作者:
imasa (便當俠)
2017-05-13 07:58:41※ 引述《imasa (便當俠)》之銘言：
: 有興趣的人可以看看
:
: http://roger6.blogspot.tw/2017/05/wanacrypt0r-20-eternalblue-ms-17-010.html
:
: 在此就先不浪費篇幅在這post了
:
: 推 bignose0623: 想請問如何知道電腦有無中獎？在檔案尚未察覺被加密 05/13 05:28
: → bignose0623: 前，感謝 05/13 05:28
這裡有偵測的script下載
https://github.com/countercept/doublepulsar-detection-script
或者你也可以下載我改寫後打包起來的程式來偵測:
v1.06
https://mega.nz/#!aQQWEDAA!BuzKVICsuslIGEjgYRyV8gjxnaopivDV_13H0sUIqEE
備用載點:
https://www.mediafire.com/?jiph1b52d3uuwei
執行前請確認檔案有無被偷改過
v1.06 File Info
Executable File SHA1: 3DE8A176F3A8EC4AA33C1DA6B5EB18DFEBDFDEBF
Executable File Size: 9,248,968 Bytes
檢查自己機器時，左鍵點兩下程式就可以了 (XP除外)
下面是程式執行後的偵測結果
現在會直接掃描電腦是否有安裝相關的的 MS17-010 KB
KB號碼參考同討論串其他網友分享的ID
尚未被攻擊:
顯示 No presence of DOUBLEPULSAR SMB implant
http://imgur.com/bhha3st
被攻擊成功:(WanaCrypt0r可能已進行加密中或潛伏期)
http://imgur.com/BXFTu8G
按照我前文的內容把SMBv1協定關閉時
顯示 This machine has already closed SMBv1 protocol
這是我自己加的、原本的script沒有這段，會跳exception
這是win7的範例圖
http://imgur.com/vxjHIth
winXP的範例圖
http://imgur.com/wCqEQzJ
偵測程式的其他用法請參考原始script的說明
作者:
akay08 (Ara_K)
2017-05-13 08:15:00推推
補充一下 Win10 開這會被擋 要選擇仍要執行才會動
作者:
abram (科科)
2017-05-13 08:20:00昨天這麼熱鬧 我卻因為林奕含案沮喪到關機逃過一劫 冥冥之中也許是林女在保佑我的電腦 謝謝啦
請問vista有得補漏洞嗎QQ?我的最後卡在去年的更新但也是一直無法下載 ，是因為不支援了所以檔案整個沒得載了嗎？謝謝
作者:
noddle (noddle)
2017-05-13 08:30:00推
作者:
proletariat (Die Ruinen von Athen)
2017-05-13 08:39:00在熱門板排名快衝到前10了@@哇嗚 已經進前10了
作者:
imasa (便當俠)
2017-05-13 08:55:00win10不需要用這個 本身就沒漏洞了...
作者:
alkahest (==â•(′▽`)╯==)
2017-05-13 09:00:00感謝!
目前沒中，但本身是盜版win7，更新5月的會藍屏……現在不知道要不要換win10…
作者:
germun (ger)
2017-05-13 09:05:00win10不是沒漏洞, 是正常情況下已經強制幫你更新了...問題是在有沒有更新, 不在win10還win7...
作者:
kohinata (坂東隱世武者)
2017-05-13 09:10:00大半原因是新聞在抱了
當初剛裝WIN10覺得強制自動更新很靠盃，現在覺得關掉才是不知死活QQ
win7 sp1,檔案直接放在C: 顯示已經停止運作不知道跟使用者名稱是中文有沒有關係?
作者:
ciaerin (^^)
2017-05-13 09:25:00昨晚電腦怪怪的，要怎麼知道自己有沒有中啊
作者:
imasa (便當俠)
2017-05-13 09:25:00路徑請不要有中文
作者:
ciaerin (^^)
2017-05-13 09:27:00我的意思是...我不敢再練網了，沒練網的情況下可以知道嗎
作者:
mrporing (波利先生)
2017-05-13 09:46:00昨天沒開機，早上起來看到就想拔儲存槽，只留系統槽更新
作者:
F16V (Manners maketh man.)
2017-05-13 09:50:00請教目前有win8的災情嗎還是都8.1?
作者:
F16V (Manners maketh man.)
2017-05-13 09:51:00gg QQ
作者:
carlyu (EVA-288(Carl))
2017-05-13 09:53:00請問出現closed是否也代表沒有被implant?謝謝
作者:
tzback (籽別顆)
2017-05-13 09:55:00我Win10也是閃一下就關了 什麼都沒看到
作者: bignose0623 (Tim) 2017-05-13 09:58:00
感謝
作者:
tonyxfg (tonyxfg)
2017-05-13 10:04:00請問我點了後，出現無法連線，因為目標電腦拒絕連線，這是代表什麼情況?
作者:
tonyxfg (tonyxfg)
2017-05-13 10:08:00喔喔，所以這代表我的電腦已經堵上這個洞了嗎?非常感謝
作者: daidairu (呆呆儒) 2017-05-13 10:11:00
我想請問一下這支程式 假如我已經中毒了 但後來關掉SMB那顯示結果會是 你被攻擊了 還是 你關SMB 所以安全了?
