每經(jīng)記者 蘇杰德 每經(jīng)編輯 王嘉琦

醫(yī)院癱瘓、加油站斷網(wǎng)、畢業(yè)論文被篡改……

就當(dāng)巴菲特剛剛說(shuō)出了“網(wǎng)絡(luò)攻擊比核武器還可怕”之后沒(méi)多久，黑客就在全世界面前秀了一次肌肉。

近日，全球上百個(gè)國(guó)家和地區(qū)都有電腦系統(tǒng)遭受一個(gè)名為WannaCry的病毒攻擊，被攻擊者被要求支付比特幣才能解鎖。5月14日，據(jù)BBC最新報(bào)道，全球已有150個(gè)國(guó)家，超過(guò)20萬(wàn)臺(tái)計(jì)算機(jī)遭到感染。

最近幾天，因?yàn)槔账鞑《驹谌驍U(kuò)散，各國(guó)很多機(jī)構(gòu)的正常辦公受到影響，但目前情況似乎有所好轉(zhuǎn)。5月14日，每日經(jīng)濟(jì)新聞（微信號(hào)：nbdnews）記者獨(dú)家獲悉，中石油超八成加油站已重新連網(wǎng)，第三方支付也正陸續(xù)恢復(fù)之中。

在這次全球的網(wǎng)絡(luò)危機(jī)中，一位22歲的英國(guó)人立下了大功，他/她僅僅用10美元，就阻止了病毒的擴(kuò)散?？墒?，就在國(guó)外各大媒體開(kāi)始以“英雄”來(lái)稱(chēng)呼這位神秘人之時(shí)，勒索病毒卻出現(xiàn)了變種！

中石油超八成加油站已重新連網(wǎng)

5月13日上午，每日經(jīng)濟(jì)新聞（微信號(hào)：nbdnews）記者獨(dú)家報(bào)道，全國(guó)包括北京、上海、重慶、成都等多個(gè)城市的部分中國(guó)石油旗下加油站在當(dāng)日凌晨突然出現(xiàn)斷網(wǎng)，而因斷網(wǎng)一時(shí)無(wú)法使用支付寶、微信、銀聯(lián)卡等聯(lián)網(wǎng)支付方式，只能使用現(xiàn)金支付，不過(guò)，加油站加油業(yè)務(wù)可正常運(yùn)行。

▲5月13日上午，成都一家加油站貼出充值業(yè)務(wù)暫定辦理的通知。每經(jīng)記者 朱萬(wàn)平 攝

5月14日午間，中國(guó)石油相關(guān)負(fù)責(zé)人向每日經(jīng)濟(jì)新聞（微信號(hào)：nbdnews）記者回應(yīng)稱(chēng)，中國(guó)石油緊急應(yīng)對(duì)比特幣勒索病毒影響。5月12日22:30左右，因全球比特幣勒索病毒爆發(fā)，該公司所屬部分加油站正常運(yùn)行受到波及。病毒導(dǎo)致加油站加油卡、銀行卡、第三方支付等網(wǎng)絡(luò)支付功能無(wú)法使用，加油及銷(xiāo)售等基本業(yè)務(wù)運(yùn)行正常，加油卡賬戶(hù)資金安全不受影響。

5月13日1：00，為確保用戶(hù)數(shù)據(jù)安全和防止病毒擴(kuò)散，中國(guó)石油緊急中斷所有加油站上連網(wǎng)絡(luò)端口，并會(huì)同有關(guān)網(wǎng)絡(luò)安全專(zhuān)家連夜開(kāi)展處置工作，全面排查風(fēng)險(xiǎn)，制定技術(shù)解決方案。5月13日13:00，根據(jù)現(xiàn)場(chǎng)驗(yàn)證過(guò)的技術(shù)解決方案，開(kāi)始逐站實(shí)施恢復(fù)工作。

中國(guó)石油方面稱(chēng)，截至5月14日12：00，中國(guó)石油80%以上加油站已經(jīng)恢復(fù)網(wǎng)絡(luò)連接，受病毒感染的加油站正在陸續(xù)恢復(fù)加油卡、銀行卡、第三方支付功能。14日13：00左右，記者從北京中國(guó)石油華威路加油站了解到，該站已經(jīng)恢復(fù)了第三方支付。

值得注意的是，加油站外部支付需使用外網(wǎng)，而加油業(yè)務(wù)在內(nèi)網(wǎng)運(yùn)行。有網(wǎng)絡(luò)安全專(zhuān)家分析稱(chēng)，從理論上，這次攻擊只針對(duì)windows系統(tǒng)，石油系統(tǒng)及工業(yè)互聯(lián)網(wǎng)不會(huì)被波及，除非有專(zhuān)門(mén)的針對(duì)這一系統(tǒng)的病毒被開(kāi)發(fā)。

阻止病毒擴(kuò)散，神秘“英雄”只花了10美元

雖然這次勒索病毒波及范圍很廣，但暫時(shí)還沒(méi)有泛濫。這得感謝一位神秘的英國(guó)研究員。

當(dāng)?shù)貢r(shí)間周六（5月13日）早上，一個(gè)網(wǎng)名為MalwareTech的網(wǎng)友在自己的同名網(wǎng)站MalwareTech上發(fā)布了一篇文章，講述了自己如何“一不小心”就防止了勒索病毒的擴(kuò)散。

