保护电脑免遭勒索软件攻击 - Microsoft 支持

保护电脑免遭勒索软件攻击 - Microsoft 支持

跳转至主内容

Microsoft

支持

支持

支持

主页

Microsoft 365

Office

产品

Microsoft 365

Outlook

Microsoft Teams

OneDrive

OneNote

Windows

Microsoft Edge

更多信息 ...

设备

Surface

电脑配件

移动体验

Xbox

PC 游戏

HoloLens

硬件保修

帐户和计费

帐户

Microsoft Store 和计费

资源

新增功能

社区论坛

Microsoft 365 管理员

小型企业门户

开发人员

教育

上报支持欺诈

更多

购买 Microsoft 365

所有 Microsoft

Global

Microsoft 365

Teams

Windows

Surface

Xbox

折扣专区

企业购

支持

软件

软件

Windows 应用

AI

OneDrive

Outlook

Skype

OneNote

Microsoft Teams

PC 和设备

PC 和设备

购买 Xbox

PC 和平板电脑

配件

娱乐

娱乐

Xbox 与游戏

PC 游戏

企业

企业

Microsoft Cloud

Microsoft 安全

Azure

Dynamics 365

Microsoft 365 商业版

Microsoft 行业

Microsoft Power Platform

开发人员与 IT

开发人员与 IT

开发人员中心

文档

Microsoft Learn

Microsoft 技术社区

Azure 市场

AppSource

Visual Studio

其他

其他

免费下载与安全性

教育

查看站点地图

搜索

搜索帮助

无结果

取消

登录

使用 Microsoft 登录

登录或创建帐户。

你好，

使用其他帐户。

你有多个帐户

选择要登录的帐户。

保护电脑免遭勒索软件攻击

Security Windows 7 Windows 8.1 Windows 10 更多...更少

勒索软件是一种加密你的文件或让你无法使用计算机的恶意软件，你必须付钱（赎金）才能解锁文件和计算机。 如果你的计算机已连接到网络，勒索软件还可能传播到网络上的其他计算机或存储设备。 

可能受到勒索软件感染的一些途径包括：

访问不安全、可疑或虚假网站。

打开你意外收到或从不认识的人那里收到的文件附件。

在电子邮件、Facebook、Twitter以及其它社交媒体的贴文或即时信息聊天或短信聊天中打开恶意链接。

你通常可以辨别出虚假电子邮件和网页，因为它们存在拼写错误或看起来异常。 留意奇怪的公司名称拼写（例如“PayePal”，而不是“PayPal”）或异常空格、符号或标点（例如“iTunesCustomer Service”，而不是“iTunes Customer Service”）。

勒索软件可以任何电脑为目标 - 无论是家庭电脑、连入企业网络的电脑，或是政府机关使用的服务器上的电脑。

警告: 移动设备也可能受到勒索软件感染！ 了解如何保护设备

如何帮助保护我的电脑安全？

确保你的电脑更新了最新版本的 Windows 和所有最新修补程序。 了解有关 Windows 更新的更多信息。

确保打开Windows 安全中心帮助你免受病毒和恶意软件的骚扰（或在 Windows 10 之前版本的系统中打开 Windows Defender Security Center）。

在 Windows 10 或 11 中，打开 “受控文件夹访问权限” 以保护重要本地文件夹免遭勒索软件或其他恶意软件等未授权程序的攻击。

使用一个安全、现代的浏览器，例如 Microsoft Edge。

定期重新启动计算机；至少每周一次。 这可以帮助确保应用程序和操作系统保持最新的，并有助于系统更好地运行。

注意: 如果你是一名小型企业所有者，考虑使用 Microsoft 365 商业高级版。 它包括 Microsoft Defender 高级威胁防护，有助于保护你的企业免遭在线威胁。详细了解 Microsoft 365 商业高级版安全中心

如果怀疑你的电脑已受到勒索软件感染

无论何时，如果你怀疑自己的电脑可能被感染，使用反恶意软件程序，比如 Windows 安全中心。 例如，如果你在新闻中看到了新的恶意软件或你发现你的电脑运行不正常。 请参阅 Windows 安全中心中的病毒和威胁防护了解如何扫描设备。

如果你的电脑确实已受到勒索软件感染

不幸的是，感染勒索软件通常不会显示出来，知道你看到某种通知、一个窗口、一个应用或一个全凭消息，要求你付钱来重新访问你的电脑或文件。 这些消息通常在加密你的文件后显示。

尝试用Windows Security彻底清理你的电脑。 在尝试恢复你的文件之前，应执行此操作。 另请参阅 备份 Windows 电脑，获取有关备份和恢复 Windows 版本的文件的帮助。

不要付钱来恢复你的文件。 即使给勒索软件付费，也不能保证能重新访问你的电脑或文件。

如果你已经付费，怎么办

如果你已经给勒索软件付费，请立即联系你的银行和当地机关。 如果你使用信用卡支付，你的银行可能能够阻止交易并退还资金。

你还可以联系以下政府欺诈和诈骗报告网站：

在澳大利亚，转到 SCAMwatch网站。

在加拿大，转到加拿大反欺诈中心。

在法国，转到Agence nationale de la sécurité des systèmes d'information 网站。

在德国，转到Bundesamt für Sicherheit in der Informationstechnik 网站。

在爱尔兰，转到An Garda Síochána网站。

在新西兰，转到消费者事务诈骗网站。

在英国，转到欺诈操作网站。

在美国，转到网络防范网站。

如果你所在的地区未在此处列出，Microsoft 建议你与你所在地区的联邦警察或传播机构联系。

有关勒索软件的举例概述以及如何帮助你自我保护，请参阅关于勒索软件的 5 个 W 和 1 个 H。　

如果你在公司任职，请参见 Microsoft 恶意软件防护中心获取有关 勒索软件的详细信息。 

另请参阅

恶意软件如何感染你的电脑

保护自己免受网络诈骗和攻击

备份 Windows 电脑

订阅 RSS 源

需要更多帮助?

需要更多选项?

发现

社区



了解订阅权益、浏览培训课程、了解如何保护设备等。

Microsoft 365 订阅权益

Microsoft 365 培训

Microsoft 安全性

辅助功能中心

社区可帮助你提出和回答问题、提供反馈，并听取经验丰富专家的意见。

咨询 Microsoft 社区

Microsoft 技术社区

Windows 预览体验成员

Microsoft 365 预览体验

此信息是否有帮助?

是

否

谢谢!还有关于 Microsoft 的反馈吗?

你能帮助我们改进吗? (向 Microsoft 发送反馈，以便我们提供帮助。)

你对语言质量的满意程度如何?

哪些因素影响了你的体验?

解决了我的问题

指示清晰

易于理解

无行话

图片有帮助

翻译质量

与屏幕上显示的不一致

错误说明

技术性太强

信息还少

图片太少

翻译质量

是否还有其他反馈? (可选)

提交反馈

按“提交”即表示你的反馈将用于改进 Microsoft 产品和服务。

你的 IT 管理员将能够收集此数据。

隐私声明。

谢谢您的反馈！

×

新增内容

Surface Pro 9

Surface Laptop 5

Surface Studio 2+

Surface Laptop Go 2

Surface Go 3

Microsoft 365

Windows 11 应用程序

Microsoft Store

帐户个人资料

下载中心

订单跟踪

教育

Microsoft 教育版

教育设备

Microsoft Teams 教育版

Microsoft 365 教育版

Office 教育版

教育工作者培训和开发

面向学生和家长的优惠

面向学生的 Azure

企业

Microsoft Cloud

Microsoft 安全

Azure

Dynamics 365

Microsoft 365

Microsoft Advertising

Microsoft 行业

Microsoft Teams

开发人员与 IT

开发人员中心

文档

Microsoft Learn

Microsoft 技术社区

Azure 市场

AppSource

Microsoft Power Platform

Visual Studio

公司

招贤纳士

关于 Microsoft

公司新闻

Microsoft 隐私

投资人

可持续发展

中文(中国)

