比特派app官方链接|勒索病毒补丁

救命必看�Windows勒索病毒最全攻略�补�下载（有更新）-Windows,勒索,病毒,补�,攻略, ——快科技(驱动之家旗下媒体)--科技改�未�

救命必看�Windows勒索病毒最全攻略�补�下载（有更新）-Windows,勒索,病毒,补�,攻略, ——快科技(驱动之家旗下媒体)--科技改�未�

中文科技资讯专业�布平�

首页 资讯 评测 驱动 图� 投稿

登录

注册

首页 > 资讯中心 > 软件之家 > �作系统

救命必看�Windows勒索病毒最全攻略�补�下载（有更新）

2017-05-13 18:18:09  å‡ºå¤„：快科技 作者：上方文Q 编辑：上方文Q     è¯„论(0)

病毒Windows补�

5月12日起，Onion�WNCRY两类敲诈者病毒��在全国乃至全世界大范围内出�爆��势，大�个人和�业�机�用户中招。

ä¸�以往ä¸�å�Œçš„是，这次的新å�˜ç§�病毒添加了NSA(ç¾�国国家安全局)黑客工具包中的“æ°¸æ�’之è“�”0dayæ¼�æ´�利用，通过445端å�£(文件共享)在内网进行蠕虫å¼�感染传播。

没有安装安全软件或�时更新系统补�的其他内网用户�有�能被动感染，所以目�感染用户主�集中在�业�高校等内网�境下。

一旦感染该蠕虫病毒��，系统��资料文件就会被加密，并勒索高�的比特��金，折�人民�2000-50000元�等。

�目�监�到的情况�看，全网已�有数万用户感染，QQ�微�等社交平�上也是哀鸿��，�续��也�容�觑。

敲诈勒索病毒＋远程执行��蠕虫传播的组�致使�险度剧�，对近期国内的网络安全形势一次的严峻考验。

事��，微软和�大安全公�都第一时间跟进，更新旗下安全软件。金山毒霸也特别针对本次敲诈者蠕虫，给出了详细的安全防御方案�传播分�，以�其他安全建议。

我们也汇总了所有Windows系统版本的补�，请大家务必尽快安装更新。

�传播感染背景】

本轮敲诈者蠕虫病毒传播主�包括Onion�WNCRY两大家���，首先在英国�俄罗斯等多个国家爆�，有多家�业�医疗机�的系统中招，�失�常惨�。

安全机�全�监测已���目�多达74个国家��本次敲诈者蠕虫攻击。

�5月12日开始，国内的感染传播�也开始急剧�加，在多个高校和�业内部集中爆�并且愈演愈烈。

全�74个国家��Onion�WNCRY敲诈者蠕虫感染攻击

24�时内监测到的WNCRY敲诈者蠕虫攻击次数超过10W+

本次感染急剧爆å�‘的主è¦�å�Ÿå› åœ¨äº�其传播过程中使用了å‰�段时间泄æ¼�çš„ç¾�国国家安全局(NSA)黑客工具包中的“æ°¸æ�’之è“�”æ¼�æ´�(微软3月份已ç»�å�‘布补ä¸�，æ¼�æ´�ç¼–å�·MS17-010)。

å’Œå�†å�²ä¸Šçš„“震è�¡æ³¢”ã€�“冲击波”等大规模蠕虫感染类似，本次传播攻击利用的“æ°¸æ�’之è“�”æ¼�æ´�å�¯ä»¥é€šè¿‡445端å�£ç›´æ�¥è¿œç¨‹æ”»å‡»ç›®æ ‡ä¸»æœºï¼Œä¼ æ’­æ„ŸæŸ“速度é��常快。

本次敲诈者蠕虫病毒å�˜ç§�通过“æ°¸æ�’之è“�”æ¼�æ´�进行网络攻击

虽然国内部分网络��商已��蔽�个人用户的445网络端�，但是在教育网�部分�行商的大局域网�校园�业内网�旧存在大�暴�的攻击目标。

对��业�说尤其严�，一旦内部的关键�务器系统��攻击，带�的�失��估�。

�检测到�馈情况看，国内多个高校都集中爆�了感染传播事件，甚至包括机场航�信��加油站等终端系统��影�，预计近期由本次敲诈者蠕虫病毒造�的影�会进一步加剧。

全国�地的高校内网的敲诈者蠕虫感染攻击爆�

�高校机房全部��WNCRY敲诈者蠕虫攻击

国内�地加油站系统��本次敲诈者蠕虫��攻击

�机场航�信�终端�样��了敲诈者蠕虫攻击

�敲诈蠕虫病毒感染�象】

中招系统中的文档�图片��缩包�影音等常�文件都会被病毒加密，然��用户勒索高�比特��金。

WNCRY��一般勒索价值300-600�金的比特�，Onion��甚至�求用户支付3个比特�，以目�的比特�行情，折�人民�在3万左�。

此类病毒一般使用RSA等�对称算法，没有�钥就无法解密文件。WNCRY敲诈者病毒�求用户在3天内付款，�则解密费用翻�，并且一周内未付款将删除密钥导致无法��。

ä»�æŸ�ç§�æ„�义上æ�¥è¯´ï¼Œè¿™ç§�敲诈者病毒“å�¯é˜²ä¸�å�¯è§£”，需è¦�安全å�‚商和用户共å�ŒåŠ å¼ºå®‰å…¨é˜²å¾¡æ�ªæ–½å’Œæ„�识。

感染WNCRY勒索病毒的用户系统弹出比特�勒索窗�

用户文件资料被加密，å��缀改为“wncry”，桌é�¢è¢«æ”¹ä¸ºå‹’ç´¢æ��å�“

对部分��的比特�支付地�进行追踪��，目�已�有少�用户开始�病毒作者支付勒索�金。

�下图中我们�以看到这个��的病毒作者已�收到19个用户的比特��金，累计3.58个比特�，市值约人民�4万元。

�个敲诈者蠕虫的比特�支付信�追踪

�防御�施建议】

1�安装�毒软件，��安全防御功能开�，比如金山毒霸已�拦截(下载地�http://www.duba.net)，微软自带的Windows Defender也�以。

金山毒霸查�WNCRY敲诈者蠕虫病毒

金山毒霸敲诈者病毒防御拦截WNCRY病毒加密用户文件

2�打开Windows Update自动更新，�时�级系统。

微软在3月份已ç»�针对NSA泄æ¼�çš„æ¼�æ´�å�‘布了MS17-010å�‡çº§è¡¥ä¸�，包括本次被敲诈者蠕虫病毒利用的“æ°¸æ�’之è“�”æ¼�æ´�，å�Œæ—¶é’ˆå¯¹å�œæ­¢æ”¯æŒ�çš„Windows XPã€�Windows Server 2003ã€�Windows 8也å�‘布了专门的修å¤�è¡¥ä¸�。

