Wana decrypt0r 2.0 cryptor ataque en masa está en marcha

Por el momento, se puede observar un ataque a gran escala por parte del descifrador troyano Wana decrypt0r 2.0
El ataque se observa en diferentes redes completamente ajenas entre sí.

Un ransomware que se propaga en el laboratorio de la universidad ( desde aquí )

Algunas compañías aconsejan a sus usuarios que apaguen sus computadoras y esperen más instrucciones.

Contactando a antiguos colegas, me sorprendieron historias similares.

En cuanto a mí, hoy estaba preparando varias imágenes nuevas de Windows para nuestro sistema en la nube, entre ellas Windows Server 2008 R2.

Lo más interesante es que, tan pronto como instalé Windows y configuré una dirección IP estática, se infectó de inmediato durante varios minutos.

Todas las imágenes de Windows se obtuvieron de MSDN, los hashes son los mismos, por lo que se excluye la posibilidad de infección de la imagen.

Y esto a pesar del hecho de que la configuración del firewall para la única interfaz de red que mira hacia afuera se configuró como una "Red pública".

Nmap no encuentra puertos abiertos . La salida de nmap muestra que, incluso en este caso, algunos puertos están abiertos de forma predeterminada:

Host is up (0.017s latency).
Not shown: 997 filtered ports
PORT      STATE SERVICE
135/tcp   open  msrpc
445/tcp   open  microsoft-ds
49154/tcp open  unknown

— Virtio-, Windows CD.
ISO- — Fedora, .

Windows .

, .

:

• Virustotal
• Mmalwr
• WannaCry GitHub
• Wana Decrypt0r 2.0 Pentestit

, :

UPD: , SMBv1.

:

• Microsoft Security Bulletin MS17-010
• , (Windows XP, Winows Server 2003R2)

- , SMBv1. ( Windows 8.1 ):

dism /online /norestart /disable-feature /featurename:SMB1Protocol

UPD2: . :

• , Windows 7 Windows Server 2008 R2, 4012212 4012215
• cmd.exe ( )
• :
  

  wmic qfe list | findstr 4012212

• Enter
• - , :
  

  http://support.microsoft.com/?kbid=4012212 P2 Security Update KB4012212 NT AUTHORITY\ 3/18/2017

• ,
• , UPD9

100% .
, , Windows .

UPD3: :

, . FuzzBunch, Shadow Brokers Equation Group, . .
Microsoft MS 17-010, .
https://github.com/fuzzbunch/fuzzbunch .
DoublePulsar.
, 445 MS 17-010, DoublePulsar
, .

UPD4: :

UPD5: :

UPD6: :

- WannaCrypt , iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com.
, @MalwareTechBlog, , - , .

, , , ; , . , .

- 12 . 300 . 99 , , «», . , , . .
, , Windows, .

UPD7: Microsoft (Windows XP Windows Server 2003R2)

UPD8: 2ch.hk

Shadow brokers
C/Python
Linux

?

Linux
IP
445
SMB , ,
.

UPD9: :

UPD10: killswitch UPD6.

xsash, Inflame, Pulse, nxrighthere, waisberg, forajump, Akr0n, LESHIY_ODESSA, Pentestit, alguryanow .