加利福尼亚州消费者隐私法案(CCPA)选择退出图标

你的隐私选择

加利福尼亚州消费者隐私法案(CCPA)选择退出图标

你的隐私选择

与 Microsoft 联系

隐私

管理 Cookie

使用条款

商标

关于我们的广告

京ICP备09042378号-6

© Microsoft 2024

中了勒索病毒并且硬盘有重要资料怎么办？ - 知乎

中了勒索病毒并且硬盘有重要资料怎么办？ - 知乎首页知乎知学堂发现等你来答​切换模式登录/注册生活网络安全信息安全硬盘勒索病毒中了勒索病毒并且硬盘有重要资料怎么办？关注者98被浏览220,352关注问题​写回答​邀请回答​好问题​添加评论​分享​27 个回答默认排序康小泡​信息安全 程序员​ 关注更新建议最好不要随意去删除勒索病毒留下的文档或者数据，最近新出一款国产勒索病毒，需要用户生成的datafile目录下的一个叫appcfg.cfg里面的数据，如果一旦删除那么你就无法解密文件了。及时各大厂商出解密工具、也是于事无补、(后续，在这款通过微信 支付的勒索病毒，能在删除了appcfg.cfg或者重装系统后还能解密文件，前提是能找到一对文件--文件被加密前的，和被加密文件。数据大小在500kb-10M。如果有人还没有解密成功，可以私信了解一下)原答案---------------------------------------------------------------------------------1.如果文件特别重要的话，那就只有交赎金了。不建议直接联系黑客，可以去淘宝上搜一下，淘宝上有很多人协助你解密文件(最好先提前发邮件咨询一下黑客收费多少，不要被第三方收几倍的高价，适当的去谈价格)。2.个人觉得很多容易被一些人忽略的问题是查找中毒的原因。为什么会中招。如果不会排查，可以找做反病毒的帮助你去排查原因。360的反勒索服务，你提交过去就会有人帮你排查原因。只有找到原因了，才能知道怎么入防御，才能避免再次中招，就算你机器里面没有什么重要的文件，但是重装系统也是一件痛苦的事情不是吗？3.如果没有那么重要，但是又有意义的文件。建议备份下来。最好是将这个系统备份下来.说说原因吧。之前有遇到勒索病毒是将密钥写在了注册表里面\释放到appdata目录下等，如果你重装了或者没有备份系统。那么就算你将被加密的文件备份下来也是浪费了。还有是根据你计算机的一些硬件来算的密钥，如果你重装了那么也解不开你的文件了。所以建议最好是备份整个系统。4.可以在这个上面查一下，看一下是否又对应的解密工具出来了、The No More Ransom Project，这个网站上面的解密工具由多家公司在进行维护。如图。或者下载360安全卫士→功能大全→解密大师：如果目前能解密了，扫描一下就直接解密文件。查询自己中了什么类型的勒索病毒，可以访问http://lesuobingdu.360.cn进行查询。可以选择输入被加密文件后缀，或者黑客留下的邮件，再或者直接上传被加密文件。5.对于关注一些勒索病毒样本分析的关注者，可以访问这个页面去查看一些样本分析文章：勒索病毒家族 - 勒索病毒-360社区或者关注微信公众号：安全分析与研究(国内国外出的我看他们都会写文章分析，也不区分大众还是小众。不过有部分文章更偏事件性，总结性，而且技术性。)编辑于 2019-10-22 11:47​赞同 146​​40 条评论​分享​收藏​喜欢收起​谢幺​网络安全话题下的优秀答主​ 关注有网线就直接拔网线，没网线则断开WiFi，保持冷静，如果此时你周围还有同事或者朋友正在上网，悄咪咪看一下他们的电脑是否也出了问题。许多勒索病毒具有横向传播功能，就像是感冒病毒一样传染给局域网里的其他电脑，早断网一秒，亲人少流一行泪，如果整个办公室都因为你而中招，那么勒索你的就不再只有黑客，还有你的同事和老板。保留犯罪现场如果还想找回被加密的文件，尽量让现场保持原样。不要指望重装系统就能好，有些勒索病毒的解密需要根据你电脑的一些软硬件信息（比如注册表信息）来生成密钥，一旦这些信息被破坏，很可能永远都无法解密，交了钱也没辙。最好也不要重启电脑或关机。这是网络勒索，网管的那套“万能重启大法”在此并不好使，还可能弄巧成拙，因为电脑内存里很可能留有用来解密的线索，专业人士可以拿来破案，一旦关机断电就会被清空。在这方面警察蜀黍办案的流程就值得学习，在第一时间保留线索和作案现场，方便日后回溯线索和破案。保留好现场，下面我们就可以进入自救环节。到这一步，重要文件应该已经变成了加密状态，就像这个亚子。勒索病毒千千万，你得知道自己中了哪一卦。怎么办？2. 收集病毒特征仔细回想一下，在中毒的前一刻，自己是不是上了什么不该上的网站，打开了什么不该打开的文件？看了什么不该看的东西？是不是有 FBI warning 过你？如果你真的什么也没做，那也有可能是跟你同在一个局域网里的同事干的，当然，他有可能并不会承认，你不妨抽出皮带拷问他一下。总之，能直接找到病毒样本是最好。观察被加密的文件的后缀名，不同勒索病毒的后缀不一样，一般通过后缀名就能大致判断种类。比如 GlobeImposter 勒索病毒的常用后缀是：auchentoshan、动物名+4444，而 WannaCry 勒索病毒的后缀名是 wncry。怎么判断呢？上网搜呗，度娘谷歌都行，就像这样：也有些自信心爆棚的病毒会在勒索信自报家门，比如下面这个。总之，观察勒索信里信外，看有没有透露能判断勒索软件的标志。如果以上都没法确定病毒种类，记下勒索信的文件路径、具体内容、信里提及的所有网址、邮箱地址等等，这些都可以留作判断依据，具体怎么用后面会讲。3. 自助解密正所谓求人不如求己，即便你是个电脑小白，也有一定概率直接找到解密工具。全世界的安全公司都在努力对抗勒索病毒，其中很多公司都推出了的勒索病毒免费解密工具聚合网站。比如卡巴斯基的：https://noransom.kaspersky.com/奥地利知名杀软 Emsisoft 的：https://www.emsisoft.com/decrypter/知名安全研究团队 malwareteam 的：https://id-ransomware.malwarehunterteam.com/360的：https://lesuobingdu.360.cn/Avast 的：https://www.avast.com/zh-cn/ransomware-decryption-tools也有一些非商业公司成立的勒索解密网站，比如著名的 Nomoreransom 勒索软件解密工具集，这是由各国警方和几家著名的网络公司联合发布的“公益救助”网站：https://www.nomoreransom.org/zh/decryption-tools.html这些网站的基本流程都差不多：上传病毒样本、被加密的文件、勒索信全文或是信里的邮件地址等信息，它就能自动帮你分辨是哪一款勒索软件。如果是目前已经被攻破的勒索软件，恭喜你，网站会提供对应的解密工具和详细的使用说明。（很多外国网站和说明书都是纯英文的，这里推荐英文不太好的朋友用“彩云小译”，上面那几张截图就是用它翻译的，炒鸡好用，这是幺哥的良心推荐）如果通过这些方法依然没找到解密工具，甚至都没法分辨出勒索软件的种类，下一步就该拨打场外求助热线了。4. 场外求助你可以去一些技术研究或者安全论坛叫银。像“吾爱破解论坛”、“卡饭论坛”之类的，以及各大网络安全公司的官方论坛，比如“卡卡安全论坛”、“火绒论坛”、360社区等等（这里只是说几个例子，还有别的好去处可以在留言区推荐），找到相应版块，招呼网友和管理员。遇到危险大喊救命并不丢人，也不要觉得这是无谓的求助，正所谓“大隐隐于市，高手在民间”，技术大神经常隐藏在群众灌水的队伍里。网上有过不少通过论坛求助成功解密的案例。据幺哥了解，只要你会用小学生文明礼貌用语，很多论坛管理员还是会回应的。火绒论坛的管理员回复瑞星卡卡安全论坛的管理员回复通过场外求助最终解密的例子也不少。比如前阵子吾爱破解论坛的用户在四处求助无门后，顺手去瑞星的“卡卡安全论坛”发了个求助帖，没想到管理员很快就过来帮忙，最终成功解密，省下价值几台iPhone的赎金。（就是上图的那个案例）如果实在没办法，你也可以在网上找到一些安全研究员的私人公众号，或是安全公司的公众号求助。比如我上篇讲勒索的文章里提到的深信服千里目实验室朋友王正，就开了个公众号：安全分析与研究，遇到勒索病毒实在没办法可以去找这位老司机带路。（上面那些自助解密工具链接其实也是他帮忙整理的）万不得已，你还可以求助万能的淘宝。在淘宝上搜索“勒索病毒解密”，你会发现上面有一大票店家。这算是个求助途径，但幺哥并不是很推荐，毕竟是收费的。而且，淘宝上帮人解密的店铺，其实大部分用的也是网上公开的解密工具。从逻辑上来讲，正牌安全公司代表着这颗星球最强的反勒索实力，但凡某款勒索病毒被安全公司攻破，通常会昭告天下：“XXXX公司率先攻破XXXX”，就像这样：然后相应的解密工具就会同步到各大反勒索网站。淘宝店主不是太可能掌握某种特殊的解密技巧。不过，如果你觉得自己上网求助、找工具麻烦，或者担心自己手抖误操作，也不妨出点小钱让他们代劳，前提是价格厚道。同时幺哥也要提醒一句说，最好找信誉较高的店，否则先被勒索再被骗，可能会怀疑人生。5. 找勒索者唠嗑除了求助第三方，你其实也可以直接联系一下勒索者，勒索信里通常有联系方式。编一段声泪俱下的故事，砍砍价，或是告诉对方自己正在想办法准备赎金，但是没有购买虚拟币的经验，需要一些时间学习和开户，试试看能不能延期付款。网友clg808发邮件吐槽赎金太贵万一勒索者心情好，给你个折扣什么或者延期，甚至被你的真诚和人生哲学所打动，改邪归正，也不是没可能，虽然概率有点小。顺道说一个小操作：通常情况，勒索病毒作者为了证明自己有能力解密，会给一次测试解密的机会，比如允许你发给他三个文件，免费帮你解密。如果你被加密的文件里，有一些需要紧急使用的非机密文件（比如刚写完的稿子），不妨直接发给勒索者让他解密。6. 交钱还是死磕勒索者不会留给你太多时间，大部分勒索病毒都会带一个倒计时，比如超过24小时赎金翻倍，超过三天就撕票，永远无法解密。所以其实最重要的是，你必须做好自救失败的打算。如果被勒索的文件真的非常重要，请提前准备好一笔赎金，最后关头也许用得上。虽然交赎金意味着助长勒索之风，但也是无奈之举。前几天《纽约时报》有则新闻，讲美国有225位市长联名支持一项不给黑客支付赎金的决议，表面听起来非常振奋人心，可问题来了，等到黑客真的锁死医院、发电厂、政府，整个城市陷入瘫痪，这些市长真的能顶住不支付赎金？幺哥的个人观点是，支付赎金这件事没有绝对，如果被锁住的文件关系重大，还是得做好两手准，与其中了勒索病毒再死撑着不交赎金然后自己吃亏，倒不如吃一堑长一智，做好防备，争取以后不被勒索。如果你被勒索的文件既不重要也不紧急，倒也不妨下定决心死磕，兴许过一段时间安全公司就会找出解密方法。不过，这个期限可能是一个月，也可能是一年，甚至十年，就跟中彩票似的。研究员王正告诉我，就像 Globelmposter、CrySiS 两款勒索新的变种，已经有一年多了，至今还没有发布相关解密工具。总之，看命。其实最稳妥的方法还是第一时间联系专业的安全公司，不过，我问了几个朋友，他们说安全公司通常只对公司，对个人的话，难说。当然，如果你不缺钱，就不难说了。总结说了这么多，幺哥还是希望大家运气好点，别中勒索。之前看到一则新闻，讲国外有安全公司专门收钱摆平勒索，收费很高，每次都能解开，后来被发现居然是收了客户的钱之后，暗地里去给勒索团伙交赎金拿密钥，自己坐当中间商赚差价。说实话，这也不能全怪安全公司，毕竟反网络勒索最好的方法还是防患于未然，而不是亡羊补牢，掏钱找安全公司，除了摆平当下遇到的事，更大的意义在于防止未来再踩同样的坑。勒索病毒这事儿未来一定会越来越多，一个很重要的原因是肉身太难抓。这个逻辑和电信诈骗难打击一样，犯罪分子肉身藏在国外，存在跨境执法困难的问题。 有时候我就心想，这样下去会不会产生一个奇特的现象：A国的团伙勒索B国的人民，B国的团伙勒索A国的人民，两边罪犯都难抓，但两边的人民都遭罪。我把这种现象称之为“共轭勒索”。在这种情况下，作为普通吃瓜群众，除了自保，也没有什么办法。最后，希望大家平时不乱点文件，不乱看不该看的东西，上正规的网站，养成备份重要文件的习惯，或者干脆用同步云盘，实时同步重要文件。祝各位浅友网上冲浪愉快。---参考文章：熊猫正正.安全分析与研究.《企业中了勒索病毒该怎么办？可以解密吗？》360企业安全服务团队.安全客.《勒索病毒应急响应 自救手册（第二版）》发布于 2019-07-18 18:14​赞同 188​​14 条评论​分享​收藏​喜欢

遇到勒索病毒怎么办？ - 知乎

遇到勒索病毒怎么办？ - 知乎首页知乎知学堂发现等你来答​切换模式登录/注册网络安全信息安全勒索病毒遇到勒索病毒怎么办？遇到勒索病毒怎么办？显示全部 ​关注者48被浏览120,721关注问题​写回答​邀请回答​好问题​添加评论​分享​34 个回答默认排序微步在线​已认证账号​ 关注先说结论：及时止损（拔网线）确定影响范围（看看还能抢救吗）病毒提取和网络恢复（关门捉狗）数据恢复和解密（能补救一点是一点）溯源分析（看看勒索病毒从哪进来的）安全加固（吃一堑长一智）作为一家专业网络安全公司，我拿这个问题去问了问「应急响应团队」的一位大佬：要是有客户遇到这种情况，你们通常会怎么处理？他一脸鄙夷：咱的客户怎么会被勒索呢？中勒索的一般是啥（安全防护）设备也没有。。。完全没有安全建设的才容易中的。我说：那万一呢？他说：有安全建设的中勒索病毒的也有，但都不是从某个地方强攻进去的，一般都是弱口令、已公开的高危漏洞等等。我们通常是这么个处理流程：1.及时止损能拔网线的直接拔网线，物理隔离，防止出现「机传机」的现象。如果是云环境，没法拔网线，赶紧修改安全组策略，总之，将被感染的机器隔离，确保被感染的机器不能和内网其他机器通讯，防止内网感染。改密码！如果被勒索的机器和未被勒索的机器存在相同的登陆口令（相同的密码），及时修改未感染机器的登陆口令。黑客既然能黑进这一台机器，肯定也会盯着别的机器，不改密码，想啥呢。保护好案发现场不要重启！不要重启！不要重启！不要破坏被勒索的机器环境，保护好案发现场。禁止杀毒/关机/重启/修改后缀等操作，最好保持原封不动，在不了解的情况下，任何动作都可能导致系统完全崩溃，严重影响后续动作。关端口及时关闭未感染机器远程桌面/共享端口（如：22/135/139/445/3389/3306/1521）对未感染的重要机器进行隔离备份，备份后及时物理隔离开备份数据，如：硬盘或者 u 盘备份后需要及时拔掉。不要联系黑客在不了解勒索病毒的情况下，建议不要直接联系黑客（容易钱财两空）。2.确定影响范围止损之后，就先不太慌了，开窗透透气，上个厕所，舒缓一下心情，冷静冷静。回来之后，逐一排查感染规模及环境（是 OA 还是服务器/一共中了多少台），可通过网络区域划分，防火墙设备、流量检测设备辅助快速确认影响范围。3.病毒提取和网络恢复取证通过对被勒索机器进行取证提取病毒样本，或结合终端防病毒软件，对影响区域内或可疑区域进行逐台确认，是否有遗留的病毒样本，确保所有机器上的病毒样本均已查杀；恢复网络制定网络恢复计划，优先对非重要区域的终端进行网络恢复，恢复过程中需通过流量检测设备进行实时监测，确保恢复后不会出现横移情况；直至全部网络恢复。4.数据恢复&解密告诉受害者一个听起来有点残酷的事实：目前绝大多数勒索病毒均无法解密（在没有拿到解密密钥的情况下）通常有如下几种选择：1) 如有数据备份，则可以直接通过数据备份进行恢复；2) 放弃数据恢复；3) 联系勒索者缴纳赎金，但是不建议自己联系，最好是专业的服务商协助，他们比较知道怎么跟勒索者谈判（说不定还能给砍砍价什么的）。5.溯源分析溯源分析的目的，并不是是查到勒索者是谁，而是找到勒索入侵的源头（从哪台机器上进来的），即 0 号主机，然后进行相应的安全加固，以避免以后再次发生类似攻击。基于加密文件后缀、勒索信等特征，可以判断勒索病毒家族；对于内部攻击路径溯源，需依托于网络、安全设备日志以及感染/关联终端日志记录，包括流量检测设备、防火墙设备、防病毒软件、终端日志。 备注：因为很多勒索病毒存在反侦察手段，终端环境可能会被清理，如果没有流量监控等相关设备，溯源难度会非常大。6.安全加固修复内网中高危漏洞，确保如永恒之蓝等漏洞相关的安全补丁安装。在不影响业务的前提下关闭高危端口，如：445、3389等。对重要系统进行异地物理备份，确保备份完成后主备处于物理隔离状态。将内网按照业务需求划分合理区域，各个区域之间使用严格的ACL，避免攻击者大范围横向移动扩散。在内网中架设流量监测设备，及时感知、阻断横移行为。总结一下：勒索病毒属于「易防难治」，千万不要等中招之后才后悔莫及，不要等到失去了重要文件才懂得珍惜，人世间最大的痛苦莫过于此……防患于未然，当下就找一个靠谱的网络安全公司，把网络安全建设好。 以上。希望这个回答可以帮助到大家。发布于 2022-07-13 19:20​赞同 5​​1 条评论​分享​收藏​喜欢收起​华为云开发者联盟​已认证账号​ 关注2023年11月10日，某银行的美国全资子公司在官网发布声明称11月8日遭受了勒索软件攻击导致部分系统中断。并且11月9日LockBit勒索组织公开确认对此次攻击负责。LockBit是一种勒索软件家族，最初出现在2019年，目前已经升级至LockBit3.0，已发展成为一种具有高度定制化和复杂特性的勒索软件，并提供勒索软件即服务（RaaS）能力，是2023年最多产的勒索软件组织，其受害者名单不乏世界知名企业和机构，覆盖金融服务、食品和农业、教育、能源、政府、医疗保健、制造业和运输等，如果受害者不支付赎金，则文件可能会永久丢失或被公开泄露。目前某银行尚未公布调查结果，据安全专家 Kevin Beaumont 称攻击者疑似利用Citrix Netscaler Gateway/ADC产品的CVE-2023-4966漏洞发起攻击（Citrix NetScaler Gateway是一套安全的远程接入解决方案，提供应用级和数据级管控功能，以实现用户从任何地点远程访问应用和数据。Citrix NetScaler ADC是一个应用程序交付和安全平台。）未授权的远程攻击者可通过利用此漏洞，窃取如cookie等敏感信息，从而绕过身份验证。LockBit 勒索软件操作遵循勒索软件即服务 (RaaS) 模式，使用附属机构来分发勒索软件，这些附属机构使用不同的攻击方法来渗透并部署勒索软件。初始入侵阶段勒索入侵可能采用的攻击手法包括：远程桌面协议利用（RDP exploitation）、钓鱼活动（Phishing Campaigns）、有效帐户滥用（Abuse of Valid Accounts）、面向公众的应用程序的漏洞利用（Exploitation of Public-facing Applications），该勒索家族历史上利用的典型漏洞有：感染与执行阶段LockBit与常见的勒索软件一样，在感染阶段会执行持久化、提权、横向移动、探测内网敏感数据、禁用安全软件等操作。Lockbit 3.0在受害者环境中实际执行勒索软件时，可以提供各种参数来控制勒索软件的行为，可以接受额外的参数用于横向移动和加密端点上的特定目录的特定操作。并且通过使用加密可执行文件方式保护自身以躲避检测和分析。LockBit采用双重勒索策略会把受害者的部分文件窃取再加密这些文件。LockBit3.0持续针对windows、linux系统，采用AES+RSA算法加密文件（市面上无相应的解密工具），同时更改桌面壁纸用于提示用户已被勒索，并释放文件名为[Random string].README.txt的勒索信。数据外泄阶段LockBit勒索软件会使用其自研的数据外泄工具StealBit，或合法的云同步工具（如RClone、Mega等），以上传窃取的数据。勒索病毒防护方案按照勒索病毒攻击的3个阶段，进行有针对性的防护。攻击阶段包括：攻击入侵、横向扩散和勒索加密。常见勒索病毒攻击路径分析 ：华为云主机安全服务能够在攻击入侵前进行风险预防，在攻击入侵及横向移动时进行告警和攻击阻断，在勒索加密发生后进行数据恢复、安全加固。风险预防华为云主机安全HSS对勒索攻击提供全链路的安全防护，攻击入侵前，可使用HSS主机安全提供的风险预防功能，包含基线检查、漏洞管理、容器镜像安全扫描，对企业资产进行梳理，对服务器的各项服务进行基线检查，以及对服务器运行的各类应用进行漏洞扫描，及时修复漏洞，收敛攻击面，降低服务器被入侵风险。步骤1：进入“基线检查”页面，处理配置风险、弱口令风险等。步骤2：进入“漏洞管理”页面，扫描并修复漏洞。入侵检测与阻断黑客进行勒索首先需要获取边界服务器的权限，在攻击过程运用多种攻击手段进行入侵，所以需要在黑客入侵过程，对各类入侵攻击进行及时告警、阻断，华为云主机安全HSS支持对暴力破解、漏洞利用、Webshell、反弹shell、病毒、木马、Rootkit等的检测。LockBit勒索攻击的常见战术行为列表及华为云主机安全HSS对应检测能力项如下表，HSS提供对攻击路径全链路的检测：针对勒索病毒，华为云主机安全HSS提供了多维度的检测能力，包括AV病毒引擎检测、诱饵文件检测、HIPS主机入侵规则检测。AV病毒引擎根据勒索病毒特征进行检测，诱饵文件根据勒索病毒加密行为进行检测，HIPS引擎对勒索病毒常见异常行为进行检测。在发现勒索病毒和勒索加密行为后，对勒索病毒进程进行阻断，防止勒索病毒扩散蔓延。数据恢复若服务器被勒索病毒加密，事后需要及时通过备份恢复数据，分析被入侵的原因，然后进行安全加固，避免被再次被入侵勒索。华为云主机安全HSS支持一键恢复数据，开启勒索病毒防护策略后，可以对业务数据进行便捷地备份，服务器被勒索病毒入侵后，可以通过云服务器备份进行数据恢复，降低勒索病毒带来的损失。赶紧戳这里，体验华为云主机安全服务防勒索能力！本文分享自华为云社区《云小课｜HSS教您如何应对LockBit勒索事件》，作者：阅识风云。点击关注，第一时间了解华为云新鲜技术~发布于 2023-11-28 16:45​赞同 4​​添加评论​分享​收藏​喜欢