最新版的Windows 10 1703创�者更新已��存在此��，�需�补�。

�系统补�官方下载地�如下：

�KB4012598】：http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012598

适用�Windows XP 32�/64�/嵌入��Windows Vista 32/64��Windows Server 2003 SP2 32�/64��Windows 8 32�/64��Windows Server 2008 32�/64�/安腾

�KB4012212】：http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012212

适用�Windows 7 32�/64�/嵌入��Windows Server 2008 R2 32�/64�

�KB4012213】：http://catalog.update.microsoft.com/v7/site/Search.aspx?q=KB4012213

适用�Windows 8.1 32�/64��Windows Server 2012 R2 32�/64�

�KB4012214】：http://catalog.update.microsoft.com/v7/site/Search.aspx?q=KB4012214

适用�Windows 8嵌入��Windows Server 2012

�KB4012606】：http://www.catalog.update.microsoft.com/Search.aspx?q=KB4012606

适用�Windows 10 RTM 32�/64�/LTSB

�KB4013198】：http://www.catalog.update.microsoft.com/Search.aspx?q=KB4013198

适用�Windows 10 1511�一月更新版32/64�

�KB4013429】：http://www.catalog.update.microsoft.com/Search.aspx?q=KB4013429

适用�Windows 10 1607周年更新版32/64��Windows Server 2016 32/64�

3�Windows XP�Windows Server 2003系统用户还�以关闭445端�，规���此次敲诈者蠕虫病毒的感染攻击。

步骤如下：

(1)�开�系统防�墙�护。�制��->安全中心->Windows防�墙->�用。

开�系统防�墙�护

(2)�关闭系统445端�。

(a)ã€�å¿«æ�·é”®WIN+Rå�¯åŠ¨è¿�行窗å�£ï¼Œè¾“å…¥cmd并执行，打开命令行æ“�作窗å�£ï¼Œè¾“入命令“netstat -an”，检测445端å�£æ˜¯å�¦å¼€å�¯ã€‚

(b)�如上图�如445端�开�，�次输入以下命令进行关闭：

net stop rdr  / net stop srv / net stop netbt

功�的效�如下：

4�谨�打开����的网�和邮件，打开Office文档的时候�用�开�，网络挂马和钓鱼邮件一直是国内外勒索病毒传播的��渠�。

钓鱼邮件文档中暗�勒索者病毒，诱导用户开���行病毒

5�养�良好的备份习惯，�时使用网盘或移动硬盘备份个人��文件。

本次敲诈者蠕虫爆�事件中，国内很多高校和�业都��攻击，很多关键��资料都被病毒加密勒索，希望广大用户由此�高��文件备份的安全�识。

2017-05-14更新：金山毒霸�布比特�勒索病毒�疫工具：�费��文件

�对肆�的Onion�WNCRY两类勒索病毒��在全国范围内出�爆�的情况，金山毒霸中心已紧急�布比特�勒索病毒�疫工具�应急处置方案。

æ�®æ‚‰ï¼Œå‹’索病毒å�˜ç§�å¢�加了NSA黑客工具包中的“æ°¸æ�’之è“�”0dayæ¼�æ´�利用，å�¯åœ¨å±€åŸŸç½‘内蠕虫å¼�主动传播，未修补æ¼�æ´�的系统会被迅速感染，勒索高é¢�的比特å¸�èµ�金折å�ˆäººæ°‘å¸�2000~50000ä¸�等。

目�已���感染的电脑集中在�事业���政府机关�高校等内网�境。毒霸安全专家指出，病毒加密用户文档�会删除�文件，所以，存在一定机会��部分或全部被删除的�文件。建议电脑中毒�，尽��少�作，�时使用专业数���工具，��概�较高。

金山毒霸11下载（���拦截敲诈病毒）：戳此

专��疫工具：戳此直�下载

详细教程：

检测当�电脑是�有�疫比特�勒索病毒攻击

已�功�疫效�如下图

我们知�，那些已�被加密的数�文件，在没有�得密钥的情况下，解密基本没有�能。但在了解到病毒加密的��之�，���有一定机会找��始文件：病毒加密�文件时，会删除�文件，被简�删除文件的硬盘��未进行大�写入�作，就存在�功��的�能。

使用金山毒霸数���找����的文档

请使用�费��ksda679795862，密�:kingsoft，��用金山毒霸的数���功能。

1.选择删除文件��

2.选择扫æ��对象：在界é�¢ä¸­é€‰æ‹©æ–‡ä»¶ä¸¢å¤±å‰�所在的ç£�盘或文件夹，然å��点击“开始扫æ��”。

3.扫�过程：文件数�越多，扫�时间越长，请�心等待。（一般扫�速度2分钟3G）

4.扫�完结�预览：点击文件�进行预览，�预览的就是�有机会�功��的。勾选需���文件（夹），点击开始������文件。

5.选择��路径：��的文件将�存�您选择的文件夹路径，请选择您���到哪个文件夹。（强烈建议将���的文件�存到其他硬盘，而�丢失文件的硬盘，以��造�二次�伤。）

6.查看��结�：��的文件夹将�存在您选择的文件夹路径，打开目录�检查��的文件。

以下几�情况需�注�：

1.扫�出�的照片�office文档，显示��预览的，是无法��的。（无法预览office文档，表示文档已部分��）

2.�支�预览的文件类�，�能����能知�是��以正常使用

3.使用误删除文件功能，扫�完�，�个文件会有��概�显示，��概�高，���功�就高

4.视频文件�易产生�片和数�覆盖，所以视频文件完全��的�能性很�。

5.物���的硬盘或其他存储介质，���的文件�能是已��的文件。

文章纠错

文章价值打分

有价值

一般般

没价值

当�文章打分0 分，共有0人打分

文章观点支�

+0

+0

分享到：

收�文章 收�文章

相关资讯

· 这款��确对新�冠状病毒肺�有疗效�[02-18]· 新冠病毒传染性是SARS的10到20�？[02-18]· 微软宣布新一代Windows细节�更快更方便[02-18]· “�康汽车��以防新冠状病毒？真相�了[02-17]· 别光看�国�� 抗疟��对新冠病毒有效[02-17]· 2020年最新LED投影仪优缺点分�攻略 投影[02-17]· 新冠病毒病死�最高14.8% 1月开始扩散[02-17]· 新冠病毒高清彩照�了 跟SARS无大��[02-17]· Win10�级�万注�!越�越多用户无法开机[02-17]· 新冠状病毒最新治疗方法�了：效�显著[02-17]

热门文章

阅读|评论

欧�一边��一边�芯片�俄罗斯宣布制造境内最大的超级计算机快科技 . 雪花 女程�员下��为自己造了一座迷你�物园：最��物仅2毫米宽快科技 . �晖 凌乱了�英国父�混�精液生下一�：爷爷�能是爸爸快科技 . 上方文Q 2024辽�春晚�布节目�：6个�� 宋���文�等在列快科技 . �心 上海到北京仅需2.5�时引热议：其�时间�能这样算快科技 . 拾柒 专家：建议中�学学制缩短到9年 直�普�高中教育快科技 . 雪花 ��的狗�已彻底“癫了� 网�：终��白啥�鸡犬��快科技 . �心 主人�鸡蛋��鸡被雪埋3天还活�：都被冻�了�生命真顽强快科技 . �木

