中做了测试，并没有复现蓝屏问题。如果再有谁遇见蓝屏，希望在评论区表达愤怒时可以同时提供以下信息：（1）nsatool的下载世界，大小及md5；（2）操作系统的版本；（3）是不是ghost方式安装的或者是不是精简版；（4）蓝屏代码（重要） 3、首要推荐的安装补丁的方式仍然是使用windows update自动更新，包括直接使用微软的官方离线包都有可能出现各种稀奇古怪的问题 4、关于“防不住”的说法，我无法证实；如果您实在不放心，请使用windows update来安装补丁。此外，如果有可能，请在表达愤怒的同时提供以下信息以便于排查问题：（1）什么时候装的补丁；（2）装完补丁多久后发现没防住；（3）当时所处网络环境；（4）所用操作系统及是否开启了windows update； 5、鉴于以及被评论区骂惨了，现在起不再推荐使用360的nsatool 6、对于大家遇到的问题，无论是中毒了还是蓝屏了，或者是因为看了我的回答装了360的nsatool然后还中毒了，亦或是单纯来评论区表示不满的，再次深感抱歉。 ————5.16补充———— 早上8：30左右下载了360最新的nsatool， 文件大小131,985,704 bytes MD5: DA8E9875D20D11C8DFEEEAD9D9072A04 SHA1: E0EC0FD0EEFB2227BB450A397AD318DF40FE1E70 在虚拟机（Win7 sp1，全新安装后未安装其他补丁）中安装测试，并未复现蓝屏问题。 与昨天下午下载的版本相比，新版的nsatool中多了一个BAPI.dll文件。 360的nsatool的作用其实就是微软那一堆重要更新的离线包的安装，并不能杀毒 如果再遇到蓝屏，请核对文件大小及md5与我测试的版本是否一致 网上找了个样本，用三台虚拟机测试了下，其中一台打补丁作为实验组，一台全新安装后不做任何操作（但是开网络发现及共享）作为对照组，最后一台手动运行病毒；三台机器位于一个虚拟网段，该网段和互联网隔绝 已经等了半个小时了，实验组和对照组均未被感染。。估计是我下的这个样本不是蠕虫。。 暂无法证实评论区中所说的“工具无效”观点 –––––5.15晚上紧急补充–––– 评论区大量反映装完360补丁后蓝屏的情况，已委托一位在360工作的同学反映情况，如果有明确结果我第一时间补充。 我下午时候在虚拟机下测试并未发现问题，明天早上我再试试是不是新版本有问题。 ————5.15补充在最前面———— 经评论区提醒，病毒的早期版本逻辑上有“bug”，病毒采用了加密文件 -> 删除文件而不是直接覆盖，导致的结果是原始文件在硬盘上可能并未被覆盖；应该可以使用数据恢复软件恢复部分数据（死马当做活马医）。 关于尝试数据恢复的建议： 0、立即关机，正常版本的Windows可能会自动碎片整理，一旦进行了碎片整理，可能就没啥恢复希望了（正常安装的Windows7及以上好像都会默认开启）。 1、建议在交由专业机构进行；个人无相关经验的情况下进行该操作风险较大 2、如果数据的价值不够数据恢复的成本想要自己尝试一下的，建议在PE下进行或使用Linux（不能用Windows的理由同第0条） ————原答———— 如果确实是由于nsa的eternalblue引起的，情况不会扩散太严重。但已感染的用户会很闹心。 （5.13下午补充：原答案“情况不会扩散太严重”的估计过于乐观，根据部分公开报道来看，已经有一些公共服务/民生设施收到影响，石油，电信，银行，甚至公安网都有受波及。答主此时的内心是绝望的...作为半个软粉，看到因为微软的系统捅了这么大篓子，心里不太好受 但是仍然有可以乐观的理由：这些国计民生的关键服务的核心系统大多是unix/solaris或者其他“不常见”的系统，并不会收到感染；受感染的仅是终端设备，数据应该是安全的。因为不涉及数据，修复起来相对比较容易。向所有被叫回去加班的各部门、公司技术/运维人员表示感谢。 【图片已删】评论区指出原图为PS作品，已删除） 1，个人宽带/家庭用户方面，运营商应该已经主动屏蔽了445端口;即使未屏蔽，一般家庭都在使用无线路由器，默认情况下不对公网开放/转发任何端口，也可以避免被攻击。 2，校园网方面，教育网虽然未主动屏蔽445。但很多高校对师生个人计算机的ip地址的公网访问采用白名单方式，也可以避免。