中了勒索病毒并且硬盘有重要资料怎么办？ - 知乎

中了勒索病毒并且硬盘有重要资料怎么办？ - 知乎首页知乎知学堂发现等你来答​切换模式登录/注册生活网络安全信息安全硬盘勒索病毒中了勒索病毒并且硬盘有重要资料怎么办？关注者98被浏览220,352关注问题​写回答​邀请回答​好问题​添加评论​分享​27 个回答默认排序康小泡​信息安全 程序员​ 关注更新建议最好不要随意去删除勒索病毒留下的文档或者数据，最近新出一款国产勒索病毒，需要用户生成的datafile目录下的一个叫appcfg.cfg里面的数据，如果一旦删除那么你就无法解密文件了。及时各大厂商出解密工具、也是于事无补、(后续，在这款通过微信 支付的勒索病毒，能在删除了appcfg.cfg或者重装系统后还能解密文件，前提是能找到一对文件--文件被加密前的，和被加密文件。数据大小在500kb-10M。如果有人还没有解密成功，可以私信了解一下)原答案---------------------------------------------------------------------------------1.如果文件特别重要的话，那就只有交赎金了。不建议直接联系黑客，可以去淘宝上搜一下，淘宝上有很多人协助你解密文件(最好先提前发邮件咨询一下黑客收费多少，不要被第三方收几倍的高价，适当的去谈价格)。2.个人觉得很多容易被一些人忽略的问题是查找中毒的原因。为什么会中招。如果不会排查，可以找做反病毒的帮助你去排查原因。360的反勒索服务，你提交过去就会有人帮你排查原因。只有找到原因了，才能知道怎么入防御，才能避免再次中招，就算你机器里面没有什么重要的文件，但是重装系统也是一件痛苦的事情不是吗？3.如果没有那么重要，但是又有意义的文件。建议备份下来。最好是将这个系统备份下来.说说原因吧。之前有遇到勒索病毒是将密钥写在了注册表里面\释放到appdata目录下等，如果你重装了或者没有备份系统。那么就算你将被加密的文件备份下来也是浪费了。还有是根据你计算机的一些硬件来算的密钥，如果你重装了那么也解不开你的文件了。所以建议最好是备份整个系统。4.可以在这个上面查一下，看一下是否又对应的解密工具出来了、The No More Ransom Project，这个网站上面的解密工具由多家公司在进行维护。如图。或者下载360安全卫士→功能大全→解密大师：如果目前能解密了，扫描一下就直接解密文件。查询自己中了什么类型的勒索病毒，可以访问http://lesuobingdu.360.cn进行查询。可以选择输入被加密文件后缀，或者黑客留下的邮件，再或者直接上传被加密文件。5.对于关注一些勒索病毒样本分析的关注者，可以访问这个页面去查看一些样本分析文章：勒索病毒家族 - 勒索病毒-360社区或者关注微信公众号：安全分析与研究(国内国外出的我看他们都会写文章分析，也不区分大众还是小众。不过有部分文章更偏事件性，总结性，而且技术性。)编辑于 2019-10-22 11:47​赞同 146​​40 条评论​分享​收藏​喜欢收起​谢幺​网络安全话题下的优秀答主​ 关注有网线就直接拔网线，没网线则断开WiFi，保持冷静，如果此时你周围还有同事或者朋友正在上网，悄咪咪看一下他们的电脑是否也出了问题。许多勒索病毒具有横向传播功能，就像是感冒病毒一样传染给局域网里的其他电脑，早断网一秒，亲人少流一行泪，如果整个办公室都因为你而中招，那么勒索你的就不再只有黑客，还有你的同事和老板。保留犯罪现场如果还想找回被加密的文件，尽量让现场保持原样。不要指望重装系统就能好，有些勒索病毒的解密需要根据你电脑的一些软硬件信息（比如注册表信息）来生成密钥，一旦这些信息被破坏，很可能永远都无法解密，交了钱也没辙。最好也不要重启电脑或关机。这是网络勒索，网管的那套“万能重启大法”在此并不好使，还可能弄巧成拙，因为电脑内存里很可能留有用来解密的线索，专业人士可以拿来破案，一旦关机断电就会被清空。在这方面警察蜀黍办案的流程就值得学习，在第一时间保留线索和作案现场，方便日后回溯线索和破案。保留好现场，下面我们就可以进入自救环节。到这一步，重要文件应该已经变成了加密状态，就像这个亚子。勒索病毒千千万，你得知道自己中了哪一卦。怎么办？2. 收集病毒特征仔细回想一下，在中毒的前一刻，自己是不是上了什么不该上的网站，打开了什么不该打开的文件？看了什么不该看的东西？是不是有 FBI warning 过你？如果你真的什么也没做，那也有可能是跟你同在一个局域网里的同事干的，当然，他有可能并不会承认，你不妨抽出皮带拷问他一下。总之，能直接找到病毒样本是最好。观察被加密的文件的后缀名，不同勒索病毒的后缀不一样，一般通过后缀名就能大致判断种类。比如 GlobeImposter 勒索病毒的常用后缀是：auchentoshan、动物名+4444，而 WannaCry 勒索病毒的后缀名是 wncry。怎么判断呢？上网搜呗，度娘谷歌都行，就像这样：也有些自信心爆棚的病毒会在勒索信自报家门，比如下面这个。总之，观察勒索信里信外，看有没有透露能判断勒索软件的标志。如果以上都没法确定病毒种类，记下勒索信的文件路径、具体内容、信里提及的所有网址、邮箱地址等等，这些都可以留作判断依据，具体怎么用后面会讲。3. 自助解密正所谓求人不如求己，即便你是个电脑小白，也有一定概率直接找到解密工具。全世界的安全公司都在努力对抗勒索病毒，其中很多公司都推出了的勒索病毒免费解密工具聚合网站。比如卡巴斯基的：https://noransom.kaspersky.com/奥地利知名杀软 Emsisoft 的：https://www.emsisoft.com/decrypter/知名安全研究团队 malwareteam 的：https://id-ransomware.malwarehunterteam.com/360的：https://lesuobingdu.360.cn/Avast 的：https://www.avast.com/zh-cn/ransomware-decryption-tools也有一些非商业公司成立的勒索解密网站，比如著名的 Nomoreransom 勒索软件解密工具集，这是由各国警方和几家著名的网络公司联合发布的“公益救助”网站：https://www.nomoreransom.org/zh/decryption-tools.html这些网站的基本流程都差不多：上传病毒样本、被加密的文件、勒索信全文或是信里的邮件地址等信息，它就能自动帮你分辨是哪一款勒索软件。如果是目前已经被攻破的勒索软件，恭喜你，网站会提供对应的解密工具和详细的使用说明。（很多外国网站和说明书都是纯英文的，这里推荐英文不太好的朋友用“彩云小译”，上面那几张截图就是用它翻译的，炒鸡好用，这是幺哥的良心推荐）如果通过这些方法依然没找到解密工具，甚至都没法分辨出勒索软件的种类，下一步就该拨打场外求助热线了。4. 场外求助你可以去一些技术研究或者安全论坛叫银。像“吾爱破解论坛”、“卡饭论坛”之类的，以及各大网络安全公司的官方论坛，比如“卡卡安全论坛”、“火绒论坛”、360社区等等（这里只是说几个例子，还有别的好去处可以在留言区推荐），找到相应版块，招呼网友和管理员。遇到危险大喊救命并不丢人，也不要觉得这是无谓的求助，正所谓“大隐隐于市，高手在民间”，技术大神经常隐藏在群众灌水的队伍里。网上有过不少通过论坛求助成功解密的案例。据幺哥了解，只要你会用小学生文明礼貌用语，很多论坛管理员还是会回应的。火绒论坛的管理员回复瑞星卡卡安全论坛的管理员回复通过场外求助最终解密的例子也不少。比如前阵子吾爱破解论坛的用户在四处求助无门后，顺手去瑞星的“卡卡安全论坛”发了个求助帖，没想到管理员很快就过来帮忙，最终成功解密，省下价值几台iPhone的赎金。（就是上图的那个案例）如果实在没办法，你也可以在网上找到一些安全研究员的私人公众号，或是安全公司的公众号求助。比如我上篇讲勒索的文章里提到的深信服千里目实验室朋友王正，就开了个公众号：安全分析与研究，遇到勒索病毒实在没办法可以去找这位老司机带路。（上面那些自助解密工具链接其实也是他帮忙整理的）万不得已，你还可以求助万能的淘宝。在淘宝上搜索“勒索病毒解密”，你会发现上面有一大票店家。这算是个求助途径，但幺哥并不是很推荐，毕竟是收费的。而且，淘宝上帮人解密的店铺，其实大部分用的也是网上公开的解密工具。从逻辑上来讲，正牌安全公司代表着这颗星球最强的反勒索实力，但凡某款勒索病毒被安全公司攻破，通常会昭告天下：“XXXX公司率先攻破XXXX”，就像这样：然后相应的解密工具就会同步到各大反勒索网站。淘宝店主不是太可能掌握某种特殊的解密技巧。不过，如果你觉得自己上网求助、找工具麻烦，或者担心自己手抖误操作，也不妨出点小钱让他们代劳，前提是价格厚道。同时幺哥也要提醒一句说，最好找信誉较高的店，否则先被勒索再被骗，可能会怀疑人生。5. 找勒索者唠嗑除了求助第三方，你其实也可以直接联系一下勒索者，勒索信里通常有联系方式。编一段声泪俱下的故事，砍砍价，或是告诉对方自己正在想办法准备赎金，但是没有购买虚拟币的经验，需要一些时间学习和开户，试试看能不能延期付款。网友clg808发邮件吐槽赎金太贵万一勒索者心情好，给你个折扣什么或者延期，甚至被你的真诚和人生哲学所打动，改邪归正，也不是没可能，虽然概率有点小。顺道说一个小操作：通常情况，勒索病毒作者为了证明自己有能力解密，会给一次测试解密的机会，比如允许你发给他三个文件，免费帮你解密。如果你被加密的文件里，有一些需要紧急使用的非机密文件（比如刚写完的稿子），不妨直接发给勒索者让他解密。6. 交钱还是死磕勒索者不会留给你太多时间，大部分勒索病毒都会带一个倒计时，比如超过24小时赎金翻倍，超过三天就撕票，永远无法解密。所以其实最重要的是，你必须做好自救失败的打算。如果被勒索的文件真的非常重要，请提前准备好一笔赎金，最后关头也许用得上。虽然交赎金意味着助长勒索之风，但也是无奈之举。前几天《纽约时报》有则新闻，讲美国有225位市长联名支持一项不给黑客支付赎金的决议，表面听起来非常振奋人心，可问题来了，等到黑客真的锁死医院、发电厂、政府，整个城市陷入瘫痪，这些市长真的能顶住不支付赎金？幺哥的个人观点是，支付赎金这件事没有绝对，如果被锁住的文件关系重大，还是得做好两手准，与其中了勒索病毒再死撑着不交赎金然后自己吃亏，倒不如吃一堑长一智，做好防备，争取以后不被勒索。如果你被勒索的文件既不重要也不紧急，倒也不妨下定决心死磕，兴许过一段时间安全公司就会找出解密方法。不过，这个期限可能是一个月，也可能是一年，甚至十年，就跟中彩票似的。研究员王正告诉我，就像 Globelmposter、CrySiS 两款勒索新的变种，已经有一年多了，至今还没有发布相关解密工具。总之，看命。其实最稳妥的方法还是第一时间联系专业的安全公司，不过，我问了几个朋友，他们说安全公司通常只对公司，对个人的话，难说。当然，如果你不缺钱，就不难说了。总结说了这么多，幺哥还是希望大家运气好点，别中勒索。之前看到一则新闻，讲国外有安全公司专门收钱摆平勒索，收费很高，每次都能解开，后来被发现居然是收了客户的钱之后，暗地里去给勒索团伙交赎金拿密钥，自己坐当中间商赚差价。说实话，这也不能全怪安全公司，毕竟反网络勒索最好的方法还是防患于未然，而不是亡羊补牢，掏钱找安全公司，除了摆平当下遇到的事，更大的意义在于防止未来再踩同样的坑。勒索病毒这事儿未来一定会越来越多，一个很重要的原因是肉身太难抓。这个逻辑和电信诈骗难打击一样，犯罪分子肉身藏在国外，存在跨境执法困难的问题。 有时候我就心想，这样下去会不会产生一个奇特的现象：A国的团伙勒索B国的人民，B国的团伙勒索A国的人民，两边罪犯都难抓，但两边的人民都遭罪。我把这种现象称之为“共轭勒索”。在这种情况下，作为普通吃瓜群众，除了自保，也没有什么办法。最后，希望大家平时不乱点文件，不乱看不该看的东西，上正规的网站，养成备份重要文件的习惯，或者干脆用同步云盘，实时同步重要文件。祝各位浅友网上冲浪愉快。---参考文章：熊猫正正.安全分析与研究.《企业中了勒索病毒该怎么办？可以解密吗？》360企业安全服务团队.安全客.《勒索病毒应急响应 自救手册（第二版）》发布于 2019-07-18 18:14​赞同 188​​14 条评论​分享​收藏​喜欢

