總機：020-87516161 傳真：020-87516161-8040
地址：廣州市天河北路898號信源大廈3206-3211室 郵編：510660
安全公告編號:CNTA-2017-0029
北京時間4月14日晚間，Shadow Brokers（影子經(jīng)紀人）組織在互聯(lián)網(wǎng)上發(fā)布了此前獲得的部分方程式黑客組織（Equation Group）的文件信息,包含針對Windows操作系統(tǒng)以及其他服務(wù)器系統(tǒng)軟件的多個高危漏洞利用工具。由于其發(fā)布的攻擊工具集成化程度高、部分攻擊利用方式較為高效，有可能引發(fā)互聯(lián)網(wǎng)上針對服務(wù)器主機的大規(guī)模攻擊。
一、事件情況簡要分析
Shadow Brokers發(fā)布了黑客使用的大量針對Windows操作系統(tǒng)、銀行專用系統(tǒng)以及其他廣泛應(yīng)用的服務(wù)器軟件產(chǎn)品的工程化工具，涉及的產(chǎn)品包括：Windows操作系統(tǒng)及其IIS和SMTP客戶端服務(wù)組件、IBM Lotus辦公服務(wù)組件、MDaemon郵件系統(tǒng)、IMAIL郵件系統(tǒng)等，其中威脅較大的漏洞利用工具如下：
此外， Shadow Brokers發(fā)布的數(shù)據(jù)還包括一些演示文稿和excel表格，方程式攻擊了中東一些使用了 SWIFT結(jié)算系統(tǒng)的銀行信息系統(tǒng)。CNVD對上述已知的或未收錄漏洞的綜合評級均為“高危”。
二、應(yīng)急處置建議
根據(jù)微軟官方發(fā)布的聲明稱，上述表項中涉及的大部分漏洞已在微軟支持的產(chǎn)品中修復，微軟官方公告的解決方案對應(yīng)表如下表所示。由于微軟已經(jīng)停止對Windows XP和Windows Server 2003的安全更新，因此對于XP和2003用戶以及其他未打補丁的用戶直接構(gòu)成攻擊威脅。
表 微軟官方公告解決方案對應(yīng)表
截止4月16日要本公告發(fā)布時，其他涉及的郵件系統(tǒng)廠商和辦公系統(tǒng)軟件廠商還未對發(fā)布的漏洞攻擊情況進行回應(yīng)?？紤]到近期有可能出現(xiàn)的攻擊威脅，CNVD建議相關(guān)單位和個人用戶做好以下措施：
（一）關(guān)閉135、137、139、445、3389等端口的外部網(wǎng)絡(luò)訪問權(quán)限，在服務(wù)器上關(guān)閉不必要的上述服務(wù)端口；
（二）加強對135、137、139、445、3389等端口的內(nèi)部網(wǎng)絡(luò)區(qū)域訪問審計，及時發(fā)現(xiàn)非授權(quán)行為或潛在的攻擊行為；
（三）做好本單位Window XP和Windows server 2003主機的排查，使用替代操作系統(tǒng)；
（四）IMAIL、IBMLotus、MDaemon等軟件產(chǎn)品用戶需要及時關(guān)注廠商安全更新，及時修復。
附：參考鏈接：
http://thehackernews.com/2017/04/window-zero-day-patch.html?m=1&from=groupmessage
https://github.com/misterch0c/shadowbroker/blob/master/file-listing
https://github.com/x0rz/EQGRP_Lost_in_Translation/
https://yadi.sk/d/NJqzpqo_3GxZA4
https://blogs.technet.microsoft.com/msrc/2017/04/14/protecting-customers-and-evaluating-risk/?from=timeline&isappinstalled=0（微軟發(fā)布的官方安全公告）