九游老哥云
方程式组织走漏大宗针对Windows攻击工具威胁
2017-04-15
北京时间4月14日晚间，Shadow Brokers组织宣布了此前窃取的部分方程式（Equation Group）组织的神秘文件 。这部分被果真的文件一经被Shadow Brokers组织以数亿美金拍卖，由于这部分文件包括了数个令人震撼的黑客工具，用来攻击包括Windows在内的多个系统误差 。此次走漏的文件包括三部分：Windows Swift以及Odd 。
其中Windows目录下的黑客工具包括了IIS 6.0远程误差的使用；SMB1的重量级使用，可以用来攻击开放了445端口的Windows系统并且提权；RDP服务远程误差的使用，可以攻击开放了3389端口的Windows机械等等 。开放了1354453389等端口的Windows服务器有很或许率受到攻击 。
方程式组织听说是美国国家清静局(NSA)下属的一个黑客组织，拥有着超高的手艺以及大宗黑客工具 。这次走漏出来的误差攻击工具笼罩了全球绝大部分的Windows服务器，且任何人均可以下载直接使用，可是微软（Microsoft）官方也随即在北京时间15日宣布通告，体现针对Windows系统的攻击已经大部分在之前的系统升级补丁中解决 。
相关地点：
https://steemit.com/shadowbrokers/@theshadowbrokers/lost-in-translation
https://www.bleepingcomputer.com/news/security/shadow-brokers-release-new-files-revealing-windows-exploits-swift-attacks/
https://zhuanlan.zhihu.com/p/26375989?utm_medium=social&utm_source=wechat_timeline&from=groupmessage&isappinstalled=0
https://blogs.technet.microsoft.com/msrc/2017/04/14/protecting-customers-and-evaluating-risk/
走漏文件如下：
受影响的版本
本次泄露的攻击工具使用了大宗Windows误差，详细影响版本请点击后面各误差详细信息审查 。
不受影响的版本
本次泄露的攻击工具使用了大宗Windows误差，详细影响版本请点击后面各误差详细信息审查 。
微软官方防护计划
微软MSRC在北京时间15日下昼宣布的视察效果显示，此次走漏的针对Windows的攻击中绝大部分已经在之前的系统升级补丁中修复（如下图所示），剩余的攻击工具（“EnglishmanDentist” “EsteemAudit” and “ExplodingCan”）也只影响微软不再支持的版本 。
值得注重的是在3月份刚刚宣布的MS17-010补丁，该补丁修复了3个重大的SMB远程使用误差，请用户尽快下载升级至新版本 。
建议用户将受到影响的辖档廷即升级到新的官方支持版本 。
参考链接：
https://blogs.technet.microsoft.com/msrc/2017/04/14/protecting-customers-and-evaluating-risk/
暂时防护计划
若是用户暂时未便升级相关系统，可以接纳以下暂时防护要领：
- 凭证最小化原则开放服务器端口，暂时关闭135137139445与3389等服务端口，且在非须要的情形下关闭端口对应的服务 。
- 严酷限制可信IP关于主要服务器的会见 。
注：由于此次涉及的误差数目众多，剖析起来较重大，相关的规则与插件安排速率较慢，九游老哥科技清静团队建议受影响的用户连忙升级到最新的官方支持版原来规避这些误差攻击 。
附录
相关端口说明：
135：
135端口主要用于使用RPC（Remote Procedure Call，远程历程挪用）协议并提供DCOM（漫衍式组件工具模子）服务，通过RPC可以包管在一台盘算机上运行的程序可以顺遂地执行远程盘算机上的代码；使用DCOM可以通过网络直接举行通讯，能够跨包括HTTP协议在内的多种网络传输 。
137：
137端口的主要作用是在局域网中提供盘算机的名字或IP地点盘问服务，一样平常装置了NetBIOS协议后，该端口会自动处于开放状态 。137端口属于UDP端口，使用者只需要向局域网或互联网上的某台盘算机的137端口发送一个请求，就可以获取该盘算机的名称、注册用户名，以及是否装置主域控制器、IIS是否正在运行等信息 。
139：
139 NetBIOS File and Print Sharing 通过这个端口进入的毗连试图获得NetBIOS/SMB服务 。这个协议被用于Windows”文件和打印机共享”和SAMBA 。在Internet上共享自己的硬盘是可能是最常见的问题 。
445：
445端口也是一种TCP端口，该端口在windows 20XX Server系统中施展的作用与139端口是完全相同的 。详细地说，它也是提供局域网中文件或打印机共享服务 。不过该端口是基于CIFS协议（通用因特网文件系统协议）事情的，而139端口是基于SMB协议（服务器协议族）对外提供共享服务 。同样地，攻击者与445端口建设请求毗连，也能获得指定局域网内的种种共享信息 。
3389：
3389端口是Windows 20xx Server远程桌面的服务端口，可以通过这个端口，用”远程桌面”等毗连工具来毗连到远程的服务器，若是毗连上了，输入系统治理员的用户名和密码后，将变得可以像操作本机一样操作远程的电脑，因此远程服务器一样平常都将这个端口修改数值或者关闭 。
声 明
本清静通告仅用来形貌可能保存的清静问题，九游老哥科技不为此清静通告提供任何包管或允许 。由于撒播、使用此清静通告所提供的信息而造成的任何直接或者间接的效果及损失，均由使用者自己认真，九游老哥科技以及清静通告作者不为此肩负任何责任 。九游老哥科技拥有对此清静通告的修改息争释权 。如欲转载或撒播此清静通告，必需包管此清静通告的完整性，包括版权声明等所有内容 。未经九游老哥科技允许，不得恣意修改或者增减此清静通告内容，不得以任何方法将其用于商业目的 。