作者:
squrar (無垠的天空)
2017-05-13 10:14:00win10 會怕！所以早上就1607更新成1703了 @@
作者:
hsr7016 (~天ç†å–µ~)
2017-05-13 10:31:00為啥我路徑也沒中文還是依開啟就當掉?
作者:
imasa (便當俠)
2017-05-13 10:32:00我更新了偵測程式，請重新下載會根據不同windows而有不同的行為，請參考更新後的內文主要更新內容是win10會跳過、xp需要手動輸入IPvista需要在別台電腦測試
請問昨天Avast攔截到一次mssecsvc.exe，剛剛搜尋電腦，未發現有相關的檔案這樣算攔截成功可放心，還是已經中標等哪天自己引爆了？(win7)
作者:
matsuri (Lady Bhaalspawn)
2017-05-13 10:39:00請問，我是照前文關掉SMB1以後才跑偵測軟體，
作者:
squrar (無垠的天空)
2017-05-13 10:40:00再下一次吧 I大有修正了
作者:
matsuri (Lady Bhaalspawn)
2017-05-13 10:41:00雖然偵測軟體顯示已經關掉，會不會還是有發作的風險？
作者:
imasa (便當俠)
2017-05-13 10:43:00如果別的病毒偷開或是手殘把SMBv1又打開 就會有風險
作者:
Rock0930 (這就是人蔘...)
2017-05-13 10:43:00感謝大大無私分享
作者:
matsuri (Lady Bhaalspawn)
2017-05-13 10:44:00筆電重灌回到WIN8後就沒法上8.1，現在挫咧等XD
作者:
kondoyu (pppk)
2017-05-13 10:55:00有中毒是用撥接還是用分享器上網的
作者:
imasa (便當俠)
2017-05-13 10:55:00Ejaculation能傳張圖給我看看嗎? 停止運作的圖
不曉得 不過我用分享器上網沒中槍 當然 現在已經更新了
作者:
qama (G.M.T.)
2017-05-13 10:57:00作者:
XAIOQ (xaioq)
2017-05-13 11:06:00想借問一下 如果筆電是雙系統 這樣是不要切到windows那邊就可以嗎 還是也要更新
作者:
cospergod (cospergod)
2017-05-13 11:10:00感謝您的熱心
作者:
tzback (籽別顆)
2017-05-13 11:11:00作者: slfantasy 2017-05-13 11:13:00
請問WIN10看更新紀錄是要更新哪個才算安全~
作者: kaine130243 (冰狩) 2017-05-13 11:14:00
小弟的windows服務中。沒看到smb欸。這是代表？
作者:
imasa (便當俠)
2017-05-13 11:24:00ariawind請問你的作業系統版本是?
作者:
megxz (黑色疾風)
2017-05-13 11:25:00回imasa win7 我剛剛有把smb1設成數值0
作者: Autumn06513 (阿丸) 2017-05-13 11:30:00
跟樓上一樣WIN7但執行檔案會出現停止運作QQ
作者:
megxz (黑色疾風)
2017-05-13 11:32:00這樣是有關掉嗎？
作者:
eyeonme (看什麼看)
2017-05-13 11:33:00作者:
Adven (電風扇)
2017-05-13 11:34:00@gemini2010,有readme.txt可以看喔
作者: lovejamwu (阿發我愛你!!!) 2017-05-13 11:37:00
我是win7完了我都沒在更新....
作者:
eyeonme (看什麼看)
2017-05-13 11:38:00自己回自己 以解決 我原本的使用者名稱是中文 後來新增一
作者:
ToujouAya (æ±åŸŽç¶¾ã®æ—¦é‚£)
2017-05-13 11:41:00有沒有人願意教第一個連結下載後怎麼使用QQ
作者:
imasa (便當俠)
2017-05-13 11:43:00原來是中文使用者，感謝補充
imasa 我使用者帳戶改成英文也不能耶，要重開?
作者: Shadow5566 (小小書僮) 2017-05-13 11:43:00
請問一下，如果win7有更新 ，而且用i大的程式包掃過也
作者:
laechan (揮淚斬馬雲)
2017-05-13 11:43:00我xp,第二個連結下載後解壓縮,資料夾名我直接改123,放到
作者:
laechan (揮淚斬馬雲)
2017-05-13 11:44:00C:\底下,再對執行檔按右鍵選新增捷徑,然後改捷徑執行為C:\123\detect_doublepulsar_smb.exe --ip xxx.xxx.xxx.x這樣直接點捷徑就會執行了,剛掃描完 safe, 感謝原poXP使用者可以開防火牆,到[例外]那邊,把vnc,遠端相關的取消打勾,我的電腦按右鍵選內容,點[遠端],那邊也取消打勾
作者:
zaq1qwer (王元姬大好>///<!)
2017-05-13 11:49:00請問 我已經中招了 我進入安全模式 把有wana的檔案都刪之後還是可以繼續用這顆硬碟嗎? (非系統碟) 謝謝回答~
作者:
eelse (This is Sparta)
2017-05-13 11:51:00感謝，測試完畢正常
想請教大家，我已經新增了，但檢測程式跑完沒有出現關閉的字樣
作者:
geken (Goblin & Koblod)
2017-05-13 11:54:00感謝
作者:
laechan (揮淚斬馬雲)
2017-05-13 11:56:00你系統是什麼?
