护网专项工作 | 勒索病毒造成巨大损失，建议企业提高警惕！

来源：公安部网安局

一早到公司打开服务器，财务报表、合同、客户资料全部无法打开，文件带上了.sorry、.wxx陌生后缀，桌面多出一封勒索信——要求支付赎金才能恢复数据。这不是个案，Sorry、Weax勒索家族近期攻击十分活跃，不少制造、商贸、医疗、教育、科技企业接连中招。

不少企业惨遭重创，一次攻击就可能造成业务瘫痪、数据泄露、声誉受损等多重打击。

今天，网警就跟您好好聊聊勒索病毒。

一、勒索病毒攻击的表现形式

勒索病毒是采取加密或屏蔽用户操作等方式劫持用户对系统或数据的访问权，并籍此向用户索取勒索金的恶意程序。勒索病毒攻击已经从早期的恶作剧演变成每年造成巨额经济损失的全球公害。用户被攻击后通常会有以下可见的表现形式：

1. 业务中断

重要业务系统和数据库服务等关键业务中断，网络管理员无法远程访问和维护。

2.重要文件被加密

在用户服务器或终端计算机上，重要的程序文件和数据文件，如：文档文件、图片文件、数据库文件等，无法正常打开，且文件名被添加随机字符串或固定字符串后缀。

3.勒索信

受害用户通常会在被加密文件的同级目录下，或者桌面等醒目位置发现攻击者留下的勒索信，勒索信可能使用多种语言，其内容要素主要包括：一是情况陈述。攻击者向受害用户陈述其被攻击以及数据被高强度加密；二是赎金沟通渠道。要求用户以特定方式与攻击者协商沟通赎金，如：小众即时通信工具、匿名电子邮箱等；三是赎金金额与支付期限。通常要求用户限期以虚拟货币方式支付赎金，具体金额由攻击者根据其评估的用户数字资产价值进行估算。

4.数据泄露

受害用户的部分甚至全部被加密数据可能会被攻击者在自建的数据泄露博客网站上，或者在非法数据交易论坛上以明文形式遭到泄露。

二、勒索病毒的攻击手法

网络犯罪分子投送和传播勒索病毒的方式有多种，典型的勒索病毒攻击活动通常包括以下步骤：

1.网络入侵。攻击者首先对目标用户暴露在互联网上的网络资产（如网络接入设备、面向互联网提供服务的各类信息系统等）进行探测，并利用相关资产的已知漏洞实施入侵，获得目标用户内网主机的访问权限。除利用漏洞外，攻击者还会通过钓鱼邮件、钓鱼网站等诱导用户下载安装木马、后门等恶意程序，以获得内网主机的持久化访问权限。通过上述活动，攻击者实现在目标内网中长期潜伏。

2.环境探测。攻击者会对目标用户的内网进行进一步环境探测，包括内网中的重要主机、网络服务以及数据资产，攻击者根据环境探测结果评估目标的价值，并等待时机实施下一步攻击。

3.扫清障碍。当攻击者认为作案时机成熟后，会优先试图关闭阻碍加密、窃密行为的业务服务、数据库服务、安全防护措施和备份措施等，并删除本地备份文件，阻碍用户恢复数据。

4.数据窃取。攻击者分时分批将目标用户内网中的高价值数据窃取并回传，作为后续对用户实施双重勒索的“筹码”。

5.数据加密。攻击者首先使用高强度对称加密算法对数据进行加密，随后使用高等级非对称加密算法对对称加密算法的密钥进行加密，非对称加密的解密私钥由攻击者始终掌握或者通过二次加密回传给攻击者。在实际案例中，相关密钥可能经过多重加密。在加密逻辑不存在漏洞，且密钥长度达到2048位甚至更长时，在现有算力条件下不具备破解的可行性。

6.内网扩散。攻击者会使用已知漏洞、已窃取的登录口令或用猜解方式尝试入侵并控制目标内网中的更多主机，并在这些主机上投放勒索病毒，并重复步骤4与步骤5。

三、勒索病毒的现实危害

当前，网络犯罪分子围绕勒索病毒构建了一套成熟的多重勒索犯罪模式和产业链、生态链。勒索病毒造成的危害已从单纯的数据损失扩展至系统性风险，其受害群体以及造成的损失是多方面的，主要包括：

1.直接经济损失

勒索赎金本身、业务中断导致的营收损失、应急响应和系统恢复成本叠加，造成巨额经济损失。

2. 业务运营中断

核心系统被加密后，业务被迫停摆，相关损失的长尾效应可能影响数周甚至数月。

3. 敏感数据泄露

即便支付赎金，也无法保证数据不被二次泄露或出售。数据泄露导致受害用户面临知识产权风险、声誉损害、客户流失以及监管处罚和法律责任。上市企业可能面临股价波动，严重影响企业运营。

4. 公共利益和社会影响

针对公共管理和服务机构的攻击直接威胁民生，针对卫生健康系统的攻击更可能危及患者生命安全。

5. 安全生产风险

针对制造业自动化控制系统和物联网设备的攻击可能导致生产中断、环境破坏甚至人员伤亡。

破除两个危险误区

误区一：我们企业规模小，不会被盯上

黑产普遍“薄利多销”，国内近七成赎金集中在1‑5万元。只要系统暴露互联网、存在漏洞，无论大小企业都可能成为目标。

误区二：只是下游配套商，风险离我很远

供应链安全取决于防护最弱的一环。合作企业被攻破，你的协作数据同样存在泄露风险。筹备上市、融资的企业更要当心，黑客会刻意挑选关键舆情节点发起攻击，抬高赎金。

防范记住五件事

不幸中招牢记

「两要三不要」

出现大量文件加密、陌生后缀、勒索信，即为疑似中招。

要立刻断网隔离，不要关机，阻止病毒内网扩散；

要保护现场证据，第一时间向属地公安报案，寻求专业安全支持；

不要轻信网上解密工具、解密代理，谨防二次被骗；

不要轻易支付赎金，交钱也无法保证恢复数据，还会助长黑产；

不要拖延处置，处置越晚损失越大。

法律提示

网络空间不是法外之地。《中华人民共和国刑法》第二百八十六条规定，违反国家规定，对计算机信息系统功能进行删除、修改、增加、干扰，造成计算机信息系统不能正常运行，以及对计算机信息系统中存储、处理或者传输的数据和应用程序进行删除、修改、增加的操作，后果严重的，构成破坏计算机信息系统罪；故意制作、传播计算机病毒等破坏性程序，影响计算机系统正常运行，后果严重的，同样要依法追究刑事责任。

勒索病毒并非不可防。把系统藏好、把补丁打快、把密码设硬、把备份做离线、把防护开在线，绝大多数攻击就会被挡在门外。

网络安全为人民，网络安全靠人民。也欢迎把这篇提醒转给身边管理系统、服务器的同事朋友，多一个人看到，就少一个企业中招。