搜索

[14538] 2019-09-01_勒索病毒防范措施与应急响应指南

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2019-09-01_勒索病毒防范措施与应急响应指南 勒 索 病 毒 防 范 措 施 与 应 急 响 应 指 南 F r e e B u f   2 0 1 9 - 0 9 - 0 1 以 下 文 章 来 源 于 安 全 分 析 与 研 究   ， 作 者 p a n d a z h e n g z h e n g 此 前 我 写 过 一 篇 文 章 《 企 业 中 了 勒 索 病 毒 该 怎 么 办 此 前 我 写 过 一 篇 文 章 《 企 业 中 了 勒 索 病 毒 该 怎 么 办 ? 可 以 解 密 吗 可 以 解 密 吗 ? 》 ， 里 面 介 绍 了 很 多 解 密 的 网 站 ， 并 教 了 大 家 》 ， 里 面 介 绍 了 很 多 解 密 的 网 站 ， 并 教 了 大 家 如 何 快 速 识 别 企 业 中 了 哪 个 勒 索 病 毒 家 族 ， 以 及 此 勒 索 病 毒 是 否 有 解 密 工 具 ， 也 包 含 一 些 简 单 的 勒 索 病 毒 应 急 如 何 快 速 识 别 企 业 中 了 哪 个 勒 索 病 毒 家 族 ， 以 及 此 勒 索 病 毒 是 否 有 解 密 工 具 ， 也 包 含 一 些 简 单 的 勒 索 病 毒 应 急 处 理 方 法 ， 这 篇 我 将 重 点 讲 解 一 下 ， 作 为 一 名 安 全 应 急 响 应 人 员 ， 该 如 何 去 处 理 勒 索 病 毒 ， 可 以 给 客 户 提 供 哪 处 理 方 法 ， 这 篇 我 将 重 点 讲 解 一 下 ， 作 为 一 名 安 全 应 急 响 应 人 员 ， 该 如 何 去 处 理 勒 索 病 毒 ， 可 以 给 客 户 提 供 哪 些 勒 索 病 毒 防 范 措 施 和 应 急 响 应 指 导 等 。 些 勒 索 病 毒 防 范 措 施 和 应 急 响 应 指 导 等 。 关 于 勒 索 病 毒 ， 很 多 朋 友 在 后 台 留 言 常 常 会 问 我 这 两 个 问 题 ： 关 于 勒 索 病 毒 ， 很 多 朋 友 在 后 台 留 言 常 常 会 问 我 这 两 个 问 题 ： 1 . 企 业 还 没 有 中 勒 索 ， 但 领 导 很 害 怕 ， 该 如 何 防 范 呢 ? 有 哪 些 建 议 和 指 导 2 . 企 业 已 经 中 了 勒 索 ， 该 如 何 快 速 进 行 应 急 响 应 ? 有 哪 些 建 议 和 指 导 企 业 应 该 如 何 做 好 安 全 防 护 ， 主 要 从 以 下 几 个 方 面 入 手 ： 企 业 应 该 如 何 做 好 安 全 防 护 ， 主 要 从 以 下 几 个 方 面 入 手 ： 1 . 部 署 可 靠 高 质 量 的 防 火 墙 、 安 装 防 病 毒 终 端 安 全 软 件 ， 检 测 应 用 程 序 、 拦 截 可 疑 流 量 ， 使 防 病 毒 软 件 保 持 最 新 ， 设 置 为 高 强 度 安 全 防 护 级 别 ， 还 可 以 使 用 软 件 限 制 策 略 防 止 未 经 授 权 的 应 用 程 序 运 行 2 . 关 注 最 新 的 漏 洞 ， 及 时 更 新 电 脑 上 的 终 端 安 全 软 件 ， 修 复 最 新 的 漏 洞 3 . 关 闭 不 必 要 的 端 口 ， 目 前 发 现 的 大 部 分 勒 索 病 毒 通 过 开 放 的 R D P 端 口 进 行 传 播 ， 如 果 业 务 上 无 需 使 用 R D P ， 建 议 关 闭 R D P ， 以 防 止 黑 客 通 过 R D P 爆 破 攻 击 4 . 