作者:
laechan (揮淚斬馬雲)
2017-05-13 11:58:00你這樣就是掃完了吧,第二張圖
作者:
imasa (便當俠)
2017-05-13 11:58:00名字錯了，是SMB1
作者:
minihyde (minihyde)
2017-05-13 12:00:00在LanmanServer中的Parameters新增DWORD才能關閉
好！！我終於找到問題了...謝謝各位感激不盡...
我是Win7，按任意鍵繼續後視窗就關掉了，請問是什麼原因呢?
SMB1 已設定 但是用 netstat 依舊是 listening只要用程式掃 ok 就沒關係嗎？
作者:
skvis (乳房觀察家)
2017-05-13 12:18:00按任意鍵本來就會關掉 你要看上面那排英文寫什麼
作者:
a47135 (金屬史萊姆)
2017-05-13 12:19:00請問訊息是No presence of DOUBLEPULSAR SMB implant代表就不會中這個勒索病毒了嗎?
作者:
skvis (乳房觀察家)
2017-05-13 12:21:00是顯示尚未被攻擊
作者:
a47135 (金屬史萊姆)
2017-05-13 12:22:00因為本篇是說尚未被攻擊或是已安裝更新，好像沒辦法分出來到底是已經安裝更新不怕惹還是還沒被攻擊
作者:
bks9587 (None)
2017-05-13 12:24:00請問我可以開啟但按了任意鍵繼續後就直接消失是什麼問題?
作者:
a47135 (金屬史萊姆)
2017-05-13 12:26:00任意鍵繼續就是表示跑完了阿....任意鍵按下去自然會關閉
作者: dd614 (dd614) 2017-05-13 12:29:00
win8跑一下就跳到掉正常嗎?
作者:
hsr7016 (~天ç†å–µ~)
2017-05-13 12:30:00作者:
imasa (便當俠)
2017-05-13 12:31:00樓上請下載新版本試試
所以XP顯示refused SMBv1是代表還沒被攻擊和潛伏嗎?
作者:
hsr7016 (~天ç†å–µ~)
2017-05-13 12:36:00可以執行了 但跳出closed SWBv1的提示的話要再重開在測?
作者: ggoutoutder (女朋友的左手) 2017-05-13 12:40:00
問一下 我沒辦法更新怎麼辦 他一直在檢查更新
作者:
yizhe (rouyy)
2017-05-13 12:40:00沒有"尚未被攻擊或已裝KB"提示，只有"SMB關閉"提示就好嗎?
作者: cbstgb (你逆) 2017-05-13 12:43:00
感謝版大跟推文大大教學 終於成功了
作者: log65320 (Logarithm) 2017-05-13 12:44:00
推
作者: ericthree (如果 她這樣動人) 2017-05-13 12:49:00
推推
作者:
thbw666 (富和尚)
2017-05-13 12:50:00感謝原po
作者:
a410046 (a410046)
2017-05-13 12:52:00太感謝了
我是win8.1 也是一開馬上跳掉 我剛剛12點47分下載的QQ 路徑全英文
作者:
imasa (便當俠)
2017-05-13 12:59:00樓上你這個是其他問題 我正在想辦法解決
作者:
argoth (熾眼)
2017-05-13 13:01:00SHA1是不是有變動過了？
作者:
a47135 (金屬史萊姆)
2017-05-13 13:01:00想請問一下原PO，尚未被攻擊和已安裝KB更新都是同樣訊息還是說如果沒裝KB(漏洞還是存在)但是尚未被攻擊的情況下會有其他訊息提示?
請問，我只有顯示NO PRESENCE那行並沒有顯示已經關閉SMBV1 我已經照原PO上一篇的方式操作過了
作者:
Hajimi (逆向思考全壘打!!)
2017-05-13 13:04:00感謝大神，推推！
作者:
LT26i (圖書館)
2017-05-13 13:06:00我已經解決了，再次感謝原PO各位要注意把機碼名稱 SMB1
作者: moneypack3 (錢包三號) 2017-05-13 13:08:00
解壓縮檔案大小不符耶，是我下載錯了嗎
作者:
OOQ (..............)
2017-05-13 13:11:00檢測完成 感謝
作者:
zelkova (*〞︶〝*)
2017-05-13 13:12:00請問安裝windows更新之後還需要裝這個嗎?
作者:
imasa (便當俠)
2017-05-13 13:13:00@milddawn 改了，請對照readme文件內的SHA1
作者: HowardxApple 2017-05-13 13:14:00
淚推 你專業
可是我的vista一直無法更新 ，都停在0不會動 …只能這幾天先別開機orz
作者:
imasa (便當俠)
2017-05-13 13:36:00@LightEcho 對、改好記得重開機
作者:
revolute ( somewhere )
2017-05-13 13:44:00推熱血
那有不用連網就能檢查電腦是否有病毒的辦法嗎？很害怕一連網就中標(已經更新到五月版本 5/12更新)不好意思麻煩您了
中文名稱版本可執行，檢查已關閉SMB1，謝謝原PO
作者: GhriS (童貞肥宅) 2017-05-13 13:59:00
記得win10也有這漏洞 但好像沒更新也不會中?
作者:
ashkaze (畏怕陽光)
2017-05-13 13:59:00請問我是先手動關閉SMB再下載偵測程式檢查，如果也是出現已關閉訊息代表目前機器無漏洞是不是?
