一、 概要
近期，出现一种利用永恒之蓝漏洞的新型病毒（WmSrvMiner）。该病毒在主机中伪装为 svchost.exe，通过感染主机设备进行挖矿，主要表现为异常卡顿，严重影响主机性能和业务正常运行。由于该病毒集成多种病毒模块，查杀难度较高，极易导致内网横向传播扩散。目前，据第三方机构推测，感染主机数量超过 15 万。
请涉及威胁的用户根据自身业务情况，采取防护措施。
二、威胁级别
威胁级别：【严重】
（说明：威胁级别共四级：一般、重要、严重、紧急。）
三、影响范围
开启了 135、139、445 端口 SMB 网络共享协议的 Windows 系统（包括个人版和服务器版）。
四、影响范围
排查方法：
1. 检查系统是否安装了最近系统漏洞补丁包；
2. 检查系统是否开启了 445 端口的 SMB 网络共享协议，或者不必要的共享端口；
3. 检查内网是否有主机访问恶意链接（103.55.13.68:13333）；
4. 检查系统是否存在异常运行的 svchost.exe；
5. 检查系统 C:\Windows\security\IIS 文件目录是否存在永恒之蓝（Eternalblue.dll）、永恒浪漫 (mance.exe) 等攻击程序。
处置方案：
1. 隔离感染主机：已中毒计算机尽快隔离，关闭所有网络连接，禁用网卡;
2. 切断传播途径：关闭潜在终端的 445 等网络共享端口，关闭异常的外联访问；
3. 查找攻击源，确认感染数量：手工抓包分析或借助态势感知类产品分析，确认全网感染数量；
4. 使用专业的第三方反病毒软件, 升级最新病毒库并查杀病毒；
5. 在网络出口封堵恶意链接（103.55.13.68:13333）访问，阻止恶意程序下载攻击组件；
6. 提高密码难度：如果主机账号密码为简单密码，建议重置高强度的密码。
五、安全建议
1. 不从不明网站下载相关的软件，不要点击来源不明的邮件以及附件；
2. 及时给电脑打补丁，修复漏洞；
3. 修改密码：设置主机账号密码为高强度的密码；
4. 对重要的数据文件定期进行非本地备份；
5. 安装专业的第三方反病毒软件；
6. 关闭不必要的文件共享权限以及关闭不必要的端口，如： 135、139、445 等。
注意：修复漏洞前请将资料备份，并进行充分测试。
现代教育技术中心
2019-03-17