中了勒索病毒并且硬盘有重要资料怎么办？ - 知乎

中了勒索病毒并且硬盘有重要资料怎么办？ - 知乎首页知乎知学堂发现等你来答​切换模式登录/注册生活网络安全信息安全硬盘勒索病毒中了勒索病毒并且硬盘有重要资料怎么办？关注者98被浏览220,352关注问题​写回答​邀请回答​好问题​添加评论​分享​27 个回答默认排序康小泡​信息安全 程序员​ 关注更新建议最好不要随意去删除勒索病毒留下的文档或者数据，最近新出一款国产勒索病毒，需要用户生成的datafile目录下的一个叫appcfg.cfg里面的数据，如果一旦删除那么你就无法解密文件了。及时各大厂商出解密工具、也是于事无补、(后续，在这款通过微信 支付的勒索病毒，能在删除了appcfg.cfg或者重装系统后还能解密文件，前提是能找到一对文件--文件被加密前的，和被加密文件。数据大小在500kb-10M。如果有人还没有解密成功，可以私信了解一下)原答案---------------------------------------------------------------------------------1.如果文件特别重要的话，那就只有交赎金了。不建议直接联系黑客，可以去淘宝上搜一下，淘宝上有很多人协助你解密文件(最好先提前发邮件咨询一下黑客收费多少，不要被第三方收几倍的高价，适当的去谈价格)。2.个人觉得很多容易被一些人忽略的问题是查找中毒的原因。为什么会中招。如果不会排查，可以找做反病毒的帮助你去排查原因。360的反勒索服务，你提交过去就会有人帮你排查原因。只有找到原因了，才能知道怎么入防御，才能避免再次中招，就算你机器里面没有什么重要的文件，但是重装系统也是一件痛苦的事情不是吗？3.如果没有那么重要，但是又有意义的文件。建议备份下来。最好是将这个系统备份下来.说说原因吧。之前有遇到勒索病毒是将密钥写在了注册表里面\释放到appdata目录下等，如果你重装了或者没有备份系统。那么就算你将被加密的文件备份下来也是浪费了。还有是根据你计算机的一些硬件来算的密钥，如果你重装了那么也解不开你的文件了。所以建议最好是备份整个系统。4.可以在这个上面查一下，看一下是否又对应的解密工具出来了、The No More Ransom Project，这个网站上面的解密工具由多家公司在进行维护。如图。或者下载360安全卫士→功能大全→解密大师：如果目前能解密了，扫描一下就直接解密文件。查询自己中了什么类型的勒索病毒，可以访问http://lesuobingdu.360.cn进行查询。可以选择输入被加密文件后缀，或者黑客留下的邮件，再或者直接上传被加密文件。5.对于关注一些勒索病毒样本分析的关注者，可以访问这个页面去查看一些样本分析文章：勒索病毒家族 - 勒索病毒-360社区或者关注微信公众号：安全分析与研究(国内国外出的我看他们都会写文章分析，也不区分大众还是小众。不过有部分文章更偏事件性，总结性，而且技术性。)编辑于 2019-10-22 11:47​赞同 146​​40 条评论​分享​收藏​喜欢收起​谢幺​网络安全话题下的优秀答主​ 关注有网线就直接拔网线，没网线则断开WiFi，保持冷静，如果此时你周围还有同事或者朋友正在上网，悄咪咪看一下他们的电脑是否也出了问题。许多勒索病毒具有横向传播功能，就像是感冒病毒一样传染给局域网里的其他电脑，早断网一秒，亲人少流一行泪，如果整个办公室都因为你而中招，那么勒索你的就不再只有黑客，还有你的同事和老板。保留犯罪现场如果还想找回被加密的文件，尽量让现场保持原样。不要指望重装系统就能好，有些勒索病毒的解密需要根据你电脑的一些软硬件信息（比如注册表信息）来生成密钥，一旦这些信息被破坏，很可能永远都无法解密，交了钱也没辙。最好也不要重启电脑或关机。这是网络勒索，网管的那套“万能重启大法”在此并不好使，还可能弄巧成拙，因为电脑内存里很可能留有用来解密的线索，专业人士可以拿来破案，一旦关机断电就会被清空。在这方面警察蜀黍办案的流程就值得学习，在第一时间保留线索和作案现场，方便日后回溯线索和破案。保留好现场，下面我们就可以进入自救环节。到这一步，重要文件应该已经变成了加密状态，就像这个亚子。勒索病毒千千万，你得知道自己中了哪一卦。怎么办？2. 收集病毒特征仔细回想一下，在中毒的前一刻，自己是不是上了什么不该上的网站，打开了什么不该打开的文件？看了什么不该看的东西？是不是有 FBI warning 过你？如果你真的什么也没做，那也有可能是跟你同在一个局域网里的同事干的，当然，他有可能并不会承认，你不妨抽出皮带拷问他一下。总之，能直接找到病毒样本是最好。观察被加密的文件的后缀名，不同勒索病毒的后缀不一样，一般通过后缀名就能大致判断种类。比如 GlobeImposter 勒索病毒的常用后缀是：auchentoshan、动物名+4444，而 WannaCry 勒索病毒的后缀名是 wncry。怎么判断呢？上网搜呗，度娘谷歌都行，就像这样：也有些自信心爆棚的病毒会在勒索信自报家门，比如下面这个。总之，观察勒索信里信外，看有没有透露能判断勒索软件的标志。如果以上都没法确定病毒种类，记下勒索信的文件路径、具体内容、信里提及的所有网址、邮箱地址等等，这些都可以留作判断依据，具体怎么用后面会讲。3. 自助解密正所谓求人不如求己，即便你是个电脑小白，也有一定概率直接找到解密工具。全世界的安全公司都在努力对抗勒索病毒，其中很多公司都推出了的勒索病毒免费解密工具聚合网站。比如卡巴斯基的：https://noransom.kaspersky.com/奥地利知名杀软 Emsisoft 的：https://www.emsisoft.com/decrypter/知名安全研究团队 malwareteam 的：https://id-ransomware.malwarehunterteam.com/360的：https://lesuobingdu.360.cn/Avast 的：https://www.avast.com/zh-cn/ransomware-decryption-tools也有一些非商业公司成立的勒索解密网站，比如著名的 Nomoreransom 勒索软件解密工具集，这是由各国警方和几家著名的网络公司联合发布的“公益救助”网站：https://www.nomoreransom.org/zh/decryption-tools.html这些网站的基本流程都差不多：上传病毒样本、被加密的文件、勒索信全文或是信里的邮件地址等信息，它就能自动帮你分辨是哪一款勒索软件。如果是目前已经被攻破的勒索软件，恭喜你，网站会提供对应的解密工具和详细的使用说明。（很多外国网站和说明书都是纯英文的，这里推荐英文不太好的朋友用“彩云小译”，上面那几张截图就是用它翻译的，炒鸡好用，这是幺哥的良心推荐）如果通过这些方法依然没找到解密工具，甚至都没法分辨出勒索软件的种类，下一步就该拨打场外求助热线了。4. 场外求助你可以去一些技术研究或者安全论坛叫银。像“吾爱破解论坛”、“卡饭论坛”之类的，以及各大网络安全公司的官方论坛，比如“卡卡安全论坛”、“火绒论坛”、360社区等等（这里只是说几个例子，还有别的好去处可以在留言区推荐），找到相应版块，招呼网友和管理员。遇到危险大喊救命并不丢人，也不要觉得这是无谓的求助，正所谓“大隐隐于市，高手在民间”，技术大神经常隐藏在群众灌水的队伍里。网上有过不少通过论坛求助成功解密的案例。据幺哥了解，只要你会用小学生文明礼貌用语，很多论坛管理员还是会回应的。火绒论坛的管理员回复瑞星卡卡安全论坛的管理员回复通过场外求助最终解密的例子也不少。比如前阵子吾爱破解论坛的用户在四处求助无门后，顺手去瑞星的“卡卡安全论坛”发了个求助帖，没想到管理员很快就过来帮忙，最终成功解密，省下价值几台iPhone的赎金。（就是上图的那个案例）如果实在没办法，你也可以在网上找到一些安全研究员的私人公众号，或是安全公司的公众号求助。比如我上篇讲勒索的文章里提到的深信服千里目实验室朋友王正，就开了个公众号：安全分析与研究，遇到勒索病毒实在没办法可以去找这位老司机带路。（上面那些自助解密工具链接其实也是他帮忙整理的）万不得已，你还可以求助万能的淘宝。在淘宝上搜索“勒索病毒解密”，你会发现上面有一大票店家。这算是个求助途径，但幺哥并不是很推荐，毕竟是收费的。而且，淘宝上帮人解密的店铺，其实大部分用的也是网上公开的解密工具。从逻辑上来讲，正牌安全公司代表着这颗星球最强的反勒索实力，但凡某款勒索病毒被安全公司攻破，通常会昭告天下：“XXXX公司率先攻破XXXX”，就像这样：然后相应的解密工具就会同步到各大反勒索网站。淘宝店主不是太可能掌握某种特殊的解密技巧。不过，如果你觉得自己上网求助、找工具麻烦，或者担心自己手抖误操作，也不妨出点小钱让他们代劳，前提是价格厚道。同时幺哥也要提醒一句说，最好找信誉较高的店，否则先被勒索再被骗，可能会怀疑人生。5. 找勒索者唠嗑除了求助第三方，你其实也可以直接联系一下勒索者，勒索信里通常有联系方式。编一段声泪俱下的故事，砍砍价，或是告诉对方自己正在想办法准备赎金，但是没有购买虚拟币的经验，需要一些时间学习和开户，试试看能不能延期付款。网友clg808发邮件吐槽赎金太贵万一勒索者心情好，给你个折扣什么或者延期，甚至被你的真诚和人生哲学所打动，改邪归正，也不是没可能，虽然概率有点小。顺道说一个小操作：通常情况，勒索病毒作者为了证明自己有能力解密，会给一次测试解密的机会，比如允许你发给他三个文件，免费帮你解密。如果你被加密的文件里，有一些需要紧急使用的非机密文件（比如刚写完的稿子），不妨直接发给勒索者让他解密。6. 交钱还是死磕勒索者不会留给你太多时间，大部分勒索病毒都会带一个倒计时，比如超过24小时赎金翻倍，超过三天就撕票，永远无法解密。所以其实最重要的是，你必须做好自救失败的打算。如果被勒索的文件真的非常重要，请提前准备好一笔赎金，最后关头也许用得上。虽然交赎金意味着助长勒索之风，但也是无奈之举。前几天《纽约时报》有则新闻，讲美国有225位市长联名支持一项不给黑客支付赎金的决议，表面听起来非常振奋人心，可问题来了，等到黑客真的锁死医院、发电厂、政府，整个城市陷入瘫痪，这些市长真的能顶住不支付赎金？幺哥的个人观点是，支付赎金这件事没有绝对，如果被锁住的文件关系重大，还是得做好两手准，与其中了勒索病毒再死撑着不交赎金然后自己吃亏，倒不如吃一堑长一智，做好防备，争取以后不被勒索。如果你被勒索的文件既不重要也不紧急，倒也不妨下定决心死磕，兴许过一段时间安全公司就会找出解密方法。不过，这个期限可能是一个月，也可能是一年，甚至十年，就跟中彩票似的。研究员王正告诉我，就像 Globelmposter、CrySiS 两款勒索新的变种，已经有一年多了，至今还没有发布相关解密工具。总之，看命。其实最稳妥的方法还是第一时间联系专业的安全公司，不过，我问了几个朋友，他们说安全公司通常只对公司，对个人的话，难说。当然，如果你不缺钱，就不难说了。总结说了这么多，幺哥还是希望大家运气好点，别中勒索。之前看到一则新闻，讲国外有安全公司专门收钱摆平勒索，收费很高，每次都能解开，后来被发现居然是收了客户的钱之后，暗地里去给勒索团伙交赎金拿密钥，自己坐当中间商赚差价。说实话，这也不能全怪安全公司，毕竟反网络勒索最好的方法还是防患于未然，而不是亡羊补牢，掏钱找安全公司，除了摆平当下遇到的事，更大的意义在于防止未来再踩同样的坑。勒索病毒这事儿未来一定会越来越多，一个很重要的原因是肉身太难抓。这个逻辑和电信诈骗难打击一样，犯罪分子肉身藏在国外，存在跨境执法困难的问题。 有时候我就心想，这样下去会不会产生一个奇特的现象：A国的团伙勒索B国的人民，B国的团伙勒索A国的人民，两边罪犯都难抓，但两边的人民都遭罪。我把这种现象称之为“共轭勒索”。在这种情况下，作为普通吃瓜群众，除了自保，也没有什么办法。最后，希望大家平时不乱点文件，不乱看不该看的东西，上正规的网站，养成备份重要文件的习惯，或者干脆用同步云盘，实时同步重要文件。祝各位浅友网上冲浪愉快。---参考文章：熊猫正正.安全分析与研究.《企业中了勒索病毒该怎么办？可以解密吗？》360企业安全服务团队.安全客.《勒索病毒应急响应 自救手册（第二版）》发布于 2019-07-18 18:14​赞同 188​​14 条评论​分享​收藏​喜欢

