通过 EternalBlue 漏洞感染 150,000 台主机

最近，通过 EternalBlue 漏洞出现了一种新病毒（WmSrvMiner）。病毒感染主机设备进行挖矿，主要表现为异常冻结怎样看电脑是否中了挖矿病毒，严重影响主机性能和业务正常运行。目前，据第三方机构统计，受感染主机数量超过15万台。请各重点单位加强主机设备安全防护，提醒员工不要点击来源不明的邮件和附件，防止感染病毒。新型挖矿病毒WnSrvMiner的应急预警及处置建议。

深圳市网络与信息安全信息通报中心

二、事件信息（一)事件摘要

事件名称 WnSrvMiner 新挖矿病毒

威胁类型挖掘病毒

高威胁等级

p>

受影响的系统和应用程序版本

在端口 135、139 和 445 上启用了 SMB 网络共享协议的 Windows 系统（包括个人版和服务器版）。

( 二）漏洞描述

WmSrvMiner利用永恒之蓝漏洞进行渗透攻击，伪装成主机中的svchost.exe，通过连接：13333下载横向传播的攻击工具，按照C2站点的命令执行挖矿程序。该病毒集成了多种病毒模块，检测和查杀难度大，极易造成内网横向传播。

(三）影响范围

启用端口 135、139、445 或 SMB 网络共享协议的 Windows 系统（包括个人版和服务器版）。

三、 处置建议（一）检查计划

1.检查系统是否有最新的系统漏洞补丁包；

2.检查系统是否开启了445端口的SMB网络共享协议，或者不必要的共享端口；

3.检查内网是否有主机访问：13333；

3.检查系统是否存在运行异常的svchost.exe；

4.检查是否有永恒之蓝.exe（永恒之蓝.dll）、永恒浪漫（mance.exe）等攻击程序。

(二）解决方案

1.隔离受感染主机：尽快隔离受毒计算机，关闭所有网络连接，禁用网卡；

2.切断传播路径：关闭潜在终端的445等网络共享端口，关闭异常外部访问；

3.查找攻击源并确认感染人数：人工抓包分析或配合态势感知产品分析，确认全网感染人数；

4.病毒检测：使用以下工具Check and kill();

5.在网络出口拦截访问：13333，防止恶意程序下载攻击组件；

6.增加密码难度：如果主机账号密码为简单密码，建议重设强密码。

四、应急响应建议

一旦发现系统漏洞被利用，第一时间报告我中心（电话：84452816），同时采取以下应急措施：

1.是立即断开被入侵主机系统的网络连接，防止进一步破坏；

2.保留相关日志信息；

3.通过“解决方案”加固系统怎样看电脑是否中了挖矿病毒，在恢复网络连接前检查确认没有相关漏洞。

p>

网警提醒：请各重点单位加强主机设备安全防护，提醒员工不要点击来源不明的邮件和附件，防止感染病毒。