作者: Yakiko (第三十五番號) 2017-05-13 14:09:00
感謝 掃完顯示已關閉SMBv1
作者:
abram (科科)
2017-05-13 14:21:00感謝 把路由器445 port關閉 確實就顯示已經關閉SMB了
作者:
lynked (左手不只是輔助而已)
2017-05-13 14:30:00mega下載來的檔案SH1跟原po提供的不符耶？？
作者:
Dkky (太妍魂)
2017-05-13 14:32:00File SHA1: 7D4F81F475A96BD28403F6F2E76C054DA62A1C3E
作者:
imasa (便當俠)
2017-05-13 14:34:00抱歉是我文章沒更新到 你貼的這SHA1是正確的
作者:
Dkky (太妍魂)
2017-05-13 14:35:00readme檔案裡面寫的
作者:
Dkky (太妍魂)
2017-05-13 14:40:00解壓縮後的exe檔 SHA才是我貼的那一串
作者:
imasa (便當俠)
2017-05-13 14:42:00@powerg5 你這是壓縮檔的SHA1，我寫的是裡面執行檔的
作者: wsx26997785 2017-05-13 14:42:00
如果顯示潛伏期 該怎麼解決?
作者:
yao7174 (普通的變態)
2017-05-13 14:46:00win8.1 下載顯示11點半左右更新的還是會直接跳掉耶
作者:
wade520 (wade)
2017-05-13 14:47:00關掉SMB還需要更新嗎??
作者:
beckyH (becky)
2017-05-13 14:56:00請問是先關掉SMB1然後下載偵測之後再更新嗎？445port也要
感謝imasa大，新版已可以使用 已關閉 SMBv1協定想問一下之後還需要打開他嗎?
作者:
imasa (便當俠)
2017-05-13 15:02:00@wade520 關掉SMBv1只是救急，還是請盡快更新@ariawind 不用開了 那是老舊的東西
作者: aaa89025 2017-05-13 15:05:00
問一下蠢問題，關閉SMB後中華電信的小烏龜wifi會受到影響嗎.謝謝
顯示 No presence of DOUBLEPULSAR SMB implant就OK了?不懂SMBv1協定?
作者:
Phaeton (凰呀的鳴叫~)
2017-05-13 15:14:00謝謝imasa，但是想請問現在win7 執行是關掉SMBv1而已，這樣就可以? win10的兩台電腦 是都正常更新 就說不用檢查非常謝謝原po教學
作者:
wade520 (wade)
2017-05-13 15:17:00感謝imasa解答
作者: rininan (蔥爆雞柳斬) 2017-05-13 15:18:00
很久沒用電腦了躲過一劫，感謝原po教學
作者: Duncan0722 2017-05-13 15:23:00
不好意思想請問一下樓主，如果我中毒前有將部分檔案放入手機裡面，之後我電腦重灌win10，手機再插入電腦後，電腦還有可能因為手機裡面以前的檔案而再次中毒嗎，手機裡面的檔案也會被影響到嗎，謝謝您
照原PO的方法關SMB 但是偵測程式還是跳尚未被攻擊那行?
作者:
semih (Sayginer)
2017-05-13 15:32:00請問xp已關掉SMBv1和已下載更新KB4012598 偵測出來只顯示關SMBv1 但沒顯示No presence of DOUBLEPULSAR SMB implant請問這是哪邊沒注意到 ?
作者:
icemc (ice)
2017-05-13 15:50:00semih 我跟你一樣沒顯示那行 不過上網站測已經安全了
作者:
Usecase (Use Case)
2017-05-13 15:56:00請問如果是windows server 2012 r2，有辦法執行這支檢測程式嗎？謝謝
作者:
willix83 (willix)
2017-05-13 15:58:00載點掛了!?
作者:
link5566 (連結56 連接你我)
2017-05-13 16:01:00載點掛了 有人能補嗎?
作者:
Wall62 2017-05-13 16:01:00icemc大請問你是上什麼網站測的
作者:
imasa (便當俠)
2017-05-13 16:14:00我剛才在更新程式，不好意思 馬上補載點
作者:
imasa (便當俠)
2017-05-13 16:20:00請問樓上的windows版本是?
作者:
icemc (ice)
2017-05-13 16:21:00作者:
ABC0000 ( AAA )
2017-05-13 16:22:00我的win7 跑完也會直接關掉
I大 我的也會 我開起來後視窗自動關掉 我是win8.1
作者:
Sallina (琉璃子 )
2017-05-13 16:23:00我的win7跑完也是很快關掉
作者:
infi23 (流浪)
2017-05-13 16:24:00我也被關掉了QQ
剛剛抓完 Win7 跟樓上一樣跑完直接關掉來不及看QQ
作者:
JieshinRS (油水夫夫住我家樓上)
2017-05-13 16:27:00作者:
warrigal (ALPHA)
2017-05-13 16:28:00推熱心的高手 請問假如後來才把smb關掉 可是之前就中毒會顯示什麼呢
作者: roveralex (菜餅) 2017-05-13 16:30:00
感謝分享
作者:
imasa (便當俠)
2017-05-13 16:31:00@JieshinRS 那是debug用的訊息 可以不管他
作者:
Wall62 2017-05-13 16:31:00iceme大感謝
作者:
JieshinRS (油水夫夫住我家樓上)
2017-05-13 16:32:00所以這樣是有關掉ok的嗎 還是有中毒……不好意思我是電腦白痴QAQ
作者:
ESC5566 (退出五六)
2017-05-13 16:42:00有用有推!!
