关于新型变种勒索病毒（FilesLocker）的安全预警

一、概要

近日，互联网上出现新型变种勒索病毒（FilesLocker）。FilesLocker是一款代理型勒索软件，已经从FilesLocker 1.0、FilesLocker 2.0升级到最新的FilesLocker 2.1圣诞版，通过中间代理人向外传播。设备感染该病毒后，系统文件会被加密，电脑桌面壁纸将被更换为圣诞节日相关图片，目前尚未公布秘钥，暂时无法解密恢复。

请各位租户注意防范。

二、威胁级别

威胁级别：【严重】

（说明：威胁级别共四级：一般、重要、严重、紧急。）

三、影响范围

开启了445端口SMB网络共享协议，且未升级漏洞补丁的Windows系统（包括个人版和服务器版）。

四、排查和处置方法

排查方法：

1. 检查系统是否安装了MS17-010漏洞补丁包；

2. 检查系统是否开启了445端口的SMB网络共享协议；

3. 检查系统桌面是否被更改为圣诞相关图片；

4. 检查系统是否升级其他漏洞补丁

处置方案：

1. 隔离感染主机：已中毒计算机尽快隔离，关闭所有网络连接，禁用网卡;

2. 切断传播途径：关闭潜在终端的SMB 445等网络共享端口，关闭异常的外联访问；

3. 查找攻击源：手工抓包分析或借助态势感知类产品分析，确认全网感染数量；

4. 查杀病毒：可使用以下工具进行查杀（http://edr.sangfor.com.cn/tool/SfabAntiBot.zip）

5. 修补漏洞：安装“永恒之蓝”漏洞补丁。请到微软官网，下载对应的漏洞补丁（https://technet.microsoft.com/zh-cn/library/security/ms17-010.aspx）

6. 设置复杂密码：如果主机账号使用简单密码，建议重置为高强度的密码。

7. 感染FilesLocker1.0和FilesLocker2.0版本病毒的主机，可以尝试利用以下工具解密：（http://edr.sangfor.com.cn/tool/FilesLockerDecrypter.zip）。

五、安全建议

1. 不从不明网站下载相关的软件，不要点击来源不明的邮件以及附件；

2. 及时给电脑打补丁，修复漏洞；

3. 修改密码：设置主机账号密码为高强度的密码；

4. 对重要的数据文件定期进行非本地备份；

5. 安装专业的第三方反病毒软件（推荐使用华为云市场软件）；

6. 关闭或通过安全组限制不必要的文件共享权限以及端口，如：445、3389等。

注意：修复漏洞前请将资料备份，并进行充分测试。