中了勒索病毒怎么办---（教程贴持续更新） - 知乎

中了勒索病毒怎么办---（教程贴持续更新） - 知乎首发于数据恢复切换模式写文章登录/注册中了勒索病毒怎么办---（教程贴持续更新）DATASOS 1.我为什么要发这篇文章原因一：面对越来越疯狂的勒索病毒，我不能无动于衷；自2016年开始勒索病毒出现到2017年wannacry肆意传播，再到2020年WannaRen通过各大下载资源站传播。勒索病毒越来越疯狂了，给大家看一组数字。原因二：网上没有专业人士写的详细的教程贴；各大搜索引擎任意搜索下，好帖是有，但95%以上都是广告贴和水贴，甚至一些误人子弟，未经深思熟虑写的帖子。病不在他们身上，真敢随便开药，治死不偿命啊！总得有人补上这个空缺，各路大神都很忙，只有我还有时间码字。原因三：不想重复造轮子，方便别人的同时也方便自己每天都会有不少朋友通过各种渠道找到我，咨询关于勒索病毒的事情，对每个朋友我都要重复一遍基本的东西，而且还要表现得不厌其烦。其实内心已经接近崩溃，这重复得工作什么时候是个头。而写完这个帖子就可以节省很多时间，想想就觉得刺激。 2. 中勒索病毒后的正确操作姿势中毒后正确的操作步骤整体概括如上图。我们接下来详细解说每一步2.1 数据不重要 若属于这种情况那么恭喜你侥幸躲过一劫，但别得意的太早，因为如果你对安全时间不加以重视，那么迟早有一天你的重要数据会被加密，这绝非危言耸听。 2019年我亲自处理过一个典型的案子。某集团企业邮件系统被黑客攻破，但仅仅造成一台PC机中毒，IT部门抱着侥幸心理和大事化小的态度格式化重装系统并集中修改了邮箱密码，并未做其他任何安全防护工作。5个月后，整个集团20多台服务器被全部攻破数据加密。 如下图步骤1：找准中毒原因，修复薄弱环节，避免二次中毒。我强烈建议企业找专业的安全团队进行溯源分析。如果不想花费这个费用并且你自己具备钻研精神，那就从以下几个思路入手。1.从各类网络设备的日志中查找异常（防火墙日志）；2.从服务器操作系统安全日志查找异常；（windows安全日志，下图中日志被黑客清空了）3.从客户端操作系统查找异常；（客户端异常登录日志）4：利用网络上免费的病毒溯源工具查找异常。时间允许的花我后续会专门写一篇详细溯源教程配合工具使用方法，（--勒索病毒溯源分析教程贴预留位置，如有安全大牛赞助此贴或者有现成的帖子请告知-）步骤2：格式化中毒的服务器并重装系统。强烈建议不要用GHOST版本系统安装。GHOST版本系统有非常多的系统漏洞和预装软件的后门。如果企业单位批量电脑，建议自己动手做一个干净的母盘进行安装。个人电脑也建议用纯净版一步步安装。注意！！！！！！！！！！ 注意！！！！！！！！！注意！！！！！！！！！！！！安全防护绝对不是买一套防火墙或者装几套杀毒软件就能解决问题的。任意一个新的勒索病毒的变种就可以躲开几乎所有的杀毒软件和防火墙。这也是为什么各大厂商的杀毒软件和防火墙都在持续不断的更新自己的病毒库的原因，因为只有安全人员捕获了病毒特征才有机会识别并杀掉病毒。这意味着肯定得有一部分人要先中毒牺牲掉自己，才能引起各大杀软和防火墙公司的注意。2.2 数据重要但不紧急（这里的不紧急是指可以等上1-3年）步骤1. 通过PE模式或者安全模式进入服务器，把重要的数据备份一遍（最好是全盘备份至一个空的移动硬盘）为什么一定要在安全模式或者PE模式下，因为部分勒索病毒加密数据后会在注册表中修改开机自启动，如果你不在安全模式下或者PE模式下，那么很有可能你插上移动硬盘后你的移动硬盘里面的数据也会被加密。为什么最好是全盘备份，因为有些黑客的解密程序要用到你本地机器上勒索信的公钥。如果这些文件你备份的时候没有备份完整，即使后续出来免费的解密程序你也无法解密。步骤2. 和 步骤3 同上面的数据不重要2.3 数据重要且紧急步骤1：先断网而不是先关机。 我们从大量勒索病毒案例中分析得出，勒索病毒的黑客攻击的时间集中在晚上或者非工作日。因为晚上和非工作日不容易被发现，有充足的时间进行加密。当发现ERP服务器中毒或者金蝶用友财务服务器中勒索病毒之后，应该把中毒服务器的网线断开，如果是虚拟机可以把网卡禁用，防止横向扩展传播。不要着急关机的原因有两个 原因1：中毒服务器不关机，就有可能从内存DUMP中找到加密的私钥（我们成功用此方法找到过过密钥）这种方法找到私钥的可能性不大，但至少是一种可能。原因2：如果服务器的数据量非常大，黑客加密程序正在加密过程中突然断电，那么会导致这个文件加密不完整，彻底损坏掉。即使黑客也无法解密此类文件。这个道理很容易理解，就好比你正在编辑一个EXCEL，如果没有保存直接断电，很可能这个EXCEL再打开就会乱码。财务工作人员应该都遇到过这个问题。因为我修复过很多这种原因损坏的EXCEL。步骤2：先备份中毒后的数据而不是先杀毒企业发现服务器中毒之后往往是先装各种杀毒软件杀毒，错！！！错！！！错！！！如果发现中毒后第一时间就进行杀毒，反倒会破坏服务器中毒后的最原始状态，为后面的数据恢复和解密造成很多不便。在杀毒之前应该先做备份，如果中毒机器是虚拟机，那么就做一个克隆。如果中毒机器是物理机就先用一个空的移动硬盘进入安全模式或者PE模式将中毒机器中重要的数据先备份下。步骤3： 确定勒索病毒家族并尝试免费解密工具确定中毒的是那种类型的勒索病毒才能找相应的解密工具，如何确定自己中的是那种勒索病毒有两个比较快捷的方法，可以通过以下网站上传文件样本进行查询。网站打开之后的网站如下图，按照我标记出来的上传东西就可以上面网站对于新的勒索病毒可能无法判断，您可以把文件打个压缩包发送给到我们的邮箱hddfixer@126.com 我们可以免费协助你做这个分析。最全免费勒索病毒解密工具可以在以下几个网站找到，1：no moreransom 是一个国际的反勒索联盟组织，里面收集了很多免费的解密工具。例如很出名的GandCrab 5.2的解密程序就在这里可以下到。2: Emsisoft 是一家新西兰的防止恶意软件的公司，他们也有自己研发的免费解密工具，但大多都是针对较早期病毒的。3：卡巴斯基勒索病毒解密工具下载地址如果尝试自己的文件是否能被免费解密程序完整解密，一定要把一小部分文件拷贝到一台无关紧要的电脑上做测试。确定可以解密之后再大批量解密，且不可在原始服务器上进行解密测试，几乎所有的解密程序都是需要对文件进行写入操作的，一旦操作错误可能会导致文件彻底损坏。步骤4：寻求专业第三方数据恢复公司技术支持修复数据不知道是哪位专家给普及的常识“只要是被黑客加密的数据无人能解，除了黑客自己”实际上如果想直接把非对称加密的数据暴力破解掉，以现在的计算能力，几乎是很难实现。关于非对称加密这里有详细的解说，你看完也就知道为什么专家们那么下结论了黑客用了这种方式加密，我们为什么非要逼着自己逆向解密出来才算解密？？？？难道只有这样才能拿一百分？？？？？才显得牛XXX？？？我们要的是数据，只要能把数据拿回来，只要是合法的方法都应该被采纳。我就是用下面这些方法来解密勒索病毒的。为什么勒索病毒可以被除黑客外的第三方解密？原因如下图这是一个泛微OA用的SQL数据库， 被5ss5c勒索病毒加密了。加密仅仅只是数据库中的一部分数据而已，并非整个数据库都会被加密，因为黑客在加密的过程中必须平衡加密的时间和加密的质量。如果全字节加密必然耗费很长时间，那么根本来不及加密大量数据就会被客户发现，如果想快速加密必然无法全字节加密。这就给了我们可以修复的方法。经过提表重建数据库后的数据如下图是不是通过曲线救国的方式也实现了解密数据的目的？！ 但 但 但是以上方法主要针对数据库。如果不是数据库文件，并且文件大约100M 那么也可以通过这种方式修复。但手工修起来很累也很贵。除了数据库几乎很少有文件具备这么大的价值。1：如果被勒索加密的是数据库类型文件。 例如泛微OA，通达软件，金蝶，用友，管家婆，医院HIS系统等一般需要恢复的数据都为数据库类型文件。例如：SQL 数据库 ，ORACLE数据库等等。都可以通过我上面说的修库的方式进行勒索病毒解密。修复的最基本原理是通过数据库提表并重建数据库。我通过这种方式修复过上千个数据库。最大的中毒数据库单文件640G。而且数据解密后ERP系统直接可用。2：如果勒索解密的是word excel等办公文档类型的文件并且数据文件小于100M ，那么通过上面手工修复的方式是行不通的，但不代表离开黑客就没有任何解密的可能。 黑客的加密程序也是程序，连微软这么大的软件都会有这么多漏洞，勒索病毒自然也会漏洞。我们完全可以利用黑客的漏洞把这些数据解密。当然这个不是都能行的通的。具体方法就不在这里详细说了，以免收到死亡威胁。步骤5：谨慎联系黑客。如果以上方法都成功修复数据，数据又确实很重要，那么不妨联系下黑客。黑客加密完数据之后都会在电脑上留勒索信，通常你发现服务器不能用之后，第一个出现在电脑屏幕上的就是勒索信。勒索信形式各式各样，但一般都以 TXT 或者 HTML或者是EXE文件格式存在。在每一个被加密的文件夹目录里面都会有一封勒索信。勒索信如下图可以根据黑客留的勒索信联系黑客，但请不要傻乎乎直接发邮件过去，并非所有的黑客都遵守信用，并非拿到解密程序就可以顺利解密。黑客只接受比特币付款，虚拟货币是不记名的，你根本不知道钱付给了谁。而且无法追回比特币。在我们以往接触的案例中，有客户付款后没有解密的，也有付款后被二次索要费用的，也有付款后成功解密的。在发邮件之前你最好做好充足的功课。有一些绝妙的操作方法我们无法公布在互联网中，因为不止你会看到我们的帖子，黑客也会看到。如果需要协助可以私信联系我们或者通过邮件联系我们。步骤6：找准中毒原因，修复薄弱环节，避免二次中毒。我强烈建议企业找专业的安全团队进行溯源分析。如果不想花费这个费用并且你自己具备钻研精神，那就从以下几个思路入手。1.从各类网络设备的日志中查找异常（防火墙日志）；2.从服务器操作系统安全日志查找异常；（windows安全日志，下图中日志被黑客清空了）3.从客户端操作系统查找异常；（客户端异常登录日志）4：利用网络上免费的病毒溯源工具查找异常。时间允许的花我后续会专门写一篇详细溯源教程配合工具使用方法，步骤7：格式化中毒的服务器并重装系统。强烈建议不要用GHOST版本系统安装。GHOST版本系统有非常多的系统漏洞和预装软件的后门。如果企业单位批量电脑，建议自己动手做一个干净的母盘进行安装。个人电脑也建议用纯净版一步步安装。注意！！！！！！！！！！ 注意！！！！！！！！！注意！！！！！！！！！！！！安全防护绝对不是买一套防火墙或者装几套杀毒软件就能解决问题的。任意一个新的勒索病毒的变种就可以躲开几乎所有的杀毒软件和防火墙。这也是为什么各大厂商的杀毒软件和防火墙都在持续不断的更新自己的病毒库的原因，因为只有安全人员捕获了病毒特征才有机会识别并杀掉病毒。这意味着肯定得有一部分人要先中毒牺牲掉自己，才能引起各大杀软和防火墙公司的注意。发布于 2020-04-09 21:12计算机病毒勒索病毒Wana Decrypt0r 2.0（计算机病毒）​赞同 220​​45 条评论​分享​喜欢​收藏​申请转载​文章被以下专栏收录数据恢复分享数据丢失恢复技巧数据恢复大师【嗨格式】专注数据恢复领域、打造行