13日，MalwareTech接受了國(guó)內(nèi)外媒體的郵件采訪，但沒(méi)有透露自己的真實(shí)身份和性別。

根據(jù)紅星新聞和CNN等媒體報(bào)道，MalwareTech表示，其實(shí)在這場(chǎng)全球“浩劫”剛開(kāi)始時(shí)，他就已經(jīng)從英國(guó)的一個(gè)論壇上得到了消息。但不巧的是，他當(dāng)時(shí)正在外面。

等我回家后，我在WannaCry病毒中發(fā)現(xiàn)了一個(gè)未注冊(cè)的域名，并因此決定注冊(cè)該域名，以便追蹤這一病毒。

其實(shí)，這個(gè)域名就是該病毒的“刪除開(kāi)關(guān)”。為此，MalwareTech花了10.69美元的費(fèi)用注冊(cè)購(gòu)買(mǎi)了這一域名。

事實(shí)上，MalwareTech找到的，就是該病毒中隱藏的“刪除開(kāi)關(guān)”。

后來(lái)在一些分析員的幫助下，我們終于確認(rèn)，在注冊(cè)了這一域名后，這一感染停止了。

MalwareTech解釋說(shuō)，通常情況下，在注冊(cè)該域名后，他將擁有WannaCry病毒的運(yùn)行權(quán)，他們經(jīng)常采用這種方式來(lái)追蹤惡意病毒軟件，“或者用來(lái)阻止犯罪分子控制該病毒”。

這一“開(kāi)關(guān)”被編碼隱藏在惡意軟件中，如果惡意軟件的制造者希望停止該病毒的傳播，那么只要激活這一開(kāi)關(guān)即可。這里的開(kāi)關(guān)機(jī)制為，該惡意軟件將會(huì)向任何網(wǎng)站，包括這個(gè)非常長(zhǎng)的毫無(wú)感官意義的域名網(wǎng)站發(fā)送請(qǐng)求，而一旦該請(qǐng)求得到回應(yīng)，就意味著該域名上線，“刪除開(kāi)關(guān)”就會(huì)生效，惡意軟件也會(huì)停止傳播。

別大意，病毒已出現(xiàn)變體！

雖然外國(guó)媒體紛紛將這位神秘的研究員奉為英雄，可是，MalwareTech發(fā)現(xiàn)的的“刪除開(kāi)關(guān)”只針對(duì)一個(gè)版本的WannaCry勒索病毒。事實(shí)上，還有很多版本的勒索病毒存在，只有找到各個(gè)版本的“開(kāi)關(guān)”，才能徹底防止擴(kuò)散。

更恐怖的事，就在MalwareTech找到遏制勒索病毒擴(kuò)散的方法后第二天，WannaCry勒索病毒就出現(xiàn)了變體，“刪除開(kāi)關(guān)”已經(jīng)不起作用了！

千龍網(wǎng)5月14日?qǐng)?bào)道，北京市委網(wǎng)信辦、北京市公安局、北京市經(jīng)信委聯(lián)合發(fā)出《關(guān)于WannaCry勒索蠕蟲(chóng)出現(xiàn)變種及處置工作建議的通知》?！锻ㄖ分赋?，有關(guān)部門(mén)監(jiān)測(cè)發(fā)現(xiàn)，WannaCry勒索蠕蟲(chóng)出現(xiàn)了變種：WannaCry2.0，與之前版本的不同是，這個(gè)變種取消了所謂的KillSwitch（刪除開(kāi)關(guān)），不能通過(guò)注冊(cè)某個(gè)域名來(lái)關(guān)閉變種勒索蠕蟲(chóng)的傳播。該變種的傳播速度可能會(huì)更快，該變種的有關(guān)處置方法與之前版本相同，建議立即進(jìn)行關(guān)注和處置。

《通知》還給出了相關(guān)的處置建議：

一、請(qǐng)立即組織內(nèi)網(wǎng)檢測(cè)，查找所有開(kāi)放445SMB服務(wù)端口的終端和服務(wù)器，一旦發(fā)現(xiàn)中毒機(jī)器，立即斷網(wǎng)處置，目前看來(lái)對(duì)硬盤(pán)格式化可清除病毒。

二、目前微軟已發(fā)布補(bǔ)丁MS17-010修復(fù)了“永恒之藍(lán)”攻擊的系統(tǒng)漏洞，請(qǐng)盡快為電腦安裝此補(bǔ)丁，網(wǎng)址為https://technet.microsoft.com/zh-cn/library/security/MS17-010；對(duì)于XP、2003等微軟已不再提供安全更新的機(jī)器，建議升級(jí)操作系統(tǒng)版本，或關(guān)閉受到漏洞影響的端口，可以避免遭到勒索軟件等病毒的侵害。

三、一旦發(fā)現(xiàn)中毒機(jī)器，立即斷網(wǎng)。

四、啟用并打開(kāi)“Windows防火墻”，進(jìn)入“高級(jí)設(shè)置”，在入站規(guī)則里禁用“文件和打印機(jī)共享”相關(guān)規(guī)則。關(guān)閉UDP135、445、137、138、139端口，關(guān)閉網(wǎng)絡(luò)文件共享。

五、嚴(yán)格禁止使用U盤(pán)、移動(dòng)硬盤(pán)等可執(zhí)行擺渡攻擊的設(shè)備。

六、盡快備份自己電腦中的重要文件資料到存儲(chǔ)設(shè)備上。

七、及時(shí)更新操作系統(tǒng)和應(yīng)用程序到最新的版本。

八、加強(qiáng)電子郵件安全，有效地阻攔掉釣魚(yú)郵件，可以消除很多隱患。

九、安裝正版操作系統(tǒng)、Office軟件等。