【安全预警】关于方程式组织黑客工具包再曝光通知
http://bbs.qcloud.com/thread-28531-1-1.html关于方程式组织黑客工具包再曝光(包含多个Windows 0day利用工具)预警通知
尊敬的腾讯云客户：
您好，2017年4月15日，国外黑客组织Shadow Brokers泄露出了一份机密文档，其中包含了多个Windows0Day远程漏洞利用工具，外部攻击者利用此工具可远程攻击并获取服务器控制权限，该漏洞影响极大。
目前已知受影响的Windows版本包括但不限于(目前大量windows服务操作系统版本均在受影响之列)：
Windows NT
Windows 2000
Windows XP
Windows 2003
Windows Vista
Windows 7
Windows 8
Windows 2008
Windows 2008 R2
Windows Server 2012 SP0
为保证您在腾讯云上的业务安全，请您务必及时关注该漏洞并开展相应的安全整改措施，此次风险描述及修复方案如下：
【风险等级】
高风险
【漏洞风险】
黑客可以通过发布的工具远程攻击服务器。
【影响服务】
主要影响SMB和RDP服务
【漏洞验证】确定服务器是否对外开启了137、139、445端口测试方法：服务器命令行窗口执行netstat -an查看是否有相应对口开放，同时亦可以通过访问http://tool.chinaz.com/port/（输入IP，下面填入137,139,445,3389）判断服务端口是否对外开启。注意：rdp是远程桌面服务，不局限于3389端口，如果您的windows远程桌面使用了其他端口，也在受影响之列。
【漏洞修复建议】1、推荐方案：更新官方补丁截至目前，方程式组织所使用的大部分漏洞均官方均已发布相关补丁，强烈建议您更新相关补丁。攻击工具所对应的补丁列表如下：
工具名称解决措施
“EternalBlue”Addressed by MS17-010
“EmeraldThread”Addressed by MS10-061
“EternalChampion”Addressed by CVE-2017-0146 & CVE-2017-0147
“ErraticGopher”Addressed priorto the release of Windows Vista
“EsikmoRoll”Addressed by MS14-068
“EternalRomance”Addressed by MS17-010
“EducatedScholar”Addressed by MS09-050
“EternalSynergy”Addressed by MS17-010
“EclipsedWing”Addressed by MS08-067
若您的服务器暂时不方便更新补丁，腾讯云推荐的临时解决方案如下：
2、临时解决方案（两种方案）：4月19日更新方案 1）1）为了保证系统的安全性，我们建议您关闭安全组的【TCP协议下 137、139、445端口全部入网规则】、【UDP协议下137、445端口全部入网规则】，另外限制远程登录源IP地址，一般端口默认为：3389。目前腾讯云控制台发布了此漏洞的一键规避工具，如果您业务上没有使用137、139、445端口，可登录【CVM控制台】-【安全组】-【编辑规则】使用工具一键规避此漏洞风险。http://shp.qpic.cn/txdiscuz_pic/0/_bbs_qcloud_com_forum_201704_19_174029rsgg8q8jzg1sg64s.png/0
http://shp.qpic.cn/txdiscuz_pic/0/_bbs_qcloud_com_forum_201704_19_174045zv7bbg73rhfchhwc.png/0
2) 针对windows2008版本及以上的系统可以临时关闭相应服务操作步骤如下:netstat -an|findstr 445netstat -an|findstr 137netstat -an|findstr 139a：未修复之前截图如下：http://shp.qpic.cn/txdiscuz_pic/0/_bbs_qcloud_com_forum_201704_16_003349jmty8p84ndllaaya.png/0
b：修复操作如下：禁止windows共享，卸载下图两个组件（此操作的目的是禁止445端口）http://shp.qpic.cn/txdiscuz_pic/0/_bbs_qcloud_com_forum_201704_16_003419m4wyq5ococpwodvy.png/0
（实施完毕后，需要重启系统生效，操作前请您根据对业务的影响情况进行评估）
c：禁止netbios（此操作的目的是禁止137,139端口）http://shp.qpic.cn/txdiscuz_pic/0/_bbs_qcloud_com_forum_201704_16_003442mpk72ikpha2yp4al.png/0
重启后我们看到137,139,445端口全部关闭。http://shp.qpic.cn/txdiscuz_pic/0/_bbs_qcloud_com_forum_201704_16_003500kj7zkwdrh9plk7dw.png/0
d：关闭远程智能卡（此操作的目的是关闭windows智能卡功能，避免rdp服务被攻击利用）
在运行框中输入 gpedit.msc 之后，点击确定或者直接按键盘上的回车键。
管理模板
智能卡http://shp.qpic.cn/txdiscuz_pic/0/_bbs_qcloud_com_forum_201704_16_003510u55llcsl8nsy8cyw.png/0
【漏洞参考】1）https://blogs.technet.microsoft.com/msrc/2017/04/14/protecting-customers-and-evaluating-risk/
如上为目前腾讯云参考解决方案，具体需要您根据自身业务进行对照检查并开展整改工作，腾讯云也会对该漏洞持续跟进关注，相关信息BBS论坛进行更新通告。
历史记录（方案更新）：
1) 利用腾讯云安全组配置安全防护规则，操作如下：下图为利用安全组限制可以远程访问的3389端口的源IP。
http://shp.qpic.cn/txdiscuz_pic/0/_bbs_qcloud_com_forum_201704_16_003322hewewty9l1v8l3zk.png/0
下图为利用安全组禁用137,139,445端口。
http://shp.qpic.cn/txdiscuz_pic/0/_bbs_qcloud_com_forum_201704_16_003334ibnucl7hhcn1zt1a.png/0
幸亏本站 ，端口控制严格，，，不然麻烦大了
页:
[1]