勒索病毒简介

自2017年5月WannaCry（永恒之蓝勒索蠕虫）大规模爆发以来，勒索病毒已成为对政企机构和网民直接威胁最大的一类木马病毒。近期爆发的Globelmposter、GandCrab、Crysis等勒索病毒，攻击者更是将攻击的矛头对准企业服务器，并形成产业化；而且勒索病毒的质量和数量的不断攀升，已经成为政企机构面临的最大的网络威胁之一。即使安装了杀毒软件，即使防护再强，如果企业被攻击，已经中了勒索病毒，应如何沉稳应对？

攻击原理分析

黑客开发这种病毒并不是为了炫技（单地攻击电脑的软硬件）而是为了索财。当电脑受到病入侵之后・电脑当中的文作会被加密，导致无法打开。黑客会要求你提供300美元（2000元人民币）的比特币，才会给你提供解锁的密码。支付的赎金一定要是比特币的原因是，这种电子货币的账户不易被追踪，更容易隐藏黑客的真实身份。

病毒的设计者特意把勃索的说明信息翻译成了20多个国家和地区的语言版本，好让全一世界每一个中了病毒的人都能看懂付款信息，可见野心之大。而且如果中了病毒的计算机属于高性能的服务器，病毒还会在这台电脑当中植入挖矿程序，让这台计算机成为生产比特币的工具，攻击者可谓无所不用其极，最大程度地榨取受害电脑的经济价值。电脑中了这种病毒之后，硬盘当中的文件会被AES＋RSA4096位的算法加密。遇到这种加密级別，目前所有家用电脑如果要暴力破解可能需要几十万年。所以一旦被这种病感，加密了自己电脑上的文作，白己是无论如何没办法把文件解密的。如果是政府或者公共机构的重要文件被加密，那只能恢复备份文件。

值得注意的是，这次的病毒袭击还针对了特定的人群，类似精准投放。大全业的公共邮箱、高级餐厅的官网等等都是攻击的重点对象。起初病毒会伪装成一封标题非常吸引人的电子邮件，或者伪装成PDF、DOC这样的普通文档，如果存在漏洞的电脑打开了这些链接或者文件，就有可能中招。

如果中招的电脑处于一个局域网当中，那么只要一台电脑感染病毒，其他电脑只要开机上网，马上也会被感染。病毒会通过像445端口这样的文件共享和网络打印机共享端口的漏洞展开攻击。

如何判断是否中了勒索病毒

1、电脑桌面被篡改

服务器被感染勒索病毒后，最明显的特征是电脑桌面发生明显变化，即：桌面通常会出现新的文本文件或网页文件，这些文件用来说明如何解密的信息，同时桌面上显示勒索提示信息及解密联系方式，通常提示信息英文较多，中文提示信息较少。下面为电脑感染勒索病毒后，几种典型的桌面发生变化的示图。

2、文件后缀被篡改

文件后缀名被篡改或者办公文档、照片、视频等文件的图标变为不可打开形式。一般来说，文件后缀名会被改成勒索病毒家族的名称或其家族代表标志，如：GlobeImposter家族的后缀为.dream、.TRUE、.CHAK等；Satan家族的后缀.satan、sicck；Crysis家族的后缀有.ARROW、.arena等。

下面为电脑感染勒索病毒后，几种典型的文件后缀名被篡改或文件图标变为不可打开的示意图。

服务器紧急防范措施

1.断网处理，防止勒索病毒内网传播感染，造成更大的损失

2.查找样本和勒索相关信息，确认是哪个勒索病毒家族的样本

3.确认完勒索病毒家族之后，看看是否有相应的解密工具，可以进行解密

4.进行溯源分析，确认是通过哪种方式传播感染的进来的，封堵相关的安全漏洞

5.做好相应的安全防护工作，以防再次感染

6.做好数据备份工作，预防单机故障

如若转载，请注明出处：开源字节 https://sourcebyte.cn/article/239.html