培 养 员 工 的 安 全 意 识 ， 这 点 非 常 重 要 ， 如 果 企 业 员 工 不 重 视 安 全 ， 迟 早 会 出 现 安 全 问 题 ， 安 全 防 护 的 重 点 永 远 在 于 人 ， 人 也 是 最 大 的 安 全 漏 洞 ， 企 业 需 要 不 定 期 给 员 工 进 行 安 全 教 育 的 培 训 ， 与 员 工 一 起 开 展 安 全 意 识 培 训 、 检 查 和 讨 论 ： 1 ) 设 置 高 强 度 的 密 码 ， 而 且 要 不 定 期 进 行 密 码 的 更 新 ， 避 免 使 用 统 一 的 密 码 ， 统 一 的 密 码 会 导 致 企 业 多 台 电 脑 被 感 染 的 风 险 ， 此 前 我 就 遇 到 过 一 个 企 业 内 网 的 密 码 都 使 用 同 一 个 的 情 况 ， 导 致 企 业 内 部 多 台 电 脑 被 勒 索 加 密 2 ) 企 业 内 部 应 用 程 序 的 管 控 与 设 置 ， 所 有 的 软 件 都 由 I T 部 门 统 一 从 正 规 的 网 站 进 行 下 载 ， 进 行 安 全 检 测 之 后 ， 然 后 再 分 发 给 企 业 内 部 员 工 ， 禁 止 员 工 自 己 从 非 正 规 的 网 站 下 载 安 装 软 件 3 ) 企 业 内 部 使 用 的 o f f i c e 等 软 件 ， 要 进 行 安 全 设 置 ， 禁 止 宏 运 行 ， 避 免 一 些 恶 意 软 件 通 过 宏 病 毒 的 方 式 感 染 主 机 4 ) 从 来 历 不 明 的 网 站 下 载 的 一 些 文 档 ， 要 经 过 安 全 检 测 才 能 打 开 使 用 ， 切 不 可 直 接 双 击 运 行 5 ) 谨 慎 打 开 来 历 不 明 的 邮 件 ， 防 止 被 邮 件 钓 鱼 攻 击 和 垃 圾 邮 件 攻 击 ， 不 要 随 便 点 击 邮 件 中 的 不 明 附 件 或 快 捷 方 式 ， 网 站 链 接 等 ， 防 止 网 页 挂 马 ， 利 用 漏 洞 攻 击 等 6 ) 可 以 不 定 期 进 行 安 全 攻 防 演 练 ， 模 拟 攻 击 等 ， 让 员 工 了 解 黑 客 有 哪 些 攻 击 手 法 7 ) 可 以 给 员 工 进 行 勒 索 病 毒 感 染 实 例 讲 解 ， 用 真 实 的 勒 索 病 毒 样 本 ， 进 行 模 拟 感 染 攻 击 ， 让 员 工 了 解 勒 索 病 毒 的 危 害 安 全 分 析 与 研 究 安 全 分 析 与 研 究   . 专 注 于 全 球 恶 意 软 件 的 分 析 与 研 究 ， 追 踪 全 球 黑 客 组 织 攻 击 活 动
5 . 养 成 良 好 的 备 份 习 惯 ， 对 重 要 的 数 据 和 文 档 进 行 定 期 非 本 地 备 份 ， 可 使 用 移 动 存 储 设 置 保 存 关 键 数 据 ， 同 时 要 定 期 测 试 保 存 的 备 份 数 据 是 否 完 整 可 用 勒 索 病 毒 的 特 征 一 般 都 很 明 显 ， 会 加 密 磁 盘 的 文 件 ， 并 在 磁 盘 相 应 的 目 录 生 成 勒 索 提 示 信 息 文 档 或 弹 出 相 应 的 勒 索 界 面 ， 如 果 你 发 现 你 的 文 档 和 程 序 无 法 打 开 ， 磁 盘 中 的 文 件 被 修 改 ， 桌 面 壁 纸 被 替 换 ， 提 示 相 应 的 勒 索 信 息 ， 要 求 支 付 一 定 的 赎 金 才 能 解 密 ， 说 明 你 的 电 脑 中 了 勒 索 病 毒 。 企 业 中 了 勒 索 ， 该 如 何 应 急 ， 主 要 从 以 下 几 个 方 面 入 手 ： 企 业 中 了 勒 索 ， 该 如 何 应 急 ， 主 要 从 以 下 几 个 方 面 入 手 ： 1 . 隔 离 被 感 染 的 服 务 器 主 机 隔 离 被 感 染 的 服 务 器 主 机 拔 掉 中 毒 主 机 网 线 ， 断 开 主 机 与 网 络 的 连 接 ， 关 闭 主 机 的 无 线 网 络 W I F I 、 蓝 牙 连 接 等 ， 并 拔 掉 主 机 上 的 所 有 外 部 存 储 设 备 2 . 