作者:
Sallina (琉璃子 )
2017-05-13 16:44:00請問能放回前面那一版的測試程式嗎?這一版的跑完會跳掉
作者: catchco 2017-05-13 16:45:00
win7 跳掉+1
請問跳出This machine has already close SMBv1....是只代表關閉了協議 還是同時代表關閉協議和沒中毒
作者: Backmann (Backmann) 2017-05-13 16:50:00
作者:
vester ( )
2017-05-13 16:53:00一直更新失敗，何解?
作者:
alyh (矮栗盒)
2017-05-13 16:54:00有做更新 跑程式有顯示找到最新的KB更新 但跟上面一些板友貼的圖一樣 下面顯示TypeError 然後跑完秒關 >"<
作者:
imasa (便當俠)
2017-05-13 16:57:00TypeError應該已經修復了，請重新下載新版
作者:
c309023 (Esther)
2017-05-13 16:57:00謝謝大大，可以安心了
@imasa 那請問跳出已經關閉協議也同時代表沒中毒嗎?
作者:
alyh (矮栗盒)
2017-05-13 17:02:00謝謝原PO 辛苦你了 檢查完畢沒有問題~
作者: mapledog (LD) 2017-05-13 17:04:00
感謝I大 新版成功跑完未檢測出 真的辛苦你了!!
作者: Backmann (Backmann) 2017-05-13 17:08:00
感謝i大！新版顯示SMB1已關閉！太開心了！
謝謝i大，不過我跑出來只顯示SMBv1已關和找到KB4019264沒有顯示有沒有被攻擊
作者:
alyh (矮栗盒)
2017-05-13 17:19:00樓上是載到舊版嗎? 剛剛更新過的版本應該不會跳掉了 @@
作者: pths313 (萌夯獵人) 2017-05-13 17:20:00
用了104版還是會跳掉呢
作者: happysunny 2017-05-13 17:23:00
請問關閉這個會影響到什麼功能呢？ 想知道自己平常會不會用到
作者:
iSad56 (窩南果)
2017-05-13 17:31:00請問一下有顯示KB4xxxxxx found是否就是代表漏洞已補好?
作者:
ERQQ (EQQR)
2017-05-13 17:31:00win7跳掉 +1
作者:
imasa (便當俠)
2017-05-13 17:35:00你們請先下載新版試試看，看影片你像是用舊版本的@happysunny 關閉SMBv1 windows應該會去用SMBv2
作者:
Adven (電風扇)
2017-05-13 17:37:00感謝更新版本
作者: catchco 2017-05-13 17:39:00
請問跑完是顯示already"refused" SMBv1...是一樣的意思嗎
請問更新版本是？ 我今天12點47分下載的 一樣是開了馬上跳掉@@
作者:
alyh (矮栗盒)
2017-05-13 17:49:00@love 剛剛下午16:56有最新版本更新喔 重載看看吧
作者: pths313 (萌夯獵人) 2017-05-13 17:56:00
跟SpaghettI101很類似的情況閃退~win7是32位元的阿~跟higuma47的相同才是~完全一樣的內容
作者:
alyh (矮栗盒)
2017-05-13 18:04:00樓上你的影片就不能放個安全點的地方 像是YOUTUBE嗎? =_=
作者: OSAME (平凡男) 2017-05-13 18:04:00
I大 新版1.04反而XP 32位元會錯誤 原本1.01正常
請問更新完還要打開SMBv1嗎? 已確定關掉和安裝更新了
作者:
acro72 (let me think about it)
2017-05-13 18:11:00作者: OSAME (平凡男) 2017-05-13 18:15:00
XP我用101版沒問題 我剛剛刻意試兩個版本
作者:
imasa (便當俠)
2017-05-13 18:18:00@iSad56 這樣的運作方式是正常的 我沒看到什麼錯誤?@OSAME 因為101還不會掃描XP的KB
作者:
imasa (便當俠)
2017-05-13 18:23:00已更新1.05連結、發生問題的人請下載新版試試看
以前我也是都不安裝更新的，最近兩年買新電腦才開始讓它更新，只要是重要更新，更下去就是了QQ
作者:
iSad56 (窩南果)
2017-05-13 18:26:00但是我沒有看到No presence of DOUBLEPULSAR SMB implant
問一下 點大大提供的打包程式 直接是顯示說This machine has already closed SMBv1 protocol這樣是成功了嗎?