技术��：英伟达等欧�巨头宣布组建�盟 �英等10国宣布支�6G快科技 . 雪花 今起快递必须上门等：快递员预测新规�施将引�离�潮 有人将收货地�改驿站快科技 . 雪花 中国汽车短时间内别想�到�国市场��国�应：特斯拉苹�等��尴尬快科技 . 雪花 快递员称30分钟�完的货�在干12�时引热议：有人得知新规两天�离� 网�称�如放驿站 快科技 . �晖 SU7二季度交付��米汽车争�全�上市：超30万你会买�快科技 . 雪花 第一批开电动爹�家的人�悔了登热�第一：�苦�天 没开油车快科技 . �晖 �主：电车�怕堵车��敢�空调的永远�有油车�快科技 . �木 有快递员转行�外�了：�个电�都打根本���快科技 . 振亭

热门评论

本月｜本周

关�我们

关�我们

���说�

交��作

加入我们

���馈

广告刊例

关注我们

微信公众�：

微��：快科技2018

QQ群：53467377

安�客户端下载

IOS客户端下载

快科技（驱动之家旗下媒体）·1997-2023 版�所有

Copyright(C)Mydrivers.com, All Rights Reserved.

豫ICP备18024899�-2豫公网安备 41010502003949�

本网页已闲置超过3分钟，按键盘任�键或点击空白处，���到网页

最热资讯

更多热门资讯

扫�安装快科技APP

扫�关注驱动之家

保护电脑免遭勒索软件攻击 - Microsoft 支持

保护电脑免遭勒索软件攻击 - Microsoft 支持

跳转至主内容

Microsoft

支持

支持

支持

主页

Microsoft 365

Office

产品

Microsoft 365

Outlook

Microsoft Teams

OneDrive

OneNote

Windows

Microsoft Edge

更多信息 ...

设备

Surface

电脑配件

移动体验

Xbox

PC 游戏

HoloLens

硬件保修

帐户和计费

帐户

Microsoft Store 和计费

资源

新增功能

社区论坛

Microsoft 365 管理员

小型企业门户

开发人员

教育

上报支持欺诈

更多

购买 Microsoft 365

所有 Microsoft

Global

Microsoft 365

Teams

Windows

Surface

Xbox

折扣专区

企业购

支持

软件

软件

Windows 应用

AI

OneDrive

Outlook

Skype

OneNote

Microsoft Teams

PC 和设备

PC 和设备

购买 Xbox

PC 和平板电脑

配件

娱乐

娱乐

Xbox 与游戏

PC 游戏

企业

企业

Microsoft Cloud

Microsoft 安全

Azure

Dynamics 365

Microsoft 365 商业版

Microsoft 行业

Microsoft Power Platform

开发人员与 IT

开发人员与 IT

开发人员中心

文档

Microsoft Learn

Microsoft 技术社区

Azure 市场

AppSource

Visual Studio

其他

其他

免费下载与安全性

教育

查看站点地图

搜索

搜索帮助

无结果

取消

登录

使用 Microsoft 登录

登录或创建帐户。

你好，

使用其他帐户。

你有多个帐户

选择要登录的帐户。

保护电脑免遭勒索软件攻击

Security Windows 7 Windows 8.1 Windows 10 更多...更少

勒索软件是一种加密你的文件或让你无法使用计算机的恶意软件，你必须付钱（赎金）才能解锁文件和计算机。 如果你的计算机已连接到网络，勒索软件还可能传播到网络上的其他计算机或存储设备。 

可能受到勒索软件感染的一些途径包括：

访问不安全、可疑或虚假网站。

打开你意外收到或从不认识的人那里收到的文件附件。

在电子邮件、Facebook、Twitter以及其它社交媒体的贴文或即时信息聊天或短信聊天中打开恶意链接。

你通常可以辨别出虚假电子邮件和网页，因为它们存在拼写错误或看起来异常。 留意奇怪的公司名称拼写（例如“PayePal”，而不是“PayPal”）或异常空格、符号或标点（例如“iTunesCustomer Service”，而不是“iTunes Customer Service”）。

勒索软件可以任何电脑为目标 - 无论是家庭电脑、连入企业网络的电脑，或是政府机关使用的服务器上的电脑。

警告: 移动设备也可能受到勒索软件感染！ 了解如何保护设备

如何帮助保护我的电脑安全？

确保你的电脑更新了最新版本的 Windows 和所有最新修补程序。 了解有关 Windows 更新的更多信息。

确保打开Windows 安全中心帮助你免受病毒和恶意软件的骚扰（或在 Windows 10 之前版本的系统中打开 Windows Defender Security Center）。

在 Windows 10 或 11 中，打开 “受控文件夹访问权限” 以保护重要本地文件夹免遭勒索软件或其他恶意软件等未授权程序的攻击。

使用一个安全、现代的浏览器，例如 Microsoft Edge。

定期重新启动计算机；至少每周一次。 这可以帮助确保应用程序和操作系统保持最新的，并有助于系统更好地运行。

注意: 如果你是一名小型企业所有者，考虑使用 Microsoft 365 商业高级版。 它包括 Microsoft Defender 高级威胁防护，有助于保护你的企业免遭在线威胁。详细了解 Microsoft 365 商业高级版安全中心

如果怀疑你的电脑已受到勒索软件感染

无论何时，如果你怀疑自己的电脑可能被感染，使用反恶意软件程序，比如 Windows 安全中心。 例如，如果你在新闻中看到了新的恶意软件或你发现你的电脑运行不正常。 请参阅 Windows 安全中心中的病毒和威胁防护了解如何扫描设备。

如果你的电脑确实已受到勒索软件感染

不幸的是，感染勒索软件通常不会显示出来，知道你看到某种通知、一个窗口、一个应用或一个全凭消息，要求你付钱来重新访问你的电脑或文件。 这些消息通常在加密你的文件后显示。

尝试用Windows Security彻底清理你的电脑。 在尝试恢复你的文件之前，应执行此操作。 另请参阅 备份 Windows 电脑，获取有关备份和恢复 Windows 版本的文件的帮助。

不要付钱来恢复你的文件。 即使给勒索软件付费，也不能保证能重新访问你的电脑或文件。

如果你已经付费，怎么办

如果你已经给勒索软件付费，请立即联系你的银行和当地机关。 如果你使用信用卡支付，你的银行可能能够阻止交易并退还资金。

你还可以联系以下政府欺诈和诈骗报告网站：

在澳大利亚，转到 SCAMwatch网站。

在加拿大，转到加拿大反欺诈中心。

在法国，转到Agence nationale de la sécurité des systèmes d'information 网站。

在德国，转到Bundesamt für Sicherheit in der Informationstechnik 网站。

在爱尔兰，转到An Garda Síochána网站。

在新西兰，转到消费者事务诈骗网站。

在英国，转到欺诈操作网站。

在美国，转到网络防范网站。

如果你所在的地区未在此处列出，Microsoft 建议你与你所在地区的联邦警察或传播机构联系。

有关勒索软件的举例概述以及如何帮助你自我保护，请参阅关于勒索软件的 5 个 W 和 1 个 H。　

如果你在公司任职，请参见 Microsoft 恶意软件防护中心获取有关 勒索软件的详细信息。 

另请参阅

恶意软件如何感染你的电脑

保护自己免受网络诈骗和攻击

备份 Windows 电脑

订阅 RSS 源

需要更多帮助?