确 定 被 感 染 的 范 围 确 定 被 感 染 的 范 围 查 看 主 机 中 的 所 有 文 件 夹 、 网 络 共 享 文 件 目 录 、 外 置 硬 盘 、 U S B 驱 动 器 ， 以 及 主 机 上 云 存 储 中 的 文 件 等 ， 是 否 已 经 全 部 加 密 了 3 . 确 定 是 被 哪 个 勒 索 病 毒 家 族 感 染 的 ， 在 主 机 上 进 行 溯 源 分 析 ， 查 看 日 志 信 息 等 确 定 是 被 哪 个 勒 索 病 毒 家 族 感 染 的 ， 在 主 机 上 进 行 溯 源 分 析 ， 查 看 日 志 信 息 等 主 机 被 勒 索 病 毒 加 密 之 后 ， 会 在 主 机 上 留 上 一 些 勒 索 提 示 信 息 ， 我 们 可 以 先 去 加 密 后 的 磁 盘 目 录 找 到 勒 索 提 示 信 息 ， 有 些 勒 索 提 示 信 息 上 就 有 这 款 勒 索 病 毒 的 标 识 ， 显 示 是 哪 一 种 勒 索 病 毒 ， 比 方 G a n d C r a b 的 勒 索 提 示 信 息 ， 最 开 始 都 标 明 了 是 哪 一 个 版 本 的 G a n d C r a b 勒 索 病 毒 版 本 ， 可 以 先 找 勒 索 提 示 信 息 ， 再 进 行 溯 源 分 析 溯 源 分 析 一 般 通 过 查 看 主 机 上 保 留 的 日 志 信 息 ， 以 及 主 机 上 保 留 的 样 本 信 息 ， 通 过 日 志 可 以 判 断 此 勒 索 病 毒 可 能 是 通 过 哪 种 方 式 进 来 的 ， 比 方 发 现 文 件 被 加 密 前 某 个 时 间 段 有 大 量 的 R D P 爆 破 日 志 ， 并 成 功 通 过 远 程 登 录 过 主 机 ， 然 后 在 主 机 的 相 应 目 录 发 现 了 病 毒 样 本 ， 可 能 猜 测 这 款 勒 索 病 毒 可 能 是 通 过 R D P 进 来 的 ， 如 果 日 志 被 删 除 了 ， 就 只 能 去 主 机 上 找 相 关 的 病 毒 样 本 或 可 疑 文 件 ， 通 过 这 些 可 疑 的 文 件 来 猜 测 可 能 是 通 过 哪 种 方 式 进 来 的 ， 比 方 有 些 是 能 过 银 行 类 木 马 下 载 传 播 的 ， 有 些 是 通 过 远 控 程 序 下 载 传 播 的 ， 有 些 是 通 过 网 页 挂 马 方 式 传 播 的 ， 还 可 以 去 主 机 的 浏 览 器 历 史 记 录 中 去 找 相 关 的 信 息 等 等 4 . 找 到 病 毒 样 本 ， 提 取 主 机 日 志 ， 进 行 溯 源 分 析 之 后 ， 关 闭 相 应 的 端 口 、 网 络 共 享 、 打 上 相 应 的 漏 洞 补 丁 ， 修 找 到 病 毒 样 本 ， 提 取 主 机 日 志 ， 进 行 溯 源 分 析 之 后 ， 关 闭 相 应 的 端 口 、 网 络 共 享 、 打 上 相 应 的 漏 洞 补 丁 ， 修 改 主 机 密 码 ， 安 装 高 强 度 防 火 墙 ， 防 病 毒 软 件 等 措 施 ， 防 止 被 二 次 感 染 勒 索 改 主 机 密 码 ， 安 装 高 强 度 防 火 墙 ， 防 病 毒 软 件 等 措 施 ， 防 止 被 二 次 感 染 勒 索 5 . 进 行 数 据 和 业 务 的 恢 复 ， 如 果 主 机 上 的 数 据 存 在 备 份 ， 则 可 以 还 原 备 份 数 据 ， 恢 复 业 务 ， 如 果 主 机 上 的 数 据 进 行 数 据 和 业 务 的 恢 复 ， 如 果 主 机 上 的 数 据 存 在 备 份 ， 则 可 以 还 原 备 份 数 据 ， 恢 复 业 务 ， 如 果 主 机 上 的 数 据 没 有 备 份 ， 可 以 在 确 定 是 哪 种 勒 索 病 毒 家 族 之 后 ， 查 找 相 应 的 解 密 工 具 ， 没 有 备 份 ， 可 以 在 确 定 是 哪 种 勒 索 病 毒 