自用电脑中了勒索病毒！

[jjrhlb]

今天早晨到了公司，习惯性的远程家中的电脑（家中挂魔法使用 ChatGPT+摸鱼），发现中了勒索病毒，文件都被加密了，我的电脑是裸奔的，临时下了一个火绒扫到了病毒文件；这时候很怕波及到工作电脑，想溯源看一下是哪里出了问题。

搜索了一下这种情况基本都是 RDP 爆破导致的，文件的加密时间是凌晨 3 点，查看 windows 系统日志发现 2:57 有 RDP 连接记录，但是记录的源网络地址是: 127.0.0.1 ，不是组网 ip 或者局域网 ip ，应该是映射到的，此时虽然还不知道是哪个软件出了问题，但是应该是不会波及到工作电脑了，还是心安了一些。

在查看 windows 系统日志我也发现了一个问题，我并没有看到登录失败的报错，虽然我的密码很简单（图方便：1111 ），但真的一次就连上了吗，此处待定。上面确定是域名映射到了本地的 3389 端口，回想了一下我使用的映射应该只有 zeronews 和 cloudflared ，可能是官网被爆破了？未知，最后还是没有锁定问题。

最后，已老实。以后会使用强度更高的密码，使用大厂背书的软件。
大家有什么可以进一步溯源或者安全方面的建议吗？

[hez2010]

参考 https://inc.sysu.edu.cn/article/1050 ，给 RDP 加个 2FA 解决一切问题。

不知道为啥虽然 Windows 提供了远程登录的 2FA 接口，却没有内置 2FA 的实现。

[guanzhangzhang]

frp 这类端口映射工具就是这样阿，你把端口暴漏出去就是众生平等了，还不如自建软件组内网，三层 IP 层都通了，四层的端口就不需要加映射了

[bouts0309]

可以用 wg 套一层？

[creepersssss]

不建议端口转发，做一层 VPN 最安全也最正规

[datocp]

搜索一下有个叫 iptables recent hacker ，后来 openwrt 有 ipset 就改成这样了
-A INPUT -i eth1 -m set --match-set banned_hosts src -j DROP
-A INPUT -i eth1 -p udp -m multiport --dports 80,161,1863,4466,5060 -j SET --add-set banned_hosts src
-A INPUT -i eth1 -p tcp -m multiport --dports 20,23,25,110,135,137:139,161,445,1080,2323,3128,3306,3389 -j SET --add-set banned_hosts src

softether 提供的 vpn 肯定必须的

至于电脑乱按软件导致的特洛伊木马，那是无解的，simplefirewall 伺侯。

[ltkun]

这年头为啥不试试放弃 windows 这种系统 有啥离不开的理由吗

[harmless]

@ltkun mac 和 linux 也不是更好的选择啊

[Folder]

我用 fps 做的内网穿透, 高端口号, uuid 密码, 用 tls 加密流量. 用了两年了都挺好的.

[zhuang0718]

我把家里 NAS 的 docker 也映射了公网端口 看的我不敢开了……

[privater]

@zhuang0718 这些鸟人不一定有加密 nas 文件系统的水平，用 Windows 的小白遍地走，从性价比角度出发也是针对 Windows 开发勒索软件来得“实惠”

[zhangeric]

不知道用的啥系统,以前配置过 windows server,可以配置远程连接重试次数,密码错误了,可以锁定该账号登录 1 小时,另外把常用的账号 administrator 给禁了,换一个不常见的账号做管理员.

[Davy]

为啥裸奔？ Windows Security 不好用吗？

[xxmaqzas]

国庆前公司中招了，nas 和 svn 全给加密了，得亏有备份，自己电脑有火绒，躲过一劫

[xiaoheicat]

今年公司电脑因为 rdp 中过一次勒索病毒。原因是自己图方便把 3389 直接暴露公网了，换了高位端口也没用，而且密码也是中英文加数字的组合密码。

只能说 windows 的安全策略还是太垃圾，远程桌面错误不限制能一直尝试就很有问题！！！
mac Linux 都有一些安全手段冷却的

后面重刷系统后换 tailscale 了

[ShinichiYao]

现在哪有什么黑客吃饱了攻击个人或者小企业用户，都是脚本小子撒网式攻击，网络安全别太拉跨(默认用户、超简单密码，暴漏洞的现成框架，一键脚本)都不会有事

[cleanery]

@xiaoheicat

这个没用吗?

[JKOR]

不能直接暴露在公网，可以使用 cloudflare tunnel

[keyfunc]

@xiaoheicat 可以限制啊

[conglovely]

[lightionight]

rdp 远程公网建议加一一个 2FA , 比如 DUO