需要更多选项?

发现

社区



了解订阅权益、浏览培训课程、了解如何保护设备等。

Microsoft 365 订阅权益

Microsoft 365 培训

Microsoft 安全性

辅助功能中心

社区可帮助你提出和回答问题、提供反馈，并听取经验丰富专家的意见。

咨询 Microsoft 社区

Microsoft 技术社区

Windows 预览体验成员

Microsoft 365 预览体验

此信息是否有帮助?

是

否

谢谢!还有关于 Microsoft 的反馈吗?

你能帮助我们改进吗? (向 Microsoft 发送反馈，以便我们提供帮助。)

你对语言质量的满意程度如何?

哪些因素影响了你的体验?

解决了我的问题

指示清晰

易于理解

无行话

图片有帮助

翻译质量

与屏幕上显示的不一致

错误说明

技术性太强

信息还少

图片太少

翻译质量

是否还有其他反馈? (可选)

提交反馈

按“提交”即表示你的反馈将用于改进 Microsoft 产品和服务。

你的 IT 管理员将能够收集此数据。

隐私声明。

谢谢您的反馈！

×

新增内容

Surface Pro 9

Surface Laptop 5

Surface Studio 2+

Surface Laptop Go 2

Surface Go 3

Microsoft 365

Windows 11 应用程序

Microsoft Store

帐户个人资料

下载中心

订单跟踪

教育

Microsoft 教育版

教育设备

Microsoft Teams 教育版

Microsoft 365 教育版

Office 教育版

教育工作者培训和开发

面向学生和家长的优惠

面向学生的 Azure

企业

Microsoft Cloud

Microsoft 安全

Azure

Dynamics 365

Microsoft 365

Microsoft Advertising

Microsoft 行业

Microsoft Teams

开发人员与 IT

开发人员中心

文档

Microsoft Learn

Microsoft 技术社区

Azure 市场

AppSource

Microsoft Power Platform

Visual Studio

公司

招贤纳士

关于 Microsoft

公司新闻

Microsoft 隐私

投资人

可持续发展

中文(中国)

