Какое значение имеет патч MS17-010 и деактивация SMBv1, связанные с WannaCry? Это удаляет вредоносное ПО или просто останавливает его распространение?

3487
Antony

Я много гуглил по этому поводу, но не смог найти ответ.

Я хотел бы понять, если исправление Windows с обновлением MS17-010 предотвратит установку / выполнение вредоносного ПО WannaCry или просто предотвратит распространение вредоносного ПО (однажды установленное на определенном ПК и, следовательно, заражающего его) через интрасеть?

Кроме того, если исправление MS17-010 установлено правильно, есть ли преимущества от отключения SMBv1? Или сам патч MS17-010 можно считать достаточно?

Последний вопрос / сомнение: перед отключением SMBv1, как быть уверенным, что это не повлияет на производительность / надежность сети?

9
Официальное сообщение от команды хранения Microsoft относительно SMBv1: [Прекратите использовать SMBv1.] (Https://blogs.technet.microsoft.com/filecab/2016/09/16/stop-using-smb1/) grawity 6 лет назад 2
Спасибо @grawity, это определенно прояснило мои сомнения по поводу отключения SMBv1. Antony 6 лет назад 0

1 ответ на вопрос

11
Bob

First, a little preface. The MS17-010 patch is included in all the update rollups for Windows 7, 8.1 and 10 from March onwards. So if you have the April or May (or newer) rollup updates installed, you don't need (and won't have installed) the specific KB-number linked to the MS17-010 patch.

However, if you've elected to install only security-only updates, then you will specifically need to have the March one installed. Unless you've specifically chosen this path, you should be on the rollups. Safest bet is just to let Windows update everything until it says it's up to date.

This is actually the case for all security patches now, not just this one.

will prevent WannaCry malware from installing/executing

The MS17-010 patch does nothing to stop the ransomware itself. If you download the exe and run it, it'll still do its thing and encrypt your files. For example, the primary infection vector on most networks was through email attachments, IIRC. This is nothing new for ransomware.

However, the worm portion of the program is what facilitates its spread through networks. This attacks the SMBv1 implementation on the destination computer, i.e. the computer the worm is spreading to, not from.. Therefore, the MS17-010 patch must be installed every Windows machine on the network.

Generally, NAT or firewalls at the network edge prevent spread through the internet.

just prevent the malware (once installed on a certain PC and therefore infecting it) from propagating through the intranet

The patch does nothing to help an already-infected computer. It's only useful if installed on the other non-infected computers on the network.

are there any benefits of disabling SMBv1 too?

Not directly for WannaCry/EternalBlue, as the MS17-010 patch fixes this particular hole. However, defense in depth would suggest disabling SMBv1 anyway unless you need it, as it reduces the attack surfaces and minimises damage should there be another currently-unknown SMBv1 bug. Given that Vista and newer support SMBv2, there should be no need to keep SMBv1 enabled unless you need to share files with XP. I hope that's not the case.

before disabling SMBv1, how to be sure that this will not affect network performance/reliability?

The most obvious effect is you will no longer be able to use Windows file sharing with any XP systems.

As per the link grawity posted and the comments there, this might prevent your computer from showing up in or using the "network" list. You can still access them by typing in the \\computername and see them listed using homegroups (or Active Directory in a business environment).

The other exception as called out in that blog post is older network photocopiers/scanners that have "scan to share" functionality might not support a modern SMB protocol.

Большое спасибо, Боб. Как я понимаю, исправление MS17-010 и деактивация SMBv1 полезны для предотвращения заражения моего компьютера в той же сети. Итак, какой подход можно использовать для своевременного обнаружения WannaCry (или аналогичного), чтобы предотвратить его установку на моем ПК напрямую (например, из почтовых вложений)? Достаточно ли Malwarebytes или любой другой современной антивирусной программы? Есть ли конкретная утилита, которую вы бы посоветовали? Antony 6 лет назад 0
@Antony К сожалению, нет никакого способа охватить все основы. Антивирусная программа в реальном времени обеспечит вам некоторый уровень защиты, но я считаю, что единственное хорошее решение состоит в том, чтобы пользователь был осторожен с тем, что он открывает, - в конце концов, эти электронные письма являются атакой со стороны человека. И, конечно же, наличие резервных копий (отключенных от ПК, например, на переносном жестком диске, или Crashplan / Backblaze, если ваше интернет-соединение достаточно хорошее) поможет вам оправиться от такой атаки, если случится попадание из-за другой ошибки. Bob 6 лет назад 0
@Antony Для ясности: антивирусные и вредоносные программы полезны против * известных * атак, для которых они распознают подпись, но им потребуется некоторое время, прежде чем они смогут обнаружить новейшую атаку. Есть также эвристическое обнаружение, но это ненадежно. Bob 6 лет назад 0