2.1，学校历来是病毒的重灾区，主客观原因都有;想要解决起来问题也不少而且也不容易解决。 3，win10用户被微软强制开启自动更新了（5.15补充：但不是不能关，只是不能像之前版本那样被明确允许关闭，通过组策略或者直接关闭某服务均可关闭自动更新【不建议关闭，所以不详说具体操作】），应该已经更新ms17-010补丁了;但是校园网中存在了大量关闭了自动更新的win7(或其他低版本windows)用户，可能会成为重灾区。 4，如果中招了，请做好丢失那些文件的准备。根据以往经验，交钱并不能消灾。文件应该是被aes128加密(后续版本有没有用aes256不知道)，在当前技术条件下，全球绝大多数人并没有足够的计算能力来对其进行暴力破解。想通过暴力破解来救回文件的可以死心了。 5，现在判断该病毒仅通过主机主动扫描发动的攻击，对于很多不开放公网权限的学校及单位还相对威胁不大。如果进一步的变种具备了蠕虫特性，受感染的主机进一步扫描其局域网内设备并进行攻击，可能受灾面会进一步扩大。希望在这一天到来之前，大家都把补丁补齐了。 （5.15补充：判读可能有误，也许最初版本即为蠕虫。） 6，请(希望)所以看到这个回答的人尽快着手备份自己的重要文件，并养成异地多活备份的习惯。不要等数据丢了才意识到备份的重要性。 平时多备份，灾时少流泪 –––––脑洞分割线––––– 这个漏洞(后门)是先被人曝光出来了，并且微软已经及时发布了补丁而且在还有win10强制自动更新这种有益buff加成情况下，依然造成了严重危害。 如果有类似的后门在战时被精心策划使用，其破坏力可能可以相当于在敌国首都扔了一颗大伊万。虽然不一定能造成人员伤亡，但使该国的生活水平倒退到20世纪90年代不成问题。 ————5.13补充———— 杀毒方案：https://www.trendmicro.com/vinfo/us/threat-encyclopedia/malware/ransom_wcry.c 360解决方案（不是杀毒）：http://dl.360safe.com/nsa/nsatool.exe 微软官方解决方案（不是杀毒）：Microsoft 安全公告 MS17-010 - 严重 其他预防方案：如果自己并不需要使用smb共享文件，可以考虑直接使用windows自带防火墙主动屏蔽445端口来达到“临时解决”的目的 不过其实对于已经中毒的用户并没有什么实质性作用，毒可以清除了，数据还是回不来 Wcry前世今生：Wcry Ransomware 关于被加密资料无法被解密的原因： 根据上文提及的Wcry Ransomeware 中的说法，病毒采用AES-128{什么是AES？ 密码算法详解--AES https://zh.wikipedia.org/wiki/%E9%AB%98%E7%BA%A7%E5%8A%A0%E5%AF%86%E6%A0%87%E5%87%86 } 方式加密用户数据，主密钥长度为128bit=16Byte，约为0.016KB；病毒编写者理智的做法是在每台电脑上进行加密操作时，随机生成个128bit的密钥并对用户数据进行加密，同时或等加密完成后，将该密钥提交回自己的服务器并删除受感染用户计算机上的密钥。一切处理妥当，弹出勒索界面，用户终于知道了自己被感染了，然而已经晚了。 AES的暴力破解是世界性难题，以AES-128为例，其密钥总个数为  {2}^{128} 个，约为3.4×  {10}^{38} 个，如果生成所有密钥并存储在一个文本文档中，忽略换行等其他开销，大概需要占用4.95×  {10}^{27} TB。 