勒索病毒肆虐，中国校园网络成重灾区

5月12日晚，全球近百国网民相继遭受到一款名为WNCRYPT“永恒之蓝”的恶意勒索软件攻击，受害电脑被黑客“劫持”，大量文件被加密锁定。中国的企业、医院、政府机关等单位在这场攻击中也未能幸免，特别是校园网络成为重灾区。

目前，中国各大高校已经进入毕业答辩时间，不少学生电脑里的Office文件不幸“中招”无法打开，包括毕业论文、毕业设计和答辩PPT等全被锁定。中了勒索病毒的学生都十分着急，很多人甚至已经开始连夜重做毕业论文和答辩PPT等。

什么是勒索软件?

勒索软件是近年来一种流行的木马，其通过骚扰、恐吓甚至采用绑架用户文件等方式，使用户数据资产或计算资源无法正常使用，并以此为条件向用户勒索钱财。目前，中国已经成勒索软件重灾区，每年仅此一项带来的损失就超过10亿元。

WannaCry勒索蠕虫防御

各有关单位

有关部门监测发现，WannaCry勒索蠕虫出现了变种：WannaCry2.0，与之前版本的不同是，这个变种取消了所谓的KillSwitch，不能通过注册某个域名来关闭变种勒索蠕虫的传播。该变种的传播速度可能会更快，该变种的有关处置方法与之前版本相同，建议立即进行关注和处置。

一、请立即组织内网检测，查找所有开放445SMB服务端口的终端和服务器，一旦发现中毒机器，立即断网处置，目前看来对硬盘格式化可清除病毒。

二、目前微软已发布补丁MS17-010修复了“永恒之蓝”攻击的系统漏洞，请尽快为电脑安装此补丁，网址为technet.microsoft.com/zh-cn/library/security/MS17-010;对于XP、2003等微软已不再提供安全更新的机器，建议升级操作系统版本，或关闭受到漏洞影响的端口，可以避免遭到勒索软件等病毒的侵害。

三、一旦发现中毒机器，立即断网。

四、启用并打开“Windows防火墙”，进入“高级设置”，在入站规则里禁用“文件和打印机共享”相关规则。关闭UDP135、445、137、138、139端口，关闭网络文件共享。

高手过招，有招便有破”

在接到针对该案的协助调查后，效率源科技在第一时间组织骨干技术人员进行研究和破解。效率源技术工程师研究发现：本案中的勒索软件是一种名为Wallet木马病毒的最新版本(主程序版本2017∕3∕30)。此版本Wallet虽然也是通过服务器传播，但是入侵者采用了更多样的手法——不再仅仅是对3389端口进行简单扫描，而是更有针对性的对服务器进行系统性攻击。

效率源勒索BT币服务器数据库恢复工具

成功恢复后的数据库

针对本案中的Wallet勒索软件，效率源技术工程师使用自主研发的免费软件——勒索BT币服务器数据库恢复工具，成功恢复出数据库的记录。

勒索BT币服务器数据库恢复工具支持病毒版本

效率源勒索BT币服务器数据库恢复工具目前能够支持对多个版本的木马病毒进行数据恢复。尽管如此，黑客也在不断的更新病毒版本，因此，效率源科技科研人员也在持续进行研究，不断对勒索BT币服务器数据库恢复工具进行版本升级，以便更好解决此类问题。

“发在意先，一招制敌”

果不其然，5月12日20时左右，Wallet勒索软件的升级版——“永恒之蓝”勒索病毒爆发，目前已有100多个国家和地区的数万台电脑遭该勒索病毒感染，我国部分Windows系列操作系统用户已经遭到感染。此次，针对变异的“永恒之蓝”，实验室与效率源联手组织技术工程师对病毒进行研究和破解，成功分析出此病毒的加密方式，第一时间推出“永恒之蓝”比特币勒索Office数据恢复工具V1.0。

经研究发现，“永恒之蓝”勒索病毒的加密方式主要有两种，来听听效率源科技工程师赵飞的详细介绍：1大于1.5MB文件的加密方式

对于大于0x180000字节(1.5MB)的文件，是按照正常文件总大小整除3，得到每个间隔块大小M，将文件分为M、2M大小的两个间隔块，每个间隔块的前512扇区被填0，被加密的512扇区都会被填0，并将加密的多个512扇区写入到文件尾部。该类文件数据大多数没有被加密，特别是数据库之类的大文件，可以直接使用效率源“勒索BT币服务器数据库恢复工具”进行数据库记录提取，其准确率在93%以上。

效率源“永恒之蓝”比特币勒索Office数据恢复工具V1.0针对特殊格式的文档，如docx文档，可进行碎片恢复。目前，效率源科技技术工程师已成功开发出免费工具——“永恒之蓝”比特币勒索Office数据恢复工具V1.0。打开软件，导入被加密文件，选择存储路径(建议保存在干净的移动硬盘或U盘上)，点击数据分析，即可进行数据恢复，操作十分简便