中了勒索病毒 花钱能买回数据吗？ - 知乎

中了勒索病毒 花钱能买回数据吗？ - 知乎切换模式写文章登录/注册中了勒索病毒 花钱能买回数据吗？江民科技勒索软件（Ransomware）已经成为不法黑客们“快速致富”的新途径。最近有一哥们在群里悬赏5000大洋解密被勒索病毒加密的文件，结果呢？后面竟然出来不少同样求助的回复。瞬间，第一反应，勒索软件原来离我们这么近。第二反应，这真是个赚钱的活。大家在群里聊了半天，也没讨论出个所以然，一哥们弱弱的说了一句，要不然给黑客支付赎金试试? 下面立马有人反驳，交钱也没用，有人亲测交钱之后依然找不回数据，有朋友还被骗，损失更大。好嘛，这家伙！中了这个勒索病毒简直无解。其实早在2005年勒索软件就已经出现了，只不过最初是通过锁定电脑屏幕作为勒索手段的。不过到了2013年，才开始出现加密型的勒索软件，而这些勒索软件能够通过网页恶意广告、电子邮件附件等方式入侵电脑，此后便可以利用加密密钥来恶意加密电脑中的重要文件。今天作者君就给大家聊聊，中了勒索病毒，究竟能不能花钱买回数据？借用某网络安全公司一位技术专家的话,“勒索病毒究其本质只是一段没有多大技术含量的恶意代码，本身也不具备多强的攻击性，大多数时候都是利用蠕虫病毒进行传播，中招后释放加密程序，加密文件。简单的说，勒索软件是利用了系统已有的未发现或未打补丁的漏洞，通过蠕虫病毒来大面积感染传播，其加密的手段还是利用了已有的加密技术。例如，影响巨大的WannaCry,正是利用了前段时间美国国家安全局(NSA) 泄漏的Windows SMB远程漏洞利用工具“永恒之蓝”来进行传播的。之所以难以破除，是因为解密加密技术的难度，加密算法、密码强度升级了，用了特殊加密方式（RSA+Salsa20、SA4096位）。这就如同一把双刃剑，加密技术用在正途是安全保护，用歪了地方就成了勒索赎金。”“少则一万，多则三五万（人民币），这是行情。”勒索病毒往往会有一个界面，说明详细的比特币支付流程。“虚拟货币无法追查交易记录，可以兑换成法币，隐匿性成了勒索病毒和黑客们天然的屏障。”业内说法，只要中了勒索病毒，基本上就完了。解密过程、分析成本比较高。我所了解的企业客户中，约20%愿意支付勒索的钱，也确实支付了钱财，但并不是所有支付都换来密钥。病毒使本机加密后，信息发回到黑客服务器，建立账本，待受害用户汇款后密钥发回中毒电脑。但需要还需要考研黑客的人品信誉，实际上70-80%的病毒并没有做到这一步。用一句土匪的行话，只管杀不管埋。退一步说，大多数勒索病毒源于国外，国外服务器和国内网络本来就有连通问题，国家本身有防火墙，可能有信号阻碍、丢弃。不健康的数据包会直接被防火墙屏蔽掉，受害用户即便支付赎金，在绑票期内也没办法如实地收到密钥，钱财自然只能打水漂。小结一下，不否认少部分幸运儿通过支付赎金拿回了数据，但大多数人即便支付赎金也拿不回数据，因为中间的变数太多。那么，除了直接给黑客交钱以外，国内某些安全公司号称能解密勒索软件是怎么回事？通过亲测以及多方了解，网上流传的各种“解密方法”，基本上是没用的，请大家切勿听信谎言，以防遭受更多财产损失。某些解密软件反而会破坏数据结构，会导致数据完全无法找回。一些安全厂商提供的“解密工具”，其实只是“文件恢复工具”，可以恢复一些被删除的文件，但是作用有限。现在加密型勒索软件多使用高位元的密钥加密，因此，仅仅想利用个人电脑的运算能力自行破解是不太可能的。果真不幸中招的话，受害人只能等待警方抓捕到不法黑客后公布具体的解密密钥，当然也可以试试用此前警方公布的旧解密密钥，不过终究都是拼运气的情况了。所以就目前来说，最好的对抗手段还是提升自己的防护意识，尽量不要点开来历不明的电子邮件、网页链接或下载附件。对于部分网站中植入的恶意广告虽然比较难防，但可通过修补系统、软件和浏览器漏洞以及搭配杀毒软件等，来降低遭受勒索软件攻击的机会。编辑于 2019-04-09 14:42勒索病毒数据恢复比特币 (Bitcoin)​赞同 2​​添加评论​分享​喜欢​收藏​申请

那些中了勒索病毒的人后来怎么样了? - 知乎

那些中了勒索病毒的人后来怎么样了? - 知乎首页知乎知学堂发现等你来答​切换模式登录/注册勒索病毒那些中了勒索病毒的人后来怎么样了?想知道当时中了勒索病毒的人后来都怎么样了?有没有交赎金?交了赎金的电脑恢复了吗?没交赎金的呢?显示全部 ​关注者5被浏览5,699关注问题​写回答​邀请回答​好问题​添加评论​分享​3 个回答默认排序熊猫正正​​ 关注现在大部分主流的勒索病毒都还没有公开的解密工具，流行的勒索病毒当中，目前只有GandCrab这款已经宣布停止运营的勒索病毒有公开的解密工具，其它流行的勒索病毒家族，比方Globelmposter,CrySiS，Sodinokibi，Phobos等均没有公开的解密工具下载，如果中了流行的勒索病毒，又没有公开的解密工具，只能有三个途径：1.寻找一些数据恢复公司，看能不能通过数据恢复的方式还原部分数据 2.寻找一些解密中介公司，进行解密，其实这些解密中介也是找黑客解密的，只是赚点中间差价3.通过勒索提示信息，直接联系勒索病毒运营团伙交赎金解密最后回答你的问题1.有没有交赎金的？当然有，不然勒索不会这么火，交赎金从侧面导致越来越多的黑产开始从事勒索病毒攻击，因为有利可图 2.交了赎金的电脑恢复了吗?应该是有恢复的，因为我没有交过赎金，所以具体也不清楚，只有中了勒索病毒，交了赎金的人才知道3.没交赎金的呢?没有交赎金的，要么就是赎金>被勒索的资料的价值，所以选择不交赎金，要么就是在等后面会不会公布解密工具，就像GandCrab勒索病毒一样，过了一年解密工具被放出来了，未来其它几款勒索病毒的解密工具会不会放出来呢？不过估计也要等这些流行的勒索病毒团伙赚够了才会放吧。。。仅供参考，友情提示：如果中了勒索病毒，不建议交赎金更多关于企业中了勒索病毒该怎么办的方案，可以参考笔者之前写的一些文章，里面有一些勒索病毒解密工具啥的发布于 2020-01-02 20:05​赞同 1​​添加评论​分享​收藏​喜欢收起​云天数据恢复​ 关注情况简介接到合肥一家公司的求助，公司的几台服务器都在一夜之间中招，全部都出现了软件系统无法运行的问题，作进一步检查后，还发现了服务器内的数据文件也全部被加密，因为听朋友说过这种情况，负责人怀疑是感染了勒索病毒导致，于是通过朋友联系到我们寻求帮助。接到委托后，数据安全工程师第一时间对中毒电脑进行了远程检测，发现了明显的特征，确定是感染360勒索病毒，这台财务使用的电脑中数据比较重要，如果不能及时恢复的话，那么将会严重影响公司整体的运行，造成不可挽回的损失。再一次对被加密文件进行底层分析，确定能够恢复后，工程师对这台财务用电脑进行了整理，共有5个G数据需要恢复，预计用时8小时恢复完成。对工程师来说，又是一个不眠之夜，不过最终的结果是令人满意的，5个G的数据尽数恢复完成，附加到新装系统后可以完美运行。被勒索病毒攻击是第一次，不过对勒索病毒这为公司负责人并不陌生，有一次在与其朋友聊天时，从朋友那里得知，当时还当个故事听，不以为意，这下轮到他的公司中招，直呼大意了。其实针对360勒索病毒，也包括所有的勒索病毒，有一种方法是能够百分百防御的，那就是对自己服务器中的重要数据，进行离线备份，并及时更新，这样的话，即使服务器中的数据被加密了，只需要重装系统，并使用备份的数据即可，是最简单、有效，并且最便宜的方案。最后再次提醒各位老板们，近期360勒索病毒又出现大规模感染的情况，希望各位老板一定注意防护，做好主动的安全防护，切记要及时备份重要数据，有效的数据备份，是预防360勒索病毒的最佳方式。关注我，了解更多有关勒索病毒的信息，如果有任何数据恢复的问题，也可以评论、私信，我会在看到的第一时间回复、解答，今天的分享就到这里，祝您身体健康，开心愉快！发布于 2023-09-06 21:47​赞同​​添加评论​分享​收藏​喜欢收起​​

勒索软件恢复指南：挽救您的数据 | Veeam

勒索软件恢复指南：挽救您的数据 | Veeam

#1 全球领先厂商

下载

联系我们

关闭

联系我们

联系销售人员

技术支持

登陆

菜单

产品

Veeam Data Platform

通过安全的备份和快速、可靠的恢复解决方案为混合和多云环境提供极致弹性。

立即观看

免费试用

面向混合云和多云的

云端、虚拟和物理环境

备份和恢复

监控和分析

恢复编排

目标产品

Backup for Microsoft 365

Backup for Salesforce

Backup for Kubernetes

按业务类型划分的解决方案

大企业

小企业

服务提供商

如何购买

捆绑包和购买选项

许可

托管备份和灾难恢复服务

免费社区版

Veeam Backup & Replication CE

Veeam Microsoft 365 CE

Veeam Salesforce CE

所有免费工具

解决方案

用例

数据安全

数据恢复

数据自由

勒索软件备份和恢复

混合云

行业

金融服务和保险

医疗

教育

业务类型

大企业

小企业

服务提供商

托管服务

BaaS 和 DRaaS

灾难恢复即服务

BaaS for Microsoft 365

BaaS for Public Cloud

托管和异地备份

环境

云

AWS

Azure

Google

Kubernetes

虚拟

VMware

Hyper-V

Nutanix AHV

RHV

物理

Windows

Linux

MacOS

Unix

NAS

应用

Microsoft

Oracle

SAP Hana

PostgreSQL

SaaS

Microsoft 365

Salesforce

联盟技术

查看所有 Veeam 联盟合作伙伴

AWS

Cisco

Google

HPE

Lenovo

Microsoft

VMware

联盟合作伙伴集成和资格认证

支持

获取支持

支持

创建问题工单

跟踪问题工单

支持策略

续约中心

续约

服务

Veeam客户成功支持

培训与教育

Veeam University

课程和认证

支持资源

技术文档

知识库

社区

社区资源中心

社区专家

技术论坛

下载

所有产品下载

资源

资源库

白皮书

解决方案简介

分析报告

查看所有资源

博客

Veeam 博客

活动和网络研讨会

VeeamON

活动

即将举行的网络研讨会

点播网络研讨会

客户案例

查看所有案例

产品演示

即将推出的产品演示

按需获取产品演示

Cyber Resiliency

合作伙伴

成为Veeam合作伙伴的益处

成为合作伙伴

增值经销商

服务提供商

全球系统集成商

技术联盟

查找合作伙伴

查找合作伙伴

合作伙伴资源

ProPartner 门户

企业

公司

关于我们

领导团队

联系信息

加入我们

搜索工作

Veeam 精彩生活

资讯与媒体

新闻稿

奖项

新闻资料

Trust Center

Trust Center

关闭

菜单

产品

产品

Veeam Data Platform

通过安全的备份和快速、可靠的恢复解决方案为混合和多云环境提供数据弹性。

面向混合云和多云的

云端、虚拟和物理环境

备份和恢复

监控和分析

恢复编排

目标产品

Backup for Microsoft 365

Backup for Salesforce

Backup for Kubernetes

按业务类型划分的解决方案

大企业

小企业

服务提供商

如何购买

捆绑包和购买选项

许可

托管备份和灾难恢复服务

免费社区版

Veeam Backup & Replication CE

Veeam Microsoft 365 CE

Veeam Salesforce CE

所有免费工具

解决方案

解决方案

用例

数据安全

数据恢复

数据自由

勒索软件备份和恢复

混合云

行业

金融服务和保险

医疗

教育

业务类型

大企业

小企业

服务提供商

托管服务

BaaS 和 DRaaS

灾难恢复即服务

BaaS for Microsoft 365

BaaS for Public Cloud

托管和异地备份

环境

云

AWS

Azure

Google

Kubernetes

虚拟

VMware

Hyper-V

Nutanix AHV

RHV

物理

Windows

Linux

MacOS

Unix

NAS

应用

Microsoft

Oracle

SAP Hana

PostgreSQL

SaaS

Microsoft 365

Salesforce

联盟技术

查看所有 Veeam 联盟合作伙伴

AWS

Cisco

Google

HPE

Lenovo

Microsoft

VMware

联盟合作伙伴集成和资格认证

支持

支持

获取支持

支持

创建问题工单

跟踪问题工单

支持策略

续约中心

续约

服务

Veeam客户成功支持

培训与教育

Veeam University

课程和认证

支持资源

技术文档

知识库

社区

社区资源中心

社区专家

技术论坛

下载

所有产品下载

资源

资源

资源库

白皮书

解决方案简介

分析报告

查看所有资源

博客

Veeam 博客

活动和网络研讨会

VeeamON

活动

即将举行的网络研讨会

点播网络研讨会

客户案例

查看所有案例

产品演示

即将推出的产品演示

按需获取产品演示

Cyber Resiliency

合作伙伴

合作伙伴

成为Veeam合作伙伴的益处

成为合作伙伴

增值经销商

服务提供商

全球系统集成商

技术联盟

查找合作伙伴

查找合作伙伴

合作伙伴资源

ProPartner 门户

企业

企业

公司

关于我们

领导团队

联系信息

加入我们

搜索工作

Veeam 精彩生活

资讯与媒体

新闻稿

奖项

新闻资料

Trust Center

Trust Center

#1 全球领先厂商

下载

联系我们

关闭

联系我们

联系销售人员

技术支持

登陆

菜单

Free trial

Home

Veeam Blog

勒索软件恢复：全面的数据挽救指南

Business

|

2023年8月29日

所要時間 < 1 分

文章语言

文章语言

中文（简体）

English

Deutsch

Français

Italiano

Español

Português (Brasil)

