如何让电脑中勒索病毒

5月12日起，Onion、WNCRY两类敲诈者病毒变种在全国乃至全世界大范围内出现爆发态势，大量个人和企业、机构用户中招。

重点是电脑中了病毒后电脑被封锁，常见文件都会被病毒加密，用户无法破解密码，相当于文件的控制权落入到了黑客的手中。

而现在的一些网站标题和内容突出的重点提示是会被敲诈勒索，给人的误会就是既然是敲诈勒索，我不理会就行了。

所有当务之急就是没有被感染的用户尽快在断网的情况下使用U盘或移动硬盘备份重要资料。做到有备无患才是上上策。

该病毒感染电脑后，会封锁电脑，然后在桌面上显示窗口，强迫用户支付一定的比特币后才可又解锁。

软件利用美国国家安全局黑客武器库泄露的ETERNALBLUE（永恒之蓝）发起病毒攻击。远程利用代码和4月14日黑客组织Shadow Brokers（影子经纪人）公布的Equation Group（方程式组织）使用黑客工具包有关。其中ETERNALBLUE模块是SMB 漏洞利用程序，可以攻击开放了 445 端口的 Windows 机器，实现远程命令执行。 蠕虫软件正是利用 SMB服务器漏洞，通过2008 R2渗透到未打补丁的Windows XP版本计算机中，实现大规模迅速传播。 一旦你所在组织中一台计算机受攻击，蠕虫会迅速寻找其他有漏洞的电脑并发起攻击。

事实上，微软已经在三月份发布相关漏洞（MS17-010）修复补丁，但很多用户都没有及时修复更新，因而遭到此次攻击。

西班牙计算机应急组织还针对WannaCry发布了警告：”WannaCry勒索软件侵入计算机，将文件加密并通过SMB执行远程命令。现在已经侵入了其他Windows系统的机器。”

目前还不清楚WannaCry的幕后黑手到底是谁。但大部分攻击来自钓鱼邮件，或是受害者访问的含有恶意软件的网站。早在今年二月，WannaCry的前身WeCry就已发起过攻击，向用户勒索比特币。

漏洞名称：

Microsoft Windows SMB远程任意代码执行漏洞 (MS17-010)

包含如下CVE：

CVE-2017-0143 严重 远程命令执行

CVE-2017-0144 严重 远程命令执行

CVE-2017-0145 严重 远程命令执行

CVE-2017-0146 严重 远程命令执行

CVE-2017-0147 重要 信息泄露

CVE-2017-0148 严重 远程命令执行

CVE 的英文全称是“Common Vulnerabilities & Exposures”公共漏洞和暴露。CVE就好像是一个字典表，为广泛认同的信息安全漏洞或者已经暴露出来的弱点给出一个公共的名称。使用一个共同的名字，可以帮助用户在各自独立的各种漏洞数据库中和漏洞评估工具中共享数据，虽然这些工具很难整合在一起。这样就使得CVE成为了安全信息共享的“关键字”。如果在一个漏洞报告中指明的一个漏洞，如果有CVE名称，你就可以快速地在任何其它CVE兼容的数据库中找到相应修补的信息，解决安全问题。

漏洞描述：

SMBv1 server是其中的一个服务器协议组件。

Microsoft Windows中的SMBv1服务器存在远程代码执行漏洞。

远程攻击者可借助特制的数据包利用该漏洞执行任意代码。

以下版本受到影响：

Microsoft Windows Vista SP2

Windows Server 2008 SP2和R2 SP1

Windows 7 SP1

Windows 8.1

Windows Server 2012 Gold和R2

Windows RT 8.1

Windows 10 Gold

1511和1607

Windows Server 2016

解决方法

1 防火墙屏蔽445端口

(a) 快捷键WIN+R启动运行窗口，输入cmd并执行，打开命令行操作窗口，输入命令“netstat -an”，检测445端口是否开启。

(b) 如上图假如445端口开启，依次输入以下命令进行关闭：

net stop rdr / net stop srv / net stop netbt

2 利用 Windows Update 进行系统更新

3 关闭 SMBv1 服务

3.1 适用于运行 Windows 8.1 或 Windows Server 2012 R2 及更高版本的客户

对于客户端操作系统：

打开“控制面板”，单击“程序”，然后单击“打开或关闭 Windows 功能”。

在“Windows 功能”窗口中，清除“SMB 1.0/CIFS 文件共享支持”复选框，然后单击“确定”以关闭此窗口。

重启系统。

3.2 对于服务器操作系统：

打开“服务器管理器”，单击“管理”菜单，然后选择“删除角色和功能”。

在“功能”窗口中，清除“SMB 1.0/CIFS

文件共享支持”复选框，然后单击“确定”以关闭此窗口。

重启系统。

3.3适用于运行Windows 7、 Windows Server 2008 R2、 Windows Vista 和 Windows Server 2008，修改注册表

注册表路径︰ HKEY_LOCAL_MACHINE\\SYSTEM\\CurrentControlSet\\Services\\LanmanServer\\Parameters

新建项︰ SMB1，值0（DWORD）

重新启动计算机

关于影响的操作系统范围和对应的补丁号码详情请见：

勒索病毒中招尝试解决方案

1:打开自己的那个勒索软件界面，点击copy. （复制黑客的比特币地址）

2:把copy粘贴到b （区块链查询器）

3:在区块链查询器中找到黑客收款地址的交易记录，然后随意选择一个txid（交易哈希值）

4:把txid 复制粘贴给 勒索软件界面按钮connect us.

5:等黑客看到后 你再点击勒索软件上的check payment.

6:再点击decrypt 解密文件即可。