作者:
jpfly (暱稱j:p 小寫、冒號)
2017-05-13 18:26:00請問1.05版是否可以增加mega以外的載點？>人<
作者:
flywan (福來旺)
2017-05-13 18:29:00作者:
wunno (偏逢連夜雨)
2017-05-13 18:30:00請問若偵測被攻擊成功 但似乎還沒有檔案被加密(?) 那這時
作者:
wunno (偏逢連夜雨)
2017-05-13 18:31:00才開始關SMB1 安裝更新檔來的及嗎? 或是直接重灌了? 謝謝
作者: duringtime (撲撲) 2017-05-13 18:34:00
1.05 XP檢測成功....1.04 掃KB會閃退
作者:
imasa (便當俠)
2017-05-13 18:38:00作者:
imasa (便當俠)
2017-05-13 18:43:00可以@DaringDo 要打開命令列，開始->執行->輸入cmd
作者:
acro72 (let me think about it)
2017-05-13 18:44:00感謝~新版的在xp可以正常檢測了~
作者: aa82732664 2017-05-13 18:46:00
如果用大大的程式沒被攻擊會顯示什麼出來呢
作者:
iSad56 (窩南果)
2017-05-13 18:47:00105版跟104版狀況一樣 任意鍵後跳出 沒看到結果 [win7]再麻煩大大幫忙
作者:
imasa (便當俠)
2017-05-13 18:52:00@iSad56 從你的影片來看 你的SMBv1已經關掉了
作者:
flywan (福來旺)
2017-05-13 18:53:001.05版跟zxcv82大的狀況一樣 不過目前沒看到檔案加密幸好5月初有跑安全性更好
作者: ez2dancer (有股濃濃的恨意………) 2017-05-13 19:02:00
推，想請問如果Win7已經安裝過微軟修補檔，還需要再防火牆關閉Port445嗎？那SMBv1服務呢？
作者:
imasa (便當俠)
2017-05-13 19:06:00暫時safe, 請盡快安裝更新
作者:
schiffer (Schiffer)
2017-05-13 19:10:00推推！
作者:
sx366 (è–„è·)
2017-05-13 19:16:00感激不盡
作者:
alyh (矮栗盒)
2017-05-13 19:19:00@qwert 那是說你的電腦已經有把這個漏洞補起來了
作者:
rean5566 (路上突然好餓)
2017-05-13 19:22:00作者:
cy4750 (CY)
2017-05-13 19:24:00作者:
imasa (便當俠)
2017-05-13 19:26:00@cy4750 打開命令列，開始->執行->輸入cmd然後輸入提示指令@qwertasdfgh 提示你已經有安裝了 這是安全的
作者: cccmar (轟!!) 2017-05-13 19:28:00
推推，感謝大大協助!!! 希望大家電腦資料都安全~
作者:
imasa (便當俠)
2017-05-13 19:28:00@ez2dancer SMBv1已經過時 可以不需要了 現在都v2以上
作者:
imasa (便當俠)
2017-05-13 19:34:00@lovecoffee 少加個判斷而已 我1.05已經加了
作者:
cy4750 (CY)
2017-05-13 19:35:00我輸入那串+ip之後 顯示"不是內部或外部命令 可執行的程式
作者:
victoryss (☞ ☑中间选民 ☑爱歹玩)
2017-05-13 19:35:00thanks 沒更新 但是檢查安全 呼呼 我可愛ㄉA片
作者:
imasa (便當俠)
2017-05-13 19:42:00@cy4750 你應該是執行錯指令了、上個圖看看你輸入什麼吧
作者:
cy4750 (CY)
2017-05-13 19:44:00detect_doublepulsar_smb.exe --IP 這樣??
作者:
imasa (便當俠)
2017-05-13 19:45:00你還要找出你的IP，可以輸入ipconfig去找
這系列文很棒，有沒有版友做個總整理！？ 非常感謝i大及p大 以及推文中熱心的版友:)
作者:
cy4750 (CY)
2017-05-13 19:46:00有 我有找到IP了 我輸入的就是這串 後面是我查到的IP這樣
作者:
imasa (便當俠)
2017-05-13 19:48:00那你大概是目錄錯了...要到執行檔的目錄去執行喔
作者:
imasa (便當俠)
2017-05-13 19:50:00@hl571536xz有可能是安裝時寫key的路徑我沒掃描到如果可以的話 輸入regedit->按F3->輸入KBID 看看他出現在哪
作者:
min0502 (Rosalia)
2017-05-13 19:52:00ＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＡＨＪＪＪＪＪＪＪＪＪＪＪＪＪＪＪＪＪＪＪＪＪＪＪＪＪＪＪＪＪＪＪ
作者:
looscfor (looscfor)
2017-05-13 19:59:00請問顯示目前未被攻擊，但偵測程式說我未安裝更新，可是我看控制台更新記錄已經安裝完成了，這樣該怎麼處理呢？謝謝
作者:
min0502 (Rosalia)
2017-05-13 20:01:00i大 不好意思 剛剛確認電腦沒事後就開著電腦放著睡著了基於果
作者:
cmid05 (酷拉皮卡)
2017-05-13 20:03:00推
作者:
imasa (便當俠)
2017-05-13 20:04:00@hl571536xz 是的，能麻煩你把所有有關的路徑都找給我嗎?
作者:
min0502 (Rosalia)
2017-05-13 20:06:00小貓亂踩誤發推文 真的很不好意思
作者:
imasa (便當俠)
2017-05-13 20:19:00可能沒辦法 你找HKLKM和CUEERNT_USER底下的路徑給我就好
作者:
lolicone (∥○△○∥)
2017-05-13 20:38:00謝謝 執行中
作者:
cy4750 (CY)
2017-05-13 20:39:00作者:
semih (Sayginer)
2017-05-13 20:39:00感謝 但xp我用捷徑的方式會閃退 只好打cmd手動輸入ip就ok了樓上 detect_doublepulsar_smb.exe --ip 很像空一格才行
作者:
mkflyk23 (フライケー)
2017-05-13 20:47:00--ip 前後都要空一格
作者:
bill0205 (善良的小孩沒人愛)
2017-05-13 20:47:00作者:
bill0205 (善良的小孩沒人愛)
2017-05-13 20:51:00感謝
作者: arichage (台灣區南內推廣會長) 2017-05-13 20:58:00
有用有推！感謝提供！！
作者:
fayered (yvonne)
2017-05-13 21:03:00作者:
saiulbb (Becky♪＃是我的拉!)