日本語

勒索软件恢复：全面的数据挽救指南

Misha Rangel

文章内容

概要

什么是勒索软件恢复？

做好勒索软件攻击防范

实施强大的网络安全措施

创建一套全面的备份策略

如何检测勒索软件事件

勒索软件攻击的应对策略

勒索软件恢复策略

从备份还原数据

探究赎金支付

利用解密工具和技术

使用勒索软件恢复服务

勒索软件恢复最佳实践

遭到勒索软件攻击后该怎么做

结语

相关内容

概要

勒索软件攻击不断加剧，在 2022 年的一项调研中，85% 的受访公司表示自己受到了影响。即便是选择支付赎金的公司，许多也未能恢复数据，有几家还遭到了第二次攻击。勒索软件可能会使公司陷入瘫痪，所以您必须实施强大的网络安全措施、全面的备份策略及稳健的事件响应计划，做好万全准备。公司应该严格把关备份完整性，并演练事件响应措施。他们必须知道如何尽快和有效地从勒索软件事件中恢复过来。

详细了解勒索软件最佳实践以及公司安全防护措施。

什么是勒索软件恢复？

当今企业面临的最大威胁之一是勒索软件。根据《2023 年数据保护趋势报告》，遭到攻击的公司比重从 2021 年的 76% 增长到 2022 年的 85%。令人震惊的是，仅 55% 的加密数据得以恢复。受影响的公司平均丢失了 45% 的数据。

现在的勒索软件种类有很多。通常，网络犯罪分子会锁定用户的设备，并加密数据以勒索巨额赎金。恐吓性软件和泄露软件 (doxware) 是另类勒索软件，常以泄露隐私信息相威胁来迫使受害者支付赎金。

勒索软件恢复是公司为减轻勒索软件攻击的影响而采取的一系列深思熟虑的行动。为防止黑客成功加密公司数据，公司需部署一个支持系统重建的不可变数据备份和配置快照系统。能否成功从勒索软件攻击中恢复取决于公司备份和数据保护流程的有效性，以及勒索软件攻击期间受影响的内容。

做好勒索软件攻击防范

勒索软件攻击风险很高，因此对它的防范是业务连续性计划的重要组成部分。攻击得逞可能会导致严重的数据丢失，致使您的业务无法继续进行。

做好勒索软件攻击防范需要制定一个全面的恢复计划。计划应经过定期审核和全面测试，并应纳入勒索软件防御最佳实践，包括强大的网络安全措施和全面的备份策略。

实施强大的网络安全措施

首先应增强网络，以防止未经授权的访问，并保护您的系统免遭黑客攻击。主要步骤包括：

保护终端。保护所有终端设备，如笔记本电脑、虚拟机 (VM)、服务器、嵌入式设备和移动设备。实施多重身份验证 (MFA)，执行强密码策略并对数据进行加密。安装终端安全软件，并采用零信任安全原则。

网络安全。保护您的网络免受未经授权的访问。使用强大的防火墙来防止黑客攻击。使用虚拟专用网络 (VPN) 对网络进行分段，并将安全漏洞的影响范围降至最小。

电子邮件安全。实施高级威胁防护解决方案，以保护用户帐户。指导用户加强电子邮件安全防护并识别网络钓鱼攻击的蛛丝马迹。

修补软件。及时安装软件安全补丁，以最大限度地降低黑客利用漏洞的风险。

创建一套全面的备份策略

黑客认识到备份的重要性，并专门瞄准备份和备份服务器发起攻击。创建一套安全、全面的备份策略，并在制定您自己的备份计划时考虑以下要点。

3-2-1-1-0 原则：由最初的 3-2-1 备份计划演变而来。除了原始数据以外，它还需要三个备份。您应将备份保存在至少两种不同介质上，其中一个是异地存储副本，另一个为离线存储副本。该版本原则中的零表示您应检查备份以确认无误。

备份类型：备份策略可以包括完整备份、增量备份或差异备份。通常，每周执行完整备份，每天执行增量备份或差异备份。增量备份是单独的备份，存储自上次完整备份或增量备份以来的所有更改。差异备份略有不同，因为它备份自上次完整备份以来的所有更改。其大小随每次差异备份而增加。

异地备份和基于云的备份：至少应有一组异地备份，既可位于远程强化服务器，也可以在 Amazon S3 云对象存储等安全云设施中。

不可变备份：备份应具有不可变性。这意味着这些备份只能读取，通常在预定时间段内无法更改或删除。不可变备份增强了保护，可防范勒索软件。

如何检测勒索软件事件

尽早检测勒索软件感染至关重要，可防止勒索软件攻击全面爆发。一次勒索软件攻击分为多个阶段，包括初始入侵或感染、侦察和准备，最后是数据加密。若能检测到此类活动，便可隔离受影响的机器，并最大限度地减少攻击影响。以下三种技术可助您一臂之力：

识别勒索软件的蛛丝马迹。攻击的早期迹象通常包括异常高的 CPU 活动和硬盘上的高读写活动。

监控和分析网络异常情况。恶意活动的迹象包括网络流量异常、流量高峰、网络带宽减少和网络请求异常。

采用安全信息和事件管理 (SIEM) 解决方案：借助机器学习技术，SIEM 软件能够分析事件日志数据，以实时识别威胁和可疑活动。

勒索软件攻击的应对策略

应对勒索软件攻击应该迅速而果断，越快越好，最好能在攻击者加密您的数据之前采取行动。以下是您可以采取的五个应对步骤：

实施事件响应计划：立即启动勒索软件遏制、隔离及响应计划，并通知高级管理层和所有响应人员。

隔离和控制受感染的系统：确定哪些系统被感染，并将其与您的内部网络和互联网隔离。获取所有受感染设备的快照和系统映像。

通知相关机构和执法部门：根据您所在的司法管辖区，您必须向监管机构和 FBI或 CISA 等执法部门报告攻击事件。

联系网络安全专家外部支持团队：联系专业 IT 支持和网络安全公司（例如 Veeam），获取勒索软件应急响应支持。

评估勒索软件事件响应中的法律和道德考虑因素：确定并通知所有受影响的各方。确定数据保护和隐私法的法律后果及您的道德责任。

勒索软件恢复策略

您的恢复策略可能会受到以下多个因素的影响，包括：

恢复所需的时间

对业务的经济影响

要求支付赎金、否则公布机密数据的威胁

下面我们了解多个选项，包括使用备份、支付赎金及利用勒索软件解密工具和勒索软件服务提供商。

从备份还原数据

数据还原：从 Veeam 备份中还原数据是一个相对简单的流程。您可以选择是还原到原始服务器还是还原到虚拟机。第二个选项意味着，您可以在 IT 团队清理和重新安装服务器的同时从勒索软件攻击中快速恢复。Veeam 支持您从备份中创建复制副本，并配置在遭到勒索软件攻击时可进行故障切换的虚拟机。其他恢复选项包括快照和基于闪存的存储库。

确保数据完整性和验证：必须确保备份不受感染且仍然可用。例如，Veeam 的安全恢复功能可在还原完成之前自动对备份映像执行病毒扫描。

从不可变备份中恢复数据：您无法在不可变期更改不可变备份，这能够保护您免受勒索软件的侵害。不可变备份可显著增强抵御勒索软件攻击的免疫屏障。

探究赎金支付

受影响的公司往往很难抉择是否支付赎金，因为需要权衡支付赎金的风险和后果。尽管 FBI 不支持支付赎金，但 Veeam 的《2023 年勒索软件趋势报告》显示，80% 的受害者最终仍决定支付赎金。与勒索软件操纵者谈判的原因包括：

加密备份。您可能无法访问干净备份。该报告显示，勒索软件攻击影响了 75% 的备份存储库。

机会成本。公司停止运转会造成经济和信誉损失。总还原成本可能高于赎金。

机密数据。泄露破坏性数据和机密数据的威胁真实存在，您可能会觉得支付赎金并恢复这些数据更为安全。 

但有充分的证据表明，支付赎金并不代表着事件终结。我们发现，25% 支付赎金的公司仍无法恢复其数据。此外，80% 支付赎金的公司后来又遭到了第二次勒索软件攻击。

公司应研究避免支付赎金的方案。

利用解密工具和技术

有时，解密勒索软件文件并非可望而不可即，成功解密在很大程度上取决于勒索软件的类型和是否有合适的工具。Kaspersky、Avast和 Bitdefender 都提供了解密工具来帮助破解某些类型的勒索软件。然而，一些狡猾的网络犯罪分子会使用利用了 128 位和 256 位加密工具的强加密方法。这种级别的加密几乎不可能破解。不过，专家们发现了某些形式的勒索软件的漏洞，用户可以利用这些漏洞解密其文件。

使用勒索软件恢复服务

若要解密您的文件，最好与专业勒索软件恢复服务提供商展开紧密合作。其中有一些公司已经在这方面积累了不错的口碑，当然也有一些公司的能力还有待确认。因此，在使用这些服务之前，请先评估一下他们的专业能力。最好选择信誉良好的专业人士，他们会评估您的情况，并坦率地回答他们能否帮助您恢复数据。优秀的服务提供商一般在全球拥有多个研究实验室。话虽如此，这些服务都比较昂贵，而且仍然无法保证为您恢复数据。

勒索软件恢复最佳实践

尽管陷阱重重，但您仍可从勒索软件攻击中恢复过来。以下四种勒索软件恢复最佳实践能够决定成败。

测试和验证备份：有用的备份才是好备份。定期运行验证测试，以检查是否存在损坏、病毒或恶意软件。将备份挂载至虚拟机，并确保其正常运行。

准备一份勒索软件事件响应计划：制定一份详细的事件响应计划，定义具体责任。列出您的团队在事件实际发生之前必须采取的恢复步骤。

模拟和演练勒索软件恢复：通过模拟一场勒索软件事件来检查您的计划。使用离线虚拟机防止服务中断。演练恢复流程，直到所有人都知道该如何处理。

就勒索软件防御策略对员工进行培训：指导员工识别网络钓鱼攻击和网络犯罪分子所用的其他策略。

遭到勒索软件攻击后该怎么做

在遭到攻击后，一旦成功恢复，请进行详细的事后调查，以分析攻击的整个过程。 

评估勒索软件攻击的影响和程度：进行恢复后评估。了解攻击的严重程度，并根据停机时间和经济损失来评估其影响。确定黑客如何获得访问权限，以及黑客是否成功破坏了您的备份。

处理漏洞：确定并修复所有软硬件漏洞。再次对员工进行培训。

增强安全防护：增强系统并审查权限。设置额外的 VPN，以强化隔离系统。实施多重身份验证实践。

实施长期风险缓解策略：与 NIST 和 CISA 等网络安全组织合作。了解如何降低风险、增强安全防护并保护系统。

结语

勒索软件恢复是可行的。支付赎金并不明智，因为大多数支付赎金的公司仍然未能恢复其所有数据。成功恢复的关键是做好勒索软件攻击防范工作，其中包括实施强大的安全措施和制定适当的备份策略。您需要一套清晰的勒索软件响应策略和一支训练有素的团队，尽早检测勒索软件是关键。另一关键是制定具有多个不可变副本的强大备份策略。同样重要的是，必须认识到持续改进的必要性，以便您适应不断演变的威胁。

观看 2023 年勒索软件趋势系列短视频，了解有关勒索软件恢复的更多信息。这些视频具体展示了如何做好准备工作并从勒索软件攻击中快速恢复。

相关内容

2023 年勒索软件趋势报告

公司应如何应对勒索软件攻击？

从勒索软件攻击中恢复：2023 年趋势分析

Misha Rangel

Misha Rangel is Global Director of Enterprise Product Marketing at Veeam. Misha has 15+ years experience in Product Marketing and Content Marketing for growth stage companies.

More about author

上一篇博文 下一篇博文

文章内容

概要

什么是勒索软件恢复？

做好勒索软件攻击防范

实施强大的网络安全措施

创建一套全面的备份策略

如何检测勒索软件事件

勒索软件攻击的应对策略

勒索软件恢复策略

从备份还原数据

探究赎金支付

利用解密工具和技术

使用勒索软件恢复服务

勒索软件恢复最佳实践

遭到勒索软件攻击后该怎么做

结语

相关内容

文章语言

中文（简体）

English

Deutsch

Français

Italiano

Español

Português (Brasil)

日本語

Stay up to date on the latest tips and news

订阅即表示您同意 Veeam 根据隐私政策管理您的个人信息

You're all set!

Watch your inbox for our weekly blog updates.