加利福尼亚州消费者隐私法案(CCPA)选择退出图标

你的隐私选择

加利福尼亚州消费者隐私法案(CCPA)选择退出图标

你的隐私选择

与 Microsoft 联系

隐私

管理 Cookie

使用条款

商标

关于我们的广告

京ICP备09042378号-6

© Microsoft 2024

勒索病毒识别、解密工具汇总（附部分工具下载地址） - 知乎

勒索病毒识别、解密工具汇总（附部分工具下载地址） - 知乎切换模式写文章登录/注册勒索病毒识别、解密工具汇总（附部分工具下载地址）谷安培训​已认证账号最近应急服务的时候，总是在工控用户方碰上各种勒索病毒，感染工控系统的计算机，以下为日常搜集的勒索病毒解密工具的汇总。希望对大家有用！请各位在虚拟机下安全的使用。[777 Ransom] Trend Micro Ransomware解密器用来解密777勒索软件加密的文件[AES_NI Ransom] Rakhni解密器用来解密AES_NI勒索软件加密的文件[Agent.iih Ransom] Rakhni解密器用来解密Agent.iih勒索软件加密的文件[Alcatraz Ransom] Alcatraz解密器用来解密Alcatraz勒索软件加密的文件[Alpha Ransom] Alphadecrypter解密器用来解密Alpha勒索软件加密的文件[Amnesia Ransom] Amnesia解密器用来解密Amnesia勒索软件加密的文件[Amnesia2 Ransom] Amnesia2解密器用来解密Amnesia2 勒索软件加密的文件[Annabelle Ransom] BDAnnabelleDecryptTool解密器用来解密Annabelle勒索软件加密的文件StupidDecryptor解密器用来解密Annabelle勒索软件加密的文件[Aura Ransom] Rakhni解密器用来解密Aura勒索软件加密的文件[Aurora Ransom] AuroraDecryptor解密器用来解密Aurora勒索软件加密的文件Aurora解密器用来解密Aurora勒索软件加密的文件[AutoIt Ransom] Rakhni解密器用来解密AutoIt勒索软件加密的文件[AutoLocky Ransom] Trend Micro Ransomware解密器用来解密AutoLocky勒索软件加密的文件[BTCWare Ransom] BTCWare解密器用来解密BTCWare勒索软件加密的文件[BadBlock Ransom] Trend Micro Ransomware解密器用来解密BadBlock勒索软件加密的文件[BarRax Ransom] BarRax解密器用来解密BarRax勒索软件加密的文件[Bart Ransom] Bart解密器用来解密Bart勒索软件加密的文件[BigBobRoss Ransom] Bigbobross fix解密器用来解密BigBobRoss勒索软件加密的文件[Bitcryptor Ransom] Coinvault解密器用来解密Bitcryptor勒索软件加密的文件[CERBER V1 Ransom] Trend Micro Ransomware解密器用来解密CERBER V1勒索软件加密的文件[Chimera Ransom] Rakhni解密器用来解密Chimera勒索软件加密的文件[Coinvault Ransom] Coinvault解密器用来解密Coinvault勒索软件加密的文件[Cry128 Ransom] Cry128解密器用来解密Cry128勒索软件加密的文件[Cry9 Ransom] Cry9解密器用来解密Cry9勒索软件加密的文件[CrySIS Ransom] Rakhni解密器用来解密CrySIS勒索软件加密的文件[Cryakl Ransom] Rakhni解密器用来解密Cryakl勒索软件加密的文件[Crybola Ransom] Rannoh解密器用来解密Crybola勒索软件加密的文件[Crypt888 Ransom] Crypt888解密器用来解密Crypt888勒索软件加密的文件[CryptON Ransom] Crypton解密器用来解密CryptON勒索软件加密的文件[CryptXXX V1/2/3/4/5 Ransom Rannoh解密器用来解密CryptXXX V1/2/3/4/5勒索软件加密的文件[CryptoMix Ransom] CryptoMix解密器用来解密CryptoMix勒索软件加密的文件[Cryptokluchen Ransom] Rakhni解密器用来解密Cryptokluchen勒索软件加密的文件[DXXD Ransom] Trend Micro Ransomware解密器用来解密DXXD勒索软件加密的文件[Damage Ransom] Damage解密器用来解密Damage勒索软件加密的文件[Democry Ransom] Rakhni解密器用来解密Democry勒索软件加密的文件[Derialock Ransom] Derialock解密器用来解密Derialock勒索软件加密的文件[Dharma Ransom] Rakhni解密器用来解密Dharma勒索软件加密的文件[EncrypTile Ransom] EncrypTile解密器用来解密EncrypTile勒索软件加密的文件[Everbe 1.0 Ransom] InsaneCryptDecrypter解密器用来解密Everbe 1.0勒索软件加密的文件[FenixLocker Ransom] FenixLocker解密器用来解密FenixLocker勒索软件加密的文件[FilesLocker v1 and v2 Ransom] FilesLockerDecrypter解密器用来解密FilesLocker v1 and v2勒索软件加密的文件[Fury Ransom] Rannoh解密器用来解密Fury勒索软件加密的文件[GandCrab (V1, V4 and V5 up to V5.2 versions) Ransom] BDGandCrabDecryptTool解密器用来解密GandCrab (V1, V4 and V5 up to V5.2 versions)勒索软件加密的文件[GetCrypt Ransom] 解密器用来解密GetCrypt勒索软件加密的文件[Globe1/2/3Ransom] Globe1/2/3解密器用来解密Globe勒索软件加密的文件[GlobeImposter Ransom] GlobeImposter解密器用来解密GlobeImposter勒索软件加密的文件[Gomasom Ransom] Gomasom解密器用来解密Gomasom勒索软件加密的文件[HKCrypt Ransom] HKCrypt解密器用来解密HKCrypt勒索软件加密的文件[Globe/Purge Ransom] Trend Micro Ransomware解密器用来解密Globe/Purge勒索软件加密的文件[HiddenTear Ransom] HiddenTear解密器用来解密HiddenTear勒索软件加密的文件[InsaneCrypt Ransom] InsaneCryptDecrypter解密器用来解密InsaneCrypt 勒索软件加密的文件[JSWorm 2.0 Ransom] JS WORM 2.0解密器用来解密JSWorm 2.0勒索软件加密的文件[Jaff Ransom] Rakhni解密器用来解密Jaff勒索软件加密的文件[Jigsaw Ransom] Jigsaw解密器用来解密Jigsaw勒索软件加密的文件[LECHIFFRE Ransom] Trend Micro Ransomware解密器用来解密LECHIFFRE勒索软件加密的文件[LambdaLocker Ransom] LambdaLocker解密器用来解密LambdaLocker勒索软件加密的文件[Lamer Ransom] Rakhni解密器用来解密Lamer勒索软件加密的文件[Linux.Encoder.1 Ransom] Linux.Encoder.1解密器用来解密Linux.Encoder.1勒索软件加密的文件[Linux.Encoder.3 Ransom] Linux.Encoder.3解密器用来解密Linux.Encoder.3勒索软件加密的文件[Lortok Ransom] Rakhni解密器用来解密Lortok勒索软件加密的文件[MacRansom Ransom] MacRansom解密器用来解密MacRansom勒索软件加密的文件[Marlboro Ransom] Marlboro解密器用来解密Marlboro勒索软件加密的文件[Marsjoke aka Polyglot Ransom] Rannoh解密器用来解密Marsjoke aka Polyglot勒索软件加密的文件[MegaLocker Ransom] MegaLocker解密器用来解密MegaLocker勒索软件加密的文件[Merry X-Mas Ransom] Merry X-Mas解密器用来解密Merry X-Mas勒索软件加密的文件[MirCop Ransom] Trend Micro Ransomware解密器用来解密MirCop勒索软件加密的文件[Mole Ransom] Mole解密器用来解密Mole勒索软件加密的文件[Nemucod Ransom] Nemucod 解密器用来解密Nemucod勒索软件加密的文件[NemucodAES Ransom] NemucodAES解密器用来解密NemucodAES勒索软件加密的文件[Nmoreira Ransom] Nmoreira解密器用来解密Nmoreira勒索软件加密的文件[Noobcrypt Ransom] Noobcrypt解密器用来解密Noobcrypt勒索软件加密的文件[Ozozalocker Ransom] Ozozalocker解密器用来解密Ozozalocker勒索软件加密的文件[PHP ransomware Ransom] PHP ransomware解密器用来解密PHP ransomware勒索软件加密的文件[Pewcrypt Ransom] Pewcrypt解密器用来解密Pewcrypt勒索软件加密的文件[Philadelphia Ransom] Philadelphia解密器用来解密Philadelphia勒索软件加密的文件[Planetary Ransom] Planetary解密器用来解密Planetary勒索软件加密的文件[Pletor Ransom] Rakhni解密器用来解密Pletor勒索软件加密的文件[Popcorn Ransom] Popcorn解密器用来解密Popcorn勒索软件加密的文件[Pylocky Ransom] pylocky_decryptor解密器用来解密Pylocky勒索软件加密的文件[Rakhni Ransom] Rakhni解密器用来解密Rakhni勒索软件加密的文件[Rannoh Ransom] Rannoh解密器用来解密Rannoh勒索软件加密的文件[Rotor Ransom] Rakhni解密器用来解密Rotor勒索软件加密的文件[SNSLocker Ransom] Trend Micro Ransomware解密器用来解密SNSLocker勒索软件加密的文件[Shade Ransom] Shade解密器用来解密Shade勒索软件加密的文件[Simplocker Ransom] Simplelocker解密器用来解密Simplocker勒索软件加密的文件[Stampado Ransom] Stampado解密器用来解密Stampado勒索软件加密的文件[Teamxrat/Xpan Ransom] Trend Micro Ransomware解密器用来解密Teamxrat/Xpan勒索软件加密的文件[TeslaCrypt V1/2/3/4 Ransom] TeslaDecrypt 解密器用来解密TeslaCrypt V1/2/3/4勒索软件加密的文件[Thanatos Ransom] Thanatos解密器用来解密Thanatos勒索软件加密的文件[Trustezeb Ransom] Trustezeb.A解密器用来解密Trustezeb勒索软件加密的文件[Wildfire Ransom] Wildfire解密器用来解密Wildfire勒索软件加密的文件[XData Ransom] Rakhni解密器用来解密XData勒索软件加密的文件[XORBAT Ransom] Trend Micro Ransomware解密器用来解密XORBAT勒索软件加密的文件[XORIST Ransom] Xorist解密器用来解密XORIST勒索软件加密的文件[ZQ Ransom] ZQ解密器用来解密ZQ勒索软件加密的文件勒索病毒识别类工具这类工具主要用于识别和检索各类已知的病毒。1、腾讯勒索病毒搜索引擎：https://guanjia.qq.com/pr/ls/2、VenusEye勒索病毒搜索引擎：https://lesuo.venuseye.com.cn/3、奇安信勒索病毒搜索引擎：https://lesuobingdu.qianxin.com/4、深信服勒索病毒搜索引擎：https://edr.sangfor.com.cn/#/information/ransom_search解密类工具这类工具主要是提供一些根据已知的病毒制作的杀毒、解密、备份等软件。1、腾讯哈勃勒索软件专杀工具：https://habo.qq.com/tool/index2、火绒勒索病毒解密工具集合：http://bbs.huorong.cn/thread-65355-1-1.html3、瑞星解密工具下载：http://it.rising.com.cn/fanglesuo/index.html4、nomoreransom勒索软件解密工具集：https://www.nomoreransom.org/zh/index.html5、卡巴斯基免费勒索解密器：https://noransom.kaspersky.com/作者：jiansiting、腾讯安全战略研究，如侵权请联系删除。参考来源：https://github.com/jiansiting/Decryption-Toolshttps://mp.weixin.qq.com/s/5Op9OBeOfHn_32aoQDSpzg 谷安最新认证课程咨询+双12福利领取发布于 2020-12-02 11:23信息安全勒索病毒注册信息安全专业人员（CISP）​赞同 4​​添加评论​分享​喜欢​收藏​申请