如果想要在一年内暴力破解，假设暴力破解需要尝试大约一半的密钥空间，则每秒需要完成5.4×  {10}^{30} 次尝试；而整个宇宙的恒星总数大概只有{10}^{23}这个数量级 病毒体本身不保存密钥（从后续的报道来看，这句话存疑，可能正确的说法时病毒本身保存了部分密钥，其中一种说法是aes钥被被非对称加密后保存在中毒电脑上；另一种说法是aes密钥有两个，其中一个可能保存在用户电脑上用于支持“部分解密”功能。因为已有大量变种，可能两种说法均正确），无密钥情况下暴力破解又是不可能完成的任务，利用windows的高危漏洞进行传播，可以在用户不进行任何操作的情况下感染，这大概就是这个勒索病毒最令人感到绝望的地方了。 还好，国内运营商反应够快；还好，无线路由普及了（所以我要吐槽IPv6没有NAT6了，把所有设备暴露在公网上，一旦出现类似情况必死无疑）；还好，微软被人骂惨了的强制开启win10的自动更新终于还是立大功了 在校园网又不想装第三方杀毒的人（今后）能做什么：开启自动更新；开启Windows自带的防火墙；联系学校把所有师生的IP地址禁用公网访问权限，仅开放白名单内的IP（大误，我会被打死的）；如果有可能，在电脑和校园网直接加一个路由器以避免个人电脑被直接暴露在公网上（我打赌，以后不会出现路由器和Windows操作系统同时爆出0day，就算是同时爆0day了，现在路由器厂商/系统这么多，我赌它不会出现所有路由器都被0day）。 ps:经评论区提醒，现在的家用路由也一堆0day没（法）修复 涉密不上网，上网不涉密，这是保证安全的最好途径了 如果必须要联网，安全就只能是相对的安全了。 ————5.13中午补充———— 如果懒得根据教程手动添加防火墙规则，或者不放心自己设置是否正确，可以使用如下方案： 以管理员模式运行cmd或powershell，并依次执行以下两条命令（Windows7及以上，vista没测试，应该也行） WindowsXP直接在cmd窗口中运行（不保证一定有效）： 5.15补充关于防火墙设置的补充： 经评论区提醒，Windows7及以上系统中，如果设置为公共网络，默认情况下并不会启用网络发现 和 文件及打印共享，在该模式下无需手动设置防火墙来关闭445端口 如果设置为家庭或工作网络，则需要手动设置防火墙规则或在网络与共享中心——高级共享设置中关闭网络发现就 和 文件及打印机共享 ————5.13午睡后补充———— 1、虽然用路由可以避免遭受攻击，但是校园网不让用路由，一人一号一IP这些规定不应该为这件事背锅。这件事的锅只能甩到NSA头上。 答主上学的学校采用的白名单制，虽然用着公网ip，但只要不在白名单里，所有入口请求都会被学校给拦截掉。说实话即使现在依然羡慕你们这些有手里能拿的IP有公网权限的学校/人。 2、[这里原来有两段话，大意是先关445端口，然后联网打补丁，然后再开开。考虑到在不安全的网络环境下允许网络发现及文件共享存在较大风险，故不再无脑建议打完补丁后就把445端口放出来（除非工作环境中需要使用smb共享的文件及打印机）。但仍建议用户留意自己修改了什么设置，在今后遇到局域网共享不了文件时知道从哪里修改防火墙] 3、[这里原来有两段话，过于主观(而且还猜错了)，已删除] ————5.13下午补充———— 根据cnbeta报道，若报道属实，期待wcry“疫情”能尽快得到控制。 夹带私货： 事情发展到这个地步，感觉会有不少人“弃软投果”。。。。要不要考虑考虑尝试下debian/ubuntu呗？嗯，开头说了我是半个软粉，没说的另外半个是debian粉 –––––5.13深夜更新––––– 下午更新那一条消息可能已经失去价值了。"样本有好几个变种"，结合下午报道出的大量企业，公共服务部门遭遇感染，可以确定病毒已经有了具备蠕虫化特征的变种。即意味着，某些通过屏蔽公网访问躲过了第一波攻击的学校的网络环境已不再安全。此外，大量只有单一公网出口的内部网络也将受到威胁。 如果有可能，希望相关管理人员尽快将内网划分子网，并临时禁止子网间的相互访问请求。 ————5.14补充———— 评论区好多人问转朋友圈的问题：已经设置了允许规范转载，可以转到任何地方，转载/分享什么的不用再询问了。