Wana decrypt0r 2.0 cryptor mass attack sedang berlangsung

Saat ini, seseorang dapat mengamati serangan skala besar oleh Wana decrypt0r 2.0 trojan-decryptor
Serangan itu diamati di jaringan yang berbeda sepenuhnya tidak terkait satu sama lain.

Ransomware menyebar di lab di universitas ( dari sini )

Beberapa perusahaan menyarankan pengguna mereka untuk mematikan komputer mereka dan menunggu instruksi lebih lanjut.

Menghubungi mantan rekan kerja, saya terkejut dengan cerita serupa.

Bagi saya, hari ini saya sedang mempersiapkan beberapa gambar Windows baru untuk sistem cloud kami, di antaranya adalah Windows Server 2008 R2.

Yang paling menarik, segera setelah saya menginstal Windows dan mengatur alamat IP statis di atasnya, ia langsung terinfeksi selama beberapa menit.

Semua gambar Windows diperoleh dari MSDN, hash cocok, sehingga kemungkinan infeksi gambar dikecualikan.

Dan ini terlepas dari kenyataan bahwa konfigurasi firewall untuk satu-satunya antarmuka jaringan yang melihat ke luar dikonfigurasikan sebagai "Jaringan publik".

Nmap tidak menemukan port terbuka . Output nmap menunjukkan bahwa bahkan dalam kasus ini, beberapa port terbuka secara default:

Host is up (0.017s latency).
Not shown: 997 filtered ports
PORT      STATE SERVICE
135/tcp   open  msrpc
445/tcp   open  microsoft-ds
49154/tcp open  unknown

— Virtio-, Windows CD.
ISO- — Fedora, .

Windows .

, .

:

• Virustotal
• Mmalwr
• WannaCry GitHub
• Wana Decrypt0r 2.0 Pentestit

, :

UPD: , SMBv1.

:

• Microsoft Security Bulletin MS17-010
• , (Windows XP, Winows Server 2003R2)

- , SMBv1. ( Windows 8.1 ):

dism /online /norestart /disable-feature /featurename:SMB1Protocol

UPD2: . :

• , Windows 7 Windows Server 2008 R2, 4012212 4012215
• cmd.exe ( )
• :
  

  wmic qfe list | findstr 4012212

• Enter
• - , :
  

  http://support.microsoft.com/?kbid=4012212 P2 Security Update KB4012212 NT AUTHORITY\ 3/18/2017

• ,
• , UPD9

100% .
, , Windows .

UPD3: :

, . FuzzBunch, Shadow Brokers Equation Group, . .
Microsoft MS 17-010, .
https://github.com/fuzzbunch/fuzzbunch .
DoublePulsar.
, 445 MS 17-010, DoublePulsar
, .

UPD4: :

UPD5: :

UPD6: :

- WannaCrypt , iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com.
, @MalwareTechBlog, , - , .

, , , ; , . , .

- 12 . 300 . 99 , , «», . , , . .
, , Windows, .

UPD7: Microsoft (Windows XP Windows Server 2003R2)

UPD8: 2ch.hk

Shadow brokers
C/Python
Linux

?

Linux
IP
445
SMB , ,
.

UPD9: :

UPD10: killswitch UPD6.

xsash, Inflame, Pulse, nxrighthere, waisberg, forajump, Akr0n, LESHIY_ODESSA, Pentestit, alguryanow .