家 族 之 后 ， 查 找 相 应 的 解 密 工 具 ， 解 密 工 具 网 站 可 以 看 我 上 一 篇 文 章 中 提 到 的 ， 事 实 上 现 在 大 部 分 流 行 勒 索 病 毒 并 没 有 解 密 工 具 ， 如 果 数 据 比 较 重 要 ， 业 务 又 急 需 恢 复 ， 可 以 考 虑 使 用 下 面 方 式 尝 试 恢 复 数 据 和 业 务 ： 1 ) 可 以 通 过 一 些 磁 盘 数 据 恢 复 手 段 ， 恢 复 被 删 除 的 文 件 2 ) 可 以 跟 一 些 第 三 方 解 密 中 介 或 直 接 通 过 邮 件 的 方 式 联 系 黑 客 进 行 协 商 解 密 ( 但 不 推 荐 ） ， 可 能 就 是 因 为 现 在 交 钱 解 密 的 企 业 越 来 越 多 ， 导 致 勒 索 病 毒 家 族 变 种 越 来 越 多 ， 攻 击 越 来 越 频 繁 ， 还 有 很 多 企 业 中 了 勒 索 病 毒 暗 地 里 就 交 钱 解 密 了 现 在 很 多 勒 索 病 毒 都 使 用 邮 件 或 解 密 网 站 ， 要 求 受 害 者 通 过 这 些 网 站 进 行 解 密 操 作 ， 而 且 都 是 使 用 B T C 进 行 交 易 ， 而 且 功 能 非 常 完 善 ， 下 面 我 们 就 来 分 析 一 下 最 近 很 流 行 的 S o d i n o k i b i 勒 索 病 毒 的 解 密 网 站 ， 如 下 所 示 ：
网 站 的 主 机 提 示 你 被 加 密 了 ， 需 要 支 持 0 . 2 4 7 9 0 2 5 4 的 B T C （ = 2 5 0 0 美 元 ） ， 如 果 超 过 了 时 间 限 制 ， 则 可 能 需 要 支 付 0 . 4 9 5 8 0 5 0 8 的 B T C （ = 5 0 0 0 美 元 ） 黑 客 还 担 心 受 害 者 不 知 道 B T C 是 啥 ， 事 实 上 国 内 有 些 企 业 中 了 勒 索 ， 想 交 赎 金 ， 但 不 知 道 B T C 从 哪 里 来 ， 于 时 黑 客 就 给 出 了 详 细 的 步 骤 教 受 害 者 如 何 进 行 解 密 ， 以 及 如 果 购 买 B T C 操 作 等 ， 如 下 所 示 ： 黑 客 还 建 议 了 受 害 者 通 过 h t t p s : / / w w w . b l o c k c h a i n . c o m / e x p l o r e r 这 个 网 站 注 册 B T C 钱 包 ， 然 后 购 买 相 应 的 B T C ， 再 将 B T C 转 入 黑 客 的 B T C 钱 包 帐 户 ， 同 时 黑 客 还 提 示 了 使 用 多 种 方 式 可 以 购 买 B T C 的 链 接 ， 如 下 所 示 ：
还 贴 出 来 了 相 应 的 链 接 ， 指 导 受 害 者 如 何 购 买 B T C 的 详 细 教 程 等 等 ， 如 下 所 示 ：
同 时 黑 客 还 怕 受 害 者 不 相 信 可 以 解 密 ， 可 以 帮 受 害 者 免 费 解 密 几 个 文 件 ， 但 不 包 含 大 的 数 据 文 件 ， 只 能 是 1 0 M B 以 下 的 ， 如 下 所 示 ： B T C 注 册 网 站 ： h t t p s : / / w w w . b l o c k c h a i n . c o m B T C 购 买 链 接 ： h t t p s : / / w w w . c o i n m a m a . c o m / h t t p s : / / w w w . k o r b i t . c o . k r / h t t p s : / / w w w . c o i n f l o o r . c o . u k / h t t p s : / / c o i n f i n i t y . c o / h t t p s : / / w w