[教學] 防止WanaCrypt0r 2.0 / WannaCry的方法

約在昨晚上才爆發的 WannaCry（或稱 WanaCrypt0r 2.0、Wcry）勒索病毒，正在透過 Windows 系統漏洞(稱 MS17-010)大規模攻擊中，包括 Windows XP/Vista/7/8/8.1/10 在內，被加密的檔案副檔名都會變更為 .wncry。 駭客是以電郵來傳播勒索軟件，他們利用 ETERNALBLUE 取得電腦存取權之後，就執行一個名為 WannaCry 或 WannaCrypt （想加密）的勒索程式，將受害者的硬碟上鎖，並橫向地攻擊同一網絡上的其他電腦。駭客最初會要求受害者繳付價值 US$300的比特幣作贖金，如果3日內不付款的話就會將贖金提高一倍至 US$600。7日內不付款就會刪除解鎖鍵。

檢查自己電腦的Windows更新：
控制台>Windows Update>檢視更新紀錄，可查詢電腦是否有安裝成功。

Windows10所有版本預設自動更新，理論上已經都安裝完成 除非你手動關閉更新。如果你不確定，請到設定>更新與安全性>Windows Update，接著點選更新紀錄，檢查你的 Windows 10 版本是否在 1511 以上。如果不是就點選檢查更新開始進行。

另外，請關閉 SMB 1.0/CIFS 檔案共用支援再行更新。

這次微軟連停止支援的 Windows XP、Windows Vista與 Windows 8 都破天荒地釋出相關安全補丁！

請Windows XP、Vista 與8的使用者，檢查自己電腦是否有以下安全性更新。如果沒有，請點選下方的[1]或[2]來下載更新擋：
Windows XP : KB4012598
(XP SP2 64位元) - 英文版[1], [2]. 日文版[1], [2].
(XP SP3) - [1], [2]
XP Embedded - [1], [2].

Windows XP(其他版本)、Vista與8的安全性更新號碼 : KB4012598 安全性更新

請Windows 7 與8.1的使用者，檢查自己電腦是否有以下安全性更新。如果沒有，請點選下方的[1]或[2]來下載更新擋：
3月安全性更新號碼
Windows 7 : KB4012215 - (32位元)[1], [2]. (64位元)[1], [2].
Windows 8.1:KB4012216 - (32位元)[1], [2]. (64位元)[1], [2].

4月安全性更新號碼
Windows 7 : KB4015549 - (32位元), (64位元)
Windows 8.1:KB4015550 - (32位元), (64位元)

5月安全性更新號碼
Windows 7: KB4019264 - (32位元)[1], [2]. (64位元)[1], [2].
Windows 8.1:KB4019215 - (32位元)[1], [2]. (64位元)1, [2].

已安裝上述更新(因為新的更新會包含之前月份的，只要三個有其中一個安裝成功即可) 代表有很大機會可防範此次攻擊。

如果你的 Windows 10 更新速度很慢，請點選下方的[1]或[2]來下載更新擋：
Windows 10-Version 1511 的累積更新
KB3210721 - (32位元)[1], [2]. (64位元)[1], [2]

如何檢查自己的電腦有沒有中此毒?
PTT 大大 imasa (便當俠) 提供腳本檢查
imasa (便當俠)的部落格大家可以去看看一些資安資訊:http://roger6.blogspot.tw/
這裡有偵測的script下載
https://github.com/countercept/doublepulsar-detection-script

imasa (便當俠) 改寫後打包起來的版本
 EternalBlueDetector.zip

執行前請確認檔案有無被偷改過，另外請確認檔案路徑沒有中文或英文以外語言，不然會執行錯誤。

• File SHA1: F39365274CB9E2700BFBCB15C757F509F1115113
• File Size: 4,492,849 Bytes

檢查自己機器時，左鍵點兩下程式就可以了。下面是程式執行後的偵測結果：

尚未被攻擊或已裝KB: 顯示 No presence of DOUBLEPULSAR SMB implant
被攻擊成功: (WanaCrypt0r可能已進行加密中或潛伏期)

Windows10 就不用檢查了

手動預防方法：
Windows XP:
1. 到「開始」>「設定」>「控制台」>「網路連線」選擇對外連線的區域連線名稱，透過右鍵點選「內容」。
2. 將「File and Printer Sharing for Microsoft Networks」左方的勾取消。
3. 重開機一次，最後還是不建議再繼續使用XP，因為漏洞太多也容易遭受攻擊，很多服務也都不再支援XP。

Windows 7與Windows Server 2008：
1. 「開始」>「執行」> 輸入 regedit，找到以下的值，
HKLM\System\CurrentControlSet\Services\LanmanServer\Parameters
底下新增 DWORD key SMB1, 其值為0
2. 重新開機

Windows 8、8.1與Windows 10：
1. 打開 command提示視窗、執行powershell，按右鍵選擇系統管理員執行。
2. 執行 set-ExecutionPolicy Unrestricted，輸入 Y 。
3. 執行 set-SmbServerConfiguration -EnableSMB1Protocol $false，輸入 Y 。
4. 打完，最後用這個指令來檢查，如下圖就表示成功關閉SMB1服務:
get-SmbServerConfiguration | Select EnableSMB1Protocol, EnableSMB2Protocol
5. 最後記得重新開機。


Windows 防火牆
更改設定 Windows 防火牆的設定：
按 WIN + R 鍵 ，鍵入 firewall.cpl 按 enter
Step 1:如果你 Firewall 未開啟，請按「請用建議的設定」去開啟
Step 2:如已開啟了(綠色)，請按左邊進階設定
Step 3:左側按 輸入規則 > 右側按 新增規則
Step 4:選擇 通訊協定及連接埠，選 連接埠 Step 5:如下圖選擇 TCP , 特定本機連接埠選 445 ,139 ，下一步
Step 6:選擇封鎖連線，下一步
Step 7:套用所有規則，下一步
Step 8:隨意命名，完成
Step 9:重覆 Step 3 至 4 , 今次我們選擇 UDP , 特定本機連接埠選 445 ,139 ，下一步。重覆 Step 6 至 8

(文章及資料更新日期：2017年5月15日)

參考資料：
電腦王阿達
Qooah
PCM
e-zone
雲爸的私處
瘋先生
終止支援三年，微軟破戒為 Windows XP 推更新對抗 WannaCrypt 勒索病毒！
WanaCrypt0r 2.0 修補方式 Windows XP、7、8、10全系統整理 全球災情慘重不要鐵齒
Wanna Decrytor / WannaCry / Wcry 勒索病毒影響全球 : Windows 香港受害者上升中 (附：預防 刪除 修復方法)