勒索病毒详解+处置流程 - 知乎

勒索病毒详解+处置流程 - 知乎切换模式写文章登录/注册勒索病毒详解+处置流程码农玛卡巴卡勒索病毒特征即磁盘文件被加密，一旦完成勒索过程则无法恢复文件，因此这类病毒以预防为主，安装杀毒软件并做好主机防黑工作及时打补丁，对重要文件要及时隔离备份1.了解现状第一时间了解目前什么情况：文件被加密？设备无法正常启动？勒索信息展示？桌面有新的文本文件并记录加密信息及解密联系方式？2.了解中毒时间文件加密时间？设备无法正常启动的时间？新的文本文件的出现时间？了解事件发生时间，后面以此时间点做排查重点；3.了解系统架构4.确认感染机器5.感染文件特征和感染时间1、操作系统桌面是否有新的文本文件,文本文件中是否有详细的加密信息及解密联系方式；2、被加密的文件类型；3、加密后的文件后缀；6.被加密的文件类型.der, .pfx, .key, .crt, .csr, .p12, .pem, .odt, .ott, .sxw, .stw, .uot, .3ds, .max, .3dm, .ods, .ots, .sxc, .stc, .dif, .slk, .wb2, .odp, .otp, .sxd, .std, .uop, .odg, .otg, .sxm, .mml, .lay, .lay6, .asc, .sqlite3, .sqlitedb, .sql, .accdb, .mdb, .dbf, .odb, .frm, .myd, .myi, .ibd, .mdf, .ldf, .sln, .suo, .cpp, .pas, .asm, .cmd, .bat, .ps1, .vbs, .dip, .dch, .sch, .brd, .jsp, .php, .asp, .java, .jar, .class, .mp3, .wav, .swf, .fla, .wmv, .mpg, .vob, .mpeg, .asf, .avi, .mov, .mp4, .3gp, .mkv, .3g2, .flv, .wma, .mid, .m3u, .m4u, .djvu, .svg, .psd, .nef, .tiff, .tif, .cgm, .raw, .gif, .png, .bmp, .jpg, .jpeg, .vcd, .iso, .backup, .zip, .rar, .tgz, .tar, .bak, .tbk, .bz2, .PAQ, .ARC, .aes, .gpg, .vmx, .vmdk, .vdi, .sldm, .sldx, .sti, .sxi, .602, .hwp, .snt, .onetoc2, .dwg, .pdf, .wk1, .wks, .123, .rtf, .csv, .txt, .vsdx, .vsd, .edb, .eml, .msg, .ost, .pst, .potm, .potx, .ppam, .ppsx, .ppsm, .pps, .pot, .pptm, .pptx, .ppt, .xltm, .xltx, .xlc, .xlm, .xlt, .xlw, .xlsb, .xlsm, .xlsx, .xls, .dotx, .dotm, .dot, .docm, .docb, .docx, .doc7.加密后的文件后缀.WNCRYT，.lock，.pre_alpha，.aes，.aes_ni，.xdata，.aes_ni_0day， .pr0tect，.[stopstorage@qq.com].java，文件后缀无变化；8.确认感染时间Linux系统：执行命令stat[空格]文件名，包括三个时间access time（访问时间）、modify time（内容修改时间）、change time（属性改变时间），如：例：stat /etc/passwdWindows系统：例：右键查看文件属性，查看文件时间9.处理方式未被感染主机：关闭SSH、RDP等协议，并且更改主机密码；备份系统重要数据、且文件备份应与主机隔离；禁止接入U盘、移动硬盘等可执行摆渡攻击的设备；被感染主机：立即对被感染主机进行隔离处置，禁用所有有线及无线网卡或直接拔掉网线防止病毒感染其他主机；禁止在被感染主机上使用U盘、移动硬盘等可执行摆渡攻击的设备；无法定位到文件？木马执行完毕后自删除采用傀儡进程技术，恶意代码只在内存展开执行高级Rootkit或Bootkit级木马，强对抗性，三环工具无法探测解决方式收集系统事件日志，保持系统环境，请求后端技术支持案例一（1）事件概述某日接到应急响应请求：某外网服务器中敲诈者病毒。（2）事件分析应急响应人员到场了解情况后，发现服务器中植入勒索病毒，导致全盘文件被加密为java后缀格式文件，所有应用均无法使用。发现系统所有文件被加密为java后缀文件；桌面存在敲诈文件“FILES ENCRYPTED.txt”,内容为敲诈者的勒索信息，疑似攻击者邮箱为：xxxxxdx@qq.com；该email地址已有多起攻击事件：查看系统进程，发现天擎的相关防护服务已被关闭；进一步排查，发现服务器对外开放了3389远程桌面管理端口；administrator账户口令为弱口令，且自系统安装以来未修改过密码：（3）结论：服务器中“敲诈者”病毒，磁盘文件被全盘加密，目前暂时无法解密，只能通过重装操作系统来恢复，事件原因是黑客通过服务器3389端口弱口令进入，并上传加密程序执行加密；案例二应急响应小组成员在通过登录被加密感染的数据库服务器，发现其桌面上弹出勒索软件提示窗口：通过对被加密文件进行索引，发现加密的开始时间为2017年12月X日X点09分13秒；通过对系统日志进行分析，发现大量的远程桌面服务爆破日志：同时，于 2017年X月X日凌晨00点09分26秒，IP归属于荷兰的攻击者成功登录该系统：（3）结论向客户说明服务器中勒索病毒，目前暂时无法解密，只能通过重装操作系统来恢复；10.勒索病毒家族11.