w . b i t p a n d a . c o m / e n h t t p s : / / b t c d i r e c t . e u / h t t p s : / / w w w . p a y m i u m . c o m / h t t p s : / / b i t y . c o m / h t t p s : / / w w w . c o i n c o r n e r . c o m / h t t p s : / / w w w . h a p p y c o i n s . c o m h t t p s : / / w w w . b i t f i n e x . c o m / h t t p s : / / p o l o n i e x . c o m / h t t p s : / / c e x . i o / h t t p s : / / w w w . h u o b i . c o m /
h t t p s : / / b i t t y l i c i o u s . c o m / h t t p s : / / c o i n c a f e . c o m / h t t p s : / / w w w . c o i n h o u s e . c o m h t t p s : / / s a f e l l o . c o m / h t t p s : / / l o c a l b i t c o i n s . c o m / h t t p s : / / w w w . v i r w o x . c o m / h t t p s : / / w w w . b i t q u i c k . c o / h t t p s : / / w a l l o f c o i n s . c o m h t t p s : / / l i b e r t y x . c o m h t t p s : / / b i t i t . i o / h t t p s : / / c o i n a t m r a d a r . c o m / B T C 如 何 购 买 ： h t t p s : / / h o w t o b u y b i t c o i n s . i n f o / h t t p s : / / b i t t y b o t . c o / e u / h t t p s : / / w w w . b u y b i t c o i n w o r l d w i d e . c o m / h t t p : / / b i t c o i n - n e t . c o m / 黑 客 还 开 通 了 聊 天 窗 口 ， 可 以 跟 黑 客 进 行 沟 通 协 商 ， 讨 价 还 价 等 等 ， 如 下 所 示 ： 从 上 面 可 以 看 出 黑 客 为 了 让 受 害 者 能 交 付 赎 金 ， 做 了 一 个 专 门 的 网 站 进 行 指 导 ， 可 以 看 出 这 款 勒 索 病 毒 背 后 一 定 是 有 一 支 强 大 的 运 营 团 队 最 后 友 善 提 醒 ： 最 后 友 善 提 醒 ： 不 建 议 企 业 向 黑 客 支 付 B T C ， 也 不 建 议 企 业 找 第 三 方 中 介 解 密 ， 因 为 这 样 会 促 长 这 个 行 业 的 不 断 增 加 ， 现 在 大 部 分 勒 索 病 毒 无 法 解 密 ， 请 各 企 业 做 好 相 应 的 防 范 措 施 ， 按 上 面 的 一 些 指 导 方 法 和 建 议 进 行 勒 索 病 毒 的 防 御 ， 勒 索 病 毒 的 重
点 在 于 防 御 ！ * 本 文 作 者 ： 本 文 作 者 ： 熊 猫 正 正 ， 转 载 须 注 明 来 自 熊 猫 正 正 ， 转 载 须 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理