2017-05-13 21:07:00謝謝分享 上了一課
作者:
salang (學習釋然)
2017-05-13 21:07:00我是無法下載改寫後的版本 他說ERRRO... 請問如何處理QQ我的是WIN7
作者:
fayered (yvonne)
2017-05-13 21:08:00可是我的沒顯示No presence of DOUBLEPULSAR SMBimplant超抖的
因為你先關了smb才跑程式對嗎我關之前跑過一次，也是這樣結果哦
作者:
CuteGG (GG)
2017-05-13 21:17:00請問下載完，點程式兩下，等他跑訊息跑出No presence of DOUBLEPULSAR SMB implant
請問imasa大，系統win8測試之後是如下的畫面
作者:
CuteGG (GG)
2017-05-13 21:19:00訊息裡面有看到這段字就是目前安全嗎
作者:
fayered (yvonne)
2017-05-13 21:22:00所以我要打開再跑嗎
作者:
chired (chired)
2017-05-13 21:24:00想請問一下 如果已經離線更新 登錄檔SMB1(0)要刪掉嗎?
f大，應該不用 已經顯示KB4012216 found 洞已經被堵住，請問imasa大，是這樣對嗎？
作者: ricky88052 (William) 2017-05-13 21:31:00
感謝大神
請問也有人裝了KB4019264 但是偵測說沒裝的嗎
作者:
lgng66133 (Mad Fer It！)
2017-05-13 21:35:00no沒有顯示No presence of DOUBLEPULSAR SMBimplant的話是要再把smb開起來跑一次程式嗎
作者: snosaes5566 2017-05-13 21:46:00
搞定惹!感謝imasa大大
作者:
juunuon (NANACON)
2017-05-13 21:52:00作者:
imasa (便當俠)
2017-05-13 22:21:00KB4019264的安裝方式用的是CPS安裝 這條路我沒有偵測到晚點補上
推 謝謝這篇的幫助 雖然我還是不敢連線來偵測潛伏病毒
your system is already installed MS17-010 什麼意思
作者:
CuteGG (GG)
2017-05-13 22:32:00用那個檢查程式要連網路嗎？
作者: sl910654 2017-05-13 22:45:00
真的是一邊流淚一邊推 太感謝
作者: skts 2017-05-13 23:26:00
兩個檔案均被修改過，請作者重新確認，謝謝(File SHA1不符)
作者:
koheik2 (ko)
2017-05-13 23:29:00閃一秒就關了win7啥都沒顯示???
作者:
werlight (Light)
2017-05-13 23:35:00作者:
zincs (白毫烏龍茶)
2017-05-13 23:36:00感謝!!!
感謝!! 幸好自己還沒中標 但一直沒辦法成功更新.....
作者:
s60609s (豬豬羊)
2017-05-14 00:22:00請問各位 我從去年三月中後更新都失敗 剛手動載了4019264也成功安裝了4019264 但前面更新還是失敗 這樣安全嗎?
作者:
lolicone (∥○△○∥)
2017-05-14 00:28:00這樣有裝成功 只要有其中一個就行了
作者:
s60609s (豬豬羊)
2017-05-14 00:29:00感謝
作者:
XDylan (初心者)
2017-05-14 00:44:00感謝
不好意思 請教一下 剛剛成功啟動後關閉想要放到其他資料夾裡 卻跳出無法完成動作資料夾裡的檔案已在其他程式開啟 ???但我明明確認資料夾和執行檔都關閉了阿
作者: evanabc 2017-05-14 01:03:00
test
難道是程式只是畫面關閉 其實還在執行嗎請問有什麼辦法可以檢查嗎
作者: Ladizman (Ladizman) 2017-05-14 01:07:00
是的
1.05版本也能一併檢查是否被病毒入侵潛伏嗎？先謝謝大大了
作者: azuresmile (有點) 2017-05-14 01:55:00
請問SHA1要從哪裡看呢?
作者: mjmj0316 (不說把我當神) 2017-05-14 01:59:00
我剛剛看了一下大小好像不太對?
作者:
crazycy (LCY)
2017-05-14 02:01:00不考慮開個源嗎XD 直接丟exe有些人會怕吧
作者:
imasa (便當俠)
2017-05-14 02:05:00大小請看實際大小不是磁碟大小喔
作者: mjmj0316 (不說把我當神) 2017-05-14 02:28:00
感謝大大回覆。已檢測完成 真心感謝
作者:
imasa (便當俠)
2017-05-14 03:04:001.06放上去了，執行上有問題的人可以下載看看問題解決了沒
作者: nanht (順其自然) 2017-05-14 03:05:00
謝謝i大的熱心，感激不盡!
