smbdoublepulsar后门发现漏洞补丁下载

2017年4月14日，现漏Shadow Brokers放出了那批 Equation Group 的洞补丁下工具包，里面有个叫 DoublePulsar 的现漏东西，当时没太多人注意。洞补丁下真正炸锅是现漏几周后，WannaCry 横扫全球，洞补丁下大家才发现这个后门早就被装进了十几万台机器里。现漏DoublePulsar 不是洞补丁下独立运行的恶意软件，它是现漏一段内核级的 shellcode，通过 SMB 协议注入到目标系统的洞补丁下 lsass.exe 进程里。一旦植入成功，现漏攻击者就能在目标机器上执行任意代码，洞补丁下而且重启也不消失——它驻留在内核内存里。现漏

这东西怎么进来的洞补丁下？靠的是另一个漏洞——EternalBlue，也就是现漏 MS17-010。EternalBlue 负责打开 SMB 的缺口，DoublePulsar 负责在缺口里安家。两个配合起来，从扫描到植入再到远程控制，全自动，不需要用户点任何东西。你只要开着 445 端口，联网，就可能中招。

我印象很深的是当时帮一个朋友检查他公司内网。十几台 Windows Server 2008 R2，全是老系统，补丁停在 2015 年。用 Nmap 的 smb-doublepulsar 脚本一扫，三台中了。那会儿微软其实已经在 3 月份发了 MS17-010 补丁，但很多企业内网根本没推。IT 部门说“怕影响业务”，结果就是被 WannaCry 加密了财务数据。

补丁下载这件事，说简单也简单。微软官方早就放出了针对各版本的修复程序。Windows 7、Windows Server 2008 R2、Windows 8.1、Windows 10 早期版本、Windows Server 2012、2016，全都有对应的 KB 号。核心就是 KB4012212、KB4012213、KB4012214、KB4012215、KB4012216、KB4012217、KB4012218、KB4012219 这几个。具体哪个对应哪个系统，去微软的 MS17-010 公告页查一下就行。别去乱七八糟的第三方站下，容易中二次招。

但光打补丁不够。DoublePulsar 的检测和清除得单独做。微软后来发了 KB4013389，专门针对 DoublePulsar 的检测。不过更靠谱的是用一些开源工具，比如 Countercept 出的 doublepulsar-detection-script，或者 Nmap 的 smb-doublepulsar 脚本。扫出来如果显示“INFECTED”，那就得清理。清理方式有两种：一是用杀软或者专杀工具，二是直接重装系统。后者更彻底，因为内核级后门你很难保证清干净。

还有个坑：很多老系统比如 Windows XP、Windows Server 2003，微软早就不支持了。但 WannaCry 爆发后，微软破例发了 KB4012598 给 XP 和 2003。这个补丁只修 EternalBlue，不修 DoublePulsar 的检测。所以 XP 机器即使打了补丁，如果之前已经被植入 DoublePulsar，它还在。你得手动检查 lsass.exe 的内存或者用专杀。

我自己的做法是：先断网，再打补丁，然后扫 DoublePulsar，最后改注册表关掉 SMBv1。微软在 KB2696547 里给了禁用 SMBv1 的方法，或者直接用 PowerShell 的 Set-SmbServerConfiguration -EnableSMB1Protocol $false。这一步比打补丁还重要，因为 SMBv1 本身就是个历史包袱，关掉它不影响现代系统之间的文件共享。

最后说个现实问题。很多企业内网里跑着老 ERP、老 OA，它们依赖 SMBv1。你关了 SMBv1，业务就断。这时候只能做网络隔离，把 445 端口封在 VLAN 里，或者上 IPS 规则拦 EternalBlue 的流量特征。补丁要打，但别指望补丁能解决所有问题。DoublePulsar 这种后门，一旦进了内核，你就得假设它还在。清理不干净就重装，别偷懒。

下载补丁的地方，我只推荐两个：微软官方 Update Catalog（catalog.update.microsoft.com）和微软安全响应中心（MSRC）的公告页。别用那些聚合站，很多挂马。搜 KB 号的时候注意看发布日期，2017 年 3 月到 5 月之间的才是对的。后面有些累积更新也包含了这个补丁，但老系统最好直接装独立的 KB4012212 这类。

DoublePulsar 不是第一个 SMB 后门，也不会是最后一个。它的教训很简单：别把 445 端口暴露在公网，别用 SMBv1，补丁别拖。拖一天，就可能多一台肉鸡。