传播方式（一）服务器入侵传播黑客先通过弱口令、系统或软件漏洞等方式获取用户名和密码，再通过RDP（远程桌面协议）远程登录服务器，一旦登录成功，黑客就可以在服务器上为所欲为，例如，卸载服务器上的安全软件并手动运行勒索软件。这种攻击方式，一旦服务器被入侵，安全软件一般是不起作用的。管理员账号密码被破解，是服务器被入侵的主要原因。其中，管理员使用弱密码被黑客暴力破解，部分黑客利用病毒或木马潜伏用户电脑盗取密码，黑客还可从其他渠道直接购买账号密码（这里就涉及到敏感数据泄露问题了。）（二）利用漏洞自动传播通过系统自身漏洞进行传播扩散，是2017年的一个新特点。WannaCry勒索病毒就是利用永恒之蓝（EternalBlue）漏洞进行传播。此类勒索软件在破坏功能上与传统勒索软件无异，都是加密用户文件勒索赎金，但因传播方式不同，更难以防范，需要用户提高安全意识，及时更新有漏洞的软件或安装对应的安全补丁。（三）软件供应链攻击传播软件供应链攻击是指利用软件供应商与最终用户之间的信任关系，在合法软件正常传播和升级过程中，利用软件供应商的各种疏忽或漏洞，对合法软件进行劫持或篡改，从而绕过传统安全产品检查达到非法目的的攻击类型。2017年爆发的Fireball、暗云III、类Petya、异鬼II、Kuzzle、XShellGhost、CCleaner等后门事件均属于软件供应链攻击。而在乌克兰爆发的类Petya勒索软件事件也是其中之一，该病毒通过税务软件M.E.Doc的升级包投递到内网中进行传播。（四）邮件附件传播通过伪装成产品订单详情或图纸等重要文档类的钓鱼邮件，在附件中夹带含有恶意代码的脚本文件，一旦用户打开邮件附件，便会执行里面的脚本，释放勒索病毒。这类传播方式针对性较强，主要瞄准公司企业、各类单位和院校，电脑中往往不是个人文档而是公司文档。最终目的是给公司业务的运转制造破坏，迫使公司为了止损而不得不交付赎金。（五）利用挂马网页传播通过入侵主流网站的服务器，在正常网页中植入木马，让访问者在浏览网页时利用IE或Flash等软件漏洞进行攻击。这类勒索软件属于撒网抓鱼式的传播，没有特定的针对性，中招的受害者多数为“裸奔”用户，未安装任何杀毒软件。使用了MS17-010远程高危漏洞进行自我传播复制敲诈者通过文件加密方面的编程较为规范，流程符合密码学标准（RSA+AES加密），很难通过其他手段对勒索文件进行解密。12.勒索病毒攻击特点(一)无C2服务器加密技术流行2017年，我们发现黑客在对文件加密的过程中，一般不再使用C2服务器了，也就是说现在的勒索软件加密过程中不需要回传私钥了。这种技术的加密过程大致如下：1）在加密前随机生成新的加密密钥对（非对称公、私钥）2）使用该新生成新的公钥对文件进行加密3）把新生成的私钥采用黑客预埋的公钥进行加密保存在一个ID文件或嵌入在加密文件里解密过程大致如下：1）通过邮件或在线提交的方式，提交ID串或加密文件里的加密私钥（该私钥一般黑客会提供工具提取）；2）黑客使用保留的预埋公钥对应的私钥解密受害者提交过来的私钥；3）把解密私钥或解密工具交付给受害者进行解密。通过以上过程可以实现每个受害者的解密私钥都不相同，同时可以避免联网回传私钥。这也就意味着不需要联网，勒索病毒也可以对终端完成加密，甚至是在隔离网环境下，依然可以对文件和数据进行加密。显然 ，这种技术是针对采用了各种隔离措施的政企机构所设计的。(二)攻击目标转向政企机构2017年，勒索软件的攻击进一步聚焦在高利润目标上，其中包括高净值个人、连接设备和企业服务器。特别是针对中小企业网络服务器的攻击急剧增长，已经成为2017年勒索软件攻击的一大鲜明特征。据不完全统计，2017年，约15%的勒索软件攻击是针对中小企业服务器发起的定向攻击，尤以Crysis、xtbl、wallet、arena、Cobra等家族为代表。客观的说，中小企业往往安全架构单一，相对容易被攻破。同时，勒索软件以企业服务器为攻击目标，往往也更容易获得高额赎金。例如：针对Linux服务器的勒索软件Rrebus，虽然名气不大，却轻松从韩国Web托管公司Nayana收取了100万美元赎金，是震惊全球的永恒之蓝全部收入的7倍之多。Nayana所以屈服，是因为超150台服务器受到攻击，上面托管着3400多家中小企业客户的站点。这款勒索病毒的覆盖面有限，韩国几乎是唯一的重灾区。(三)针对关键信息基础设施的攻击以WannaCry、类Petya为代表的勒索软件，则是将关键信息基础设施作为了主要攻击目标，这在以往是从未出现过的严峻情况。关键基础设施为社会生产和居民生活提供公共服务，保证国家或地区社会经济活动正常进行，其一旦被攻击将严重影响人们的日常生活，危害巨大。(四)攻击目的开始多样化顾名思义，勒索软件自然就是要勒索钱财。但这种传统认知已经在2017年被打破。以网络破坏、组织破坏为目的的勒索软件已经出现并开始流行。其中最为典型的代表就是类Petya。与大多数勒索软件攻击不同，类Petya的代码不是为了向受害者勒索金钱，而是要摧毁一切。类Petya病毒的主要攻击目的就是为了破坏数据而不是获得金钱。此外，以Spora为代表的窃密型勒索软件在加密用户文档时，还会窃取用户账号密码和键盘输入等信息，属于功能复合型勒索软件。这些不仅以“勒索”为目的的“勒索软件”，实际上只是结合了传统勒索软件对文件进行加密的技术方法来实现其数据破坏、信息窃取等其他攻击目的。相比于勒索金钱，这种攻击将给对手带来更大的破坏和更大的威胁。这不仅会引发网络犯罪“商业模式”的新变种，而且会反过来刺激网络保险市场的进一步扩张。(五)勒索软件平台化运营2017年，勒索软件已经不再是黑客单打独斗的产物，而是做成平台化的上市服务，形成了一个完整的产业链条。在勒索软件服务平台上，勒索软件的核心技术已经直接打包封装好了，小黑客直接购买调用其服务，即可得到一个完整的勒索软件。这种勒索软件的生成模式我们称其为RaaS服务，而黑市中一般用“Satan Ransomware（撒旦勒索软件）”来指代由RaaS服务生成的勒索软件。RaaS服务允许任何犯罪者注册一个帐户，并创建自己定制版本的撒旦勒索软件。一旦勒索软件被创建，那么犯罪分子将决定如何分发勒索软件，而RaaS服务平台将处理赎金支付和增加新功能。