作者:
taihsin ( )
2017-05-14 03:08:00謝謝大大 已關閉 已檢測
作者:
maxipin (maxipin)
2017-05-14 04:19:00http://imgur.com/a/3KOCi V-1.06,為何有EXCEPTION啊? @@另外,英文內文只有說，我有阻擋了SMVB1也有更新了但是沒有說明最重要的DOUBLEPULSAR SMB implant啊? Orz
計算出來的SHA1跟文章裡的不一樣，是檔案被修改嗎
作者: ying8375 2017-05-14 08:59:00
求救...Win7開起來 跑個2秒 視窗就不見了 什麼都沒看到
作者:
imasa (便當俠)
2017-05-14 10:52:00@maxipin 如果程式送的SMB requert被你的電腦擋下來就有可能不會秀出來 那是正常的另外Exception是程式在搜尋registry時搜到他無法判讀的字元
作者:
c93cj3 ( )
2017-05-14 10:53:00@as55721 它叫你去裝KB4019264這個更新 你確認一下裝了沒
作者:
imasa (便當俠)
2017-05-14 10:54:00這部分跟我們尋找MS17-010 KB是無關的 所以只先秀訊息出來
作者:
c93cj3 ( )
2017-05-14 10:54:00@as55721 然後你掃描的結果當下是安全的
作者:
imasa (便當俠)
2017-05-14 10:55:00ying8375 你能用命令列執行看看嗎? 還有請確認是1.06版
作者:
xliu (假蝦)
2017-05-14 11:19:00如果偵測中了請問要怎麼處理？
作者: wsx26997785 2017-05-14 11:30:00
http://0rz.tw/yWpvg 偵測了 請問我有中標嗎?我沒看到 No presence of DOUBLEPULSAR SMB implant
關掉SMB1之後下去測 顯示已經關閉 那測的到關閉之前有沒有中嗎?還是已經中了也會顯示出來@@?
我的狀況跟樓上一樣也是沒看到No presence of DOUBLEPULSAR SMB implant
作者:
juchmm (我不知道)
2017-05-14 12:28:00SHA1要怎麼看
作者:
dknas55 (Ans)
2017-05-14 13:09:00我的狀況也和wsx26997785一樣 已經關掉SMB也已經更新
作者: drwolf (drwolf) 2017-05-14 15:50:00
我的電腦也跟wsx大一樣!! 這樣是沒問題巴?!
作者: diabetes (若即若離) 2017-05-14 15:55:00
謝謝i大以及推文的各位，順利檢查更新了win7跟xp
作者:
imasa (便當俠)
2017-05-14 15:56:00和wsx26997785顯示一樣的人就是有安裝KB了 這樣就沒問題了
抱歉請問一下 如果有裝好KB 是不是就代表病毒不會進來
作者:
a5413eric (a5413eric)
2017-05-14 16:01:00請問我顯示kb4019264找到 卻沒顯示安裝MS17010是怎麼回
那如果已經有病毒在電腦裡 還是順利裝了KB 這種情況有可能發生嗎?
作者:
rockho 2017-05-14 16:35:00和wsx顯示一樣 但我已安裝的list中卻找不到KB0419264...
感謝原po的提供和解答，也是出現跟wsx26997785的一樣終於更新好了
想問一下 關掉這服務 會影響到什麼相關軟體的使用嗎？
作者:
sa12e3 2017-05-14 19:47:00我的顯示『your windows is 10 or 2016, don't needto check EtneralBlue 』請問這樣是正常的嗎? 偵測前已經關掉網路芳鄰了
作者:
ica72 (隨遇~)
2017-05-14 20:22:00下載解壓縮後 avast顯示有問題已封鎖+刪除請問我的avast太敏感嗎?
抱歉問一下 win7如果已經關掉SMB 還要再關445port嗎如果要關445 port要怎麼關? 謝謝
作者: LIEBHERR (LIEBHERR) 2017-05-14 21:08:00
同ica大 avast不給開 在更新完64包之後就不給試了
我的AVAST也是會跳警告然後隔離 但我還是把它拉出來設排除
作者:
ica72 (隨遇~)
2017-05-14 21:11:00是有看到前面有討論說 avast最近很擋.exe檔 不曉得是不是這avast怪怪 重新壓縮 又沒事了 變成我跟kirax大一樣
作者: light531 ((‧(工)‧)/ ) 2017-05-14 21:27:00
我也跟kr大的圖一樣耶 這樣算OK嗎
作者: nicolas0608 (賈瑞) 2017-05-14 21:37:00
er:10057 不允許傳送或接收資料的要求 因通訊端並未
那圖顯示的也只是說你有把洞補起來 然後就沒其他資訊了自己有另外用線上檢測的網站跑過 結果是說OK 但因為我是吃手機網路的分享訊號 也不知道那IP到底是手機的還是電腦的...
作者: nicolas0608 (賈瑞) 2017-05-14 21:39:00
連線 而且在資料包通訊端使用sendto呼叫進行傳送時
作者:
ica72 (隨遇~)
2017-05-14 21:40:00我電腦是剛好w2重灌+更新檔也更新完
作者: nicolas0608 (賈瑞) 2017-05-14 21:40:00
並未提供地址 (kb4012598 found)
作者:
ica72 (隨遇~)
2017-05-14 21:41:00只有照指示把SMB關掉+445 TCP UDP關掉
結果剛才仔細翻了推文 imasa大有說到我那狀況是確定OK的
作者:
ica72 (隨遇~)
2017-05-14 22:05:00感謝kirax大說明 謝謝!!也感謝imasa大詳細的文章 謝謝!!~
別 要謝就謝imasa大吧！我也只是個有求於各位大神的鄉民而已
作者: ying8375 2017-05-14 23:23:00
我的畫面顯示跟樓上billy一樣...正想問主要是多了already installed MS17-010這句