对于这项服务，RaaS服务平台的开发者将收取受害者所支付赎金的30％，购买RaaS服务者将获取剩余70％的赎金。(六) 境外攻击者多于境内攻击者2017年，勒索软件的攻击源头以境外为主。绝大多数的勒索软件攻击者基本都是境外攻击者，国内攻击者较少，而且国内攻击者技术水平也相对较低，制作水平也不高。有些国内攻击者编写的勒索软件程序甚至存在很多漏洞，因此也比较容易被破解。比如：MCR勒索病毒，我们可以直接获取到密钥从而恢复文件。13.勒索病毒事件防御个人终端防御技术(一)文档自动备份隔离保护文档自动备份隔离技术是360独创的一种勒索软件防护技术。这一技术在未来一两年内可能会成为安全软件反勒索技术的标配。鉴于勒索软件一旦攻击成功往往难以修复，而且具有变种多，更新快，大量采用免杀技术等特点，因此，单纯防范勒索软件感染并不是“万全之策”。但是，无论勒索软件采用何种具体技术，无论是哪一家族的哪一变种，一个基本的共同特点就是会对文档进行篡改。而文档篡改行为具有很多明显的技术特征，通过监测系统中是否存在文档篡改行为，并对可能被篡改的文档加以必要的保护，就可以在相当程度上帮助用户挽回勒索软件攻击的损失。文档自动备份隔离技术就是在这一技术思想的具体实现，360将其应用于360文档卫士功能模块当中。只要电脑里的文档出现被篡改的情况，它会第一时间把文档自动备份在隔离区保护起来，用户可以随时恢复文件。无论病毒如何变化，只要它有篡改用户文档的行为，就会触发文档自动备份隔离，从而使用户可以免遭勒索，不用支付赎金也能恢复文件。360文档卫士的自动备份触发条件主要包括亮点：一、开机后第一次修改文档；二、有可疑程序篡改文档。当出现上述两种情况时，文档卫士会默认备份包括Word、Excel、PowerPoint、PDF等格式在内的文件，并在备份成功后出现提示信息。用户还可以在设置中选择添加更多需要备份的文件格式。比如电脑里的照片非常重要，就可以把jpg等图片格式加入保护范围。此外，360文档卫士还集合了“文件解密”功能，360安全专家通过对一些勒索软件家族进行逆向分析，成功实现了多种类型的文件解密，如2017年出现的“纵情文件修复敲诈者病毒”等。如有网友电脑已不慎中招，可以尝试通过“文档解密”一键扫描并恢复被病毒加密的文件。(二)综合性反勒索软件技术与一般的病毒和木马相比，勒索软件的代码特征和攻击行为都有很大的不同。采用任何单一防范技术都是不可靠的。综合运用各种新型安全技术来防范勒索软件攻击，已经成为一种主流的技术趋势。下面就以360安全卫士的相关创新功能来分析综合性反勒索软件技术。相关技术主要包括：智能诱捕、行为追踪、智能文件格式分析、数据流分析等，具体如下。智能诱捕技术是捕获勒索软件的利器，其具体方法是：防护软件在电脑系统的各处设置陷阱文件；当有病毒试图加密文件时，就会首先命中设置的陷阱，从而暴露其攻击行为。这样，安全软件就可以快速无损的发现各类试图加密或破坏文件的恶意程序。行为追踪技术是云安全与大数据综合运用的一种安全技术。基于360的云安全主动防御体系，通过对程序行为的多维度智能分析，安全软件可以对可疑的文件操作进行备份或内容检测，一旦发现恶意修改则立即阻断并恢复文件内容。该技术主要用于拦截各类文件加密和破坏性攻击，能够主动防御最新出现的勒索病毒。智能文件格式分析技术是一种防护加速技术，目的是尽可能的降低反勒索功能对用户体验的影响。实际上，几乎所有的反勒索技术都会或多或少的增加安全软件和电脑系统的负担，相关技术能否实用的关键就在于如何尽可能的降低其对系统性能的影响，提升用户体验。360研发的智能文件格式分析技术，可以快速识别数十种常用文档格式，精准识别对文件内容的破坏性操作，而基本不会影响正常文件操作，在确保数据安全的同时又不影响用户体验。数据流分析技术，是一种将人工智能技术与安全防护技术相结合的新型文档安全保护技术。首先，基于机器学习的方法，我们可以在电脑内部的数据流层面，分析出勒索软件对文档的读写操作与正常使用文档情况下的读写操作的区别；而这些区别可以用于识别勒索软件攻击行为；从而可以在“第一现场”捕获和过滤勒索软件，避免勒索软件的读写操作实际作用于相关文档，从而实现文档的有效保护。企业级终端防御技术(一)云端免疫技术在国内，甚至全球范围内的政企机构中，系统未打补丁或补丁更新不及时的情况都普遍存在。这并非是简单的安全意识问题，而是多种客观因素限制了政企机构对系统设备的补丁管理。因此，对无补丁系统，或补丁更新较慢的系统的安全防护需求，就成为一种“强需求”。而云端免疫技术，就是解决此类问题的有效方法之一。这种技术已经被应用于360的终端安全解决方案之中。所谓云端免疫，实际上就是通过终端安全管理系统，由云端直接下发免疫策略或补丁，帮助用户电脑做防护或打补丁；对于无法打补丁的电脑终端，免疫工具下发的免疫策略本身也具有较强的定向防护能力，可以阻止特定病毒的入侵；除此之外，云端还可以直接升级本地的免疫库或免疫工具，保护用户的电脑安全。需要说明的事，云端免疫技术只是一种折中的解决方案，并不是万能的或一劳永逸的，未打补丁系统的安全性仍然比打了补丁的系统的安全性有一定差距。但就当前国内众多政企机构的实际网络环境而诺言，云端免疫不失为一种有效的解决方案。(二)密码保护技术针对中小企业网络服务器的攻击，是2017年勒索软件攻击的一大特点。而攻击者之所以能够渗透进入企业服务器，绝大多数情况都是因为管理员设置的管理密码为弱密码或帐号密码被盗。因此，加强登陆密码的安全管理，也是一种必要的反勒索技术。具体来看，加强密码保住主要应从三个方面入手：一是采用弱密码检验技术，强制网络管理员使用复杂密码；二是采用反暴力破解技术，对于陌生IP的登陆位置和登陆次数进行严格控制；三是采用VPN或双因子认证技术，从而使攻击者即便盗取了管理员帐号和密码，也无法轻易的登陆企业服务器。文章转自网络信科技，侵删原文链接：https://mp.weixin.qq.com/s/Cb6_w-d1wHfjthfWkMH2WQ发布于 2023-12-19 17:32・IP 属地河南勒索病毒网络安全渗透测试​赞同 1​​1 条评论​分享​喜欢​收藏​申请