OK

联系我们

1-800-691-1991

9am - 8pm ET

Veeam

关于

加入我们

新闻中心

联系信息

资源和支持

联系 Veeam 销售人员

续约

支持

博客

资源库

技术文档

热门链接

Veeam Data Platform

Veeam Data Cloud

Backup & Replication

Microsoft 365

Salesforce

Kubernetes

订阅即表示您同意接收有关 Veeam 产品和活动的信息，并同意 Veeam 根据隐私声明管理您的个人信息。 您可随时退订邮件通知。

更改语言

关闭

更改语言

本地化网站

English

Deutsch

Français

Italiano

Español (España)

Português (Brasil)

中文（简体）

日本語

资源页面

中文（繁體）

한국어

©2024 Veeam® Software | 隐私声明

| Cookie 声明

| EULA

遇到勒索病毒怎么办？ - 知乎

遇到勒索病毒怎么办？ - 知乎首页知乎知学堂发现等你来答​切换模式登录/注册网络安全信息安全勒索病毒遇到勒索病毒怎么办？遇到勒索病毒怎么办？显示全部 ​关注者48被浏览120,721关注问题​写回答​邀请回答​好问题​添加评论​分享​34 个回答默认排序微步在线​已认证账号​ 关注先说结论：及时止损（拔网线）确定影响范围（看看还能抢救吗）病毒提取和网络恢复（关门捉狗）数据恢复和解密（能补救一点是一点）溯源分析（看看勒索病毒从哪进来的）安全加固（吃一堑长一智）作为一家专业网络安全公司，我拿这个问题去问了问「应急响应团队」的一位大佬：要是有客户遇到这种情况，你们通常会怎么处理？他一脸鄙夷：咱的客户怎么会被勒索呢？中勒索的一般是啥（安全防护）设备也没有。。。完全没有安全建设的才容易中的。我说：那万一呢？他说：有安全建设的中勒索病毒的也有，但都不是从某个地方强攻进去的，一般都是弱口令、已公开的高危漏洞等等。我们通常是这么个处理流程：1.及时止损能拔网线的直接拔网线，物理隔离，防止出现「机传机」的现象。如果是云环境，没法拔网线，赶紧修改安全组策略，总之，将被感染的机器隔离，确保被感染的机器不能和内网其他机器通讯，防止内网感染。改密码！如果被勒索的机器和未被勒索的机器存在相同的登陆口令（相同的密码），及时修改未感染机器的登陆口令。黑客既然能黑进这一台机器，肯定也会盯着别的机器，不改密码，想啥呢。保护好案发现场不要重启！不要重启！不要重启！不要破坏被勒索的机器环境，保护好案发现场。禁止杀毒/关机/重启/修改后缀等操作，最好保持原封不动，在不了解的情况下，任何动作都可能导致系统完全崩溃，严重影响后续动作。关端口及时关闭未感染机器远程桌面/共享端口（如：22/135/139/445/3389/3306/1521）对未感染的重要机器进行隔离备份，备份后及时物理隔离开备份数据，如：硬盘或者 u 盘备份后需要及时拔掉。不要联系黑客在不了解勒索病毒的情况下，建议不要直接联系黑客（容易钱财两空）。2.确定影响范围止损之后，就先不太慌了，开窗透透气，上个厕所，舒缓一下心情，冷静冷静。回来之后，逐一排查感染规模及环境（是 OA 还是服务器/一共中了多少台），可通过网络区域划分，防火墙设备、流量检测设备辅助快速确认影响范围。3.病毒提取和网络恢复取证通过对被勒索机器进行取证提取病毒样本，或结合终端防病毒软件，对影响区域内或可疑区域进行逐台确认，是否有遗留的病毒样本，确保所有机器上的病毒样本均已查杀；恢复网络制定网络恢复计划，优先对非重要区域的终端进行网络恢复，恢复过程中需通过流量检测设备进行实时监测，确保恢复后不会出现横移情况；直至全部网络恢复。4.数据恢复&解密告诉受害者一个听起来有点残酷的事实：目前绝大多数勒索病毒均无法解密（在没有拿到解密密钥的情况下）通常有如下几种选择：1) 如有数据备份，则可以直接通过数据备份进行恢复；2) 放弃数据恢复；3) 联系勒索者缴纳赎金，但是不建议自己联系，最好是专业的服务商协助，他们比较知道怎么跟勒索者谈判（说不定还能给砍砍价什么的）。5.溯源分析溯源分析的目的，并不是是查到勒索者是谁，而是找到勒索入侵的源头（从哪台机器上进来的），即 0 号主机，然后进行相应的安全加固，以避免以后再次发生类似攻击。基于加密文件后缀、勒索信等特征，可以判断勒索病毒家族；对于内部攻击路径溯源，需依托于网络、安全设备日志以及感染/关联终端日志记录，包括流量检测设备、防火墙设备、防病毒软件、终端日志。 备注：因为很多勒索病毒存在反侦察手段，终端环境可能会被清理，如果没有流量监控等相关设备，溯源难度会非常大。6.安全加固修复内网中高危漏洞，确保如永恒之蓝等漏洞相关的安全补丁安装。在不影响业务的前提下关闭高危端口，如：445、3389等。对重要系统进行异地物理备份，确保备份完成后主备处于物理隔离状态。将内网按照业务需求划分合理区域，各个区域之间使用严格的ACL，避免攻击者大范围横向移动扩散。在内网中架设流量监测设备，及时感知、阻断横移行为。总结一下：勒索病毒属于「易防难治」，千万不要等中招之后才后悔莫及，不要等到失去了重要文件才懂得珍惜，人世间最大的痛苦莫过于此……防患于未然，当下就找一个靠谱的网络安全公司，把网络安全建设好。 以上。希望这个回答可以帮助到大家。发布于 2022-07-13 19:20​赞同 5​​1 条评论​分享​收藏​喜欢收起​华为云开发者联盟​已认证账号​ 关注2023年11月10日，某银行的美国全资子公司在官网发布声明称11月8日遭受了勒索软件攻击导致部分系统中断。并且11月9日LockBit勒索组织公开确认对此次攻击负责。LockBit是一种勒索软件家族，最初出现在2019年，目前已经升级至LockBit3.0，已发展成为一种具有高度定制化和复杂特性的勒索软件，并提供勒索软件即服务（RaaS）能力，是2023年最多产的勒索软件组织，其受害者名单不乏世界知名企业和机构，覆盖金融服务、食品和农业、教育、能源、政府、医疗保健、制造业和运输等，如果受害者不支付赎金，则文件可能会永久丢失或被公开泄露。目前某银行尚未公布调查结果，据安全专家 Kevin Beaumont 称攻击者疑似利用Citrix Netscaler Gateway/ADC产品的CVE-2023-4966漏洞发起攻击（Citrix NetScaler Gateway是一套安全的远程接入解决方案，提供应用级和数据级管控功能，以实现用户从任何地点远程访问应用和数据。Citrix NetScaler ADC是一个应用程序交付和安全平台。）未授权的远程攻击者可通过利用此漏洞，窃取如cookie等敏感信息，从而绕过身份验证。LockBit 勒索软件操作遵循勒索软件即服务 (RaaS) 模式，使用附属机构来分发勒索软件，这些附属机构使用不同的攻击方法来渗透并部署勒索软件。初始入侵阶段勒索入侵可能采用的攻击手法包括：远程桌面协议利用（RDP exploitation）、钓鱼活动（Phishing Campaigns）、有效帐户滥用（Abuse of Valid Accounts）、面向公众的应用程序的漏洞利用（Exploitation of Public-facing Applications），该勒索家族历史上利用的典型漏洞有：感染与执行阶段LockBit与常见的勒索软件一样，在感染阶段会执行持久化、提权、横向移动、探测内网敏感数据、禁用安全软件等操作。Lockbit 3.0在受害者环境中实际执行勒索软件时，可以提供各种参数来控制勒索软件的行为，可以接受额外的参数用于横向移动和加密端点上的特定目录的特定操作。并且通过使用加密可执行文件方式保护自身以躲避检测和分析。LockBit采用双重勒索策略会把受害者的部分文件窃取再加密这些文件。LockBit3.0持续针对windows、linux系统，采用AES+RSA算法加密文件（市面上无相应的解密工具），同时更改桌面壁纸用于提示用户已被勒索，并释放文件名为[Random string].README.txt的勒索信。数据外泄阶段LockBit勒索软件会使用其自研的数据外泄工具StealBit，或合法的云同步工具（如RClone、Mega等），以上传窃取的数据。勒索病毒防护方案按照勒索病毒攻击的3个阶段，进行有针对性的防护。攻击阶段包括：攻击入侵、横向扩散和勒索加密。常见勒索病毒攻击路径分析 ：华为云主机安全服务能够在攻击入侵前进行风险预防，在攻击入侵及横向移动时进行告警和攻击阻断，在勒索加密发生后进行数据恢复、安全加固。风险预防华为云主机安全HSS对勒索攻击提供全链路的安全防护，攻击入侵前，可使用HSS主机安全提供的风险预防功能，包含基线检查、漏洞管理、容器镜像安全扫描，对企业资产进行梳理，对服务器的各项服务进行基线检查，以及对服务器运行的各类应用进行漏洞扫描，及时修复漏洞，收敛攻击面，降低服务器被入侵风险。步骤1：进入“基线检查”页面，处理配置风险、弱口令风险等。步骤2：进入“漏洞管理”页面，扫描并修复漏洞。入侵检测与阻断黑客进行勒索首先需要获取边界服务器的权限，在攻击过程运用多种攻击手段进行入侵，所以需要在黑客入侵过程，对各类入侵攻击进行及时告警、阻断，华为云主机安全HSS支持对暴力破解、漏洞利用、Webshell、反弹shell、病毒、木马、Rootkit等的检测。LockBit勒索攻击的常见战术行为列表及华为云主机安全HSS对应检测能力项如下表，HSS提供对攻击路径全链路的检测：针对勒索病毒，华为云主机安全HSS提供了多维度的检测能力，包括AV病毒引擎检测、诱饵文件检测、HIPS主机入侵规则检测。AV病毒引擎根据勒索病毒特征进行检测，诱饵文件根据勒索病毒加密行为进行检测，HIPS引擎对勒索病毒常见异常行为进行检测。在发现勒索病毒和勒索加密行为后，对勒索病毒进程进行阻断，防止勒索病毒扩散蔓延。数据恢复若服务器被勒索病毒加密，事后需要及时通过备份恢复数据，分析被入侵的原因，然后进行安全加固，避免被再次被入侵勒索。华为云主机安全HSS支持一键恢复数据，开启勒索病毒防护策略后，可以对业务数据进行便捷地备份，服务器被勒索病毒入侵后，可以通过云服务器备份进行数据恢复，降低勒索病毒带来的损失。赶紧戳这里，体验华为云主机安全服务防勒索能力！本文分享自华为云社区《云小课｜HSS教您如何应对LockBit勒索事件》，作者：阅识风云。点击关注，第一时间了解华为云新鲜技术~发布于 2023-11-28 16:45​赞同 4​​添加评论​分享​收藏​喜欢

2021勒索病毒文件恢复指南 - 知乎

2021勒索病毒文件恢复指南 - 知乎首发于勒索病毒专题切换模式写文章登录/注册2021勒索病毒文件恢复指南Tousin如果你也中了万恶的勒索病毒，正处于彷徨无助中，就如5天前的我一样，那么希望我的这篇文章可以帮到你。我中的是名为 ech0raix 的病毒，该病毒专门攻击威联通的NAS设备，中毒后的特征为后缀名.encrypt。不过我虽然没有试过，但我想我分享的方法是通用普适的，所以即使你中了其它类型的勒索病毒，也大可以试试我分享的方法。本方法的原理就是，黑客虽然加密了我们的文件，并把之前未加密的文件删除了，但是他们并不会，也无法进行磁盘级别的数据擦除。这就好像数据只是被标记为删除了，只要没有新的数据写进来，原来的数据还在硬盘里，只是我们看不到。只要利用专门的数据恢复软件，是完全有可能找回来的，而且中毒时间越短，文件写入越不频繁，找回来的可能就越大。适用范围：中毒时间短 或者 磁盘写入 不频繁。太大的单个文件不适合。比如数据库文件。文件恢复步骤：第一时间切断网络。2. 到 360勒索病毒解密网站 上传病毒样本，看当前有没有解密方法。3. 大概率下，第二步是找不到解密方法的，但是你可能会获得诸如 病毒名称，特征，入侵方式等方面的信息。4. 如果你像我一样，无法得到专业安全人员的帮助，就可以关机了。5. 将被感染的硬盘卸下来，连接到一台安装有不同操作系统的电脑上，且这台电脑安装有最新的主流杀毒软件。由于我被感染的是一台 威联通NAS，操作系统是类linux的，所以我连接到了一台windows电脑上。6. 前往 https://www.cgsecurity.org/wiki/PhotoRec，安装一款名为 PhotoRec 的数据恢复软件。这个软件是绿色安装的，也就是说直接下载解压就可以了。7. 接下来，按照 PhotoRec使用说明 一步一步的操作，其中比较重要的步骤就是选择要恢复的 硬盘分区 和 恢复后文件保存位置。你会看到类似下面的界面，就说明已经在恢复了，软件会给出预计需要多久完成：8. 当出现Recovery completed时，就表明数据已经恢复完成了。当然，这种可能会存在部分数据找不回来的情况，但对于我们普通人来说，能找回来大部分数据应该足够了。对我来说，很幸运，因为NAS只有我和家人在用，所以写入很少，我的数据全部找回来了。如果你看了本文，在操作中遇到什么问题，欢迎联系我， 我将尽力协助。编辑于 2022-07-16 19:02勒索病毒计算机病毒​赞同 20​​29 条评论​分享​喜欢​收藏​申请转载​文章被以下专栏收录勒索病毒专题追踪全球流行勒索病

中了勒索病毒的电脑如何��数�-万兴��专家

中了勒索病毒的电脑如何��数�-万兴��专家

300624.SZ

股票代�

300624.SZ

产�

视频创�

万兴喵影

万兴播爆

万兴智演

万兴优转

万兴录演

绘图创�

万兴图示

万兴脑图

万兴爱画

墨刀

文档创�

万兴PDF

万兴PDF阅读器

�用工具

万兴��专家

万兴数�管家

万兴易修

万兴手机管家

查看所有产�

政��务

角色

�业用户

代�商

客户案例

应用场景

数字文档

绘图创�

设计��

视频创�

行业

制造业

金�&银行

教育

电力能�

交通�输

互�网&科技

AI开放平�

新闻中心

关�万兴

公�简介

创业�程

社会责任

投资者关系

�系我们

加入我们

帮助中心

登录

用户中心

退出

所有产�

数���

电脑数���专业版

电脑数���专业版

电脑数����费版

微信��

�天记录��（iOS）

�天记录��（�为）

文件修�

万兴易修

手机管家

苹�手机解�

苹�系统修�

苹�数�擦除

使用教程

电脑数���

• �本地�盘��

• �外�设备��

• �崩溃电脑��

微信数�管�

• 微信数���（iOS）

• 微信数���（�为）

• 微信数�备份（iOS）

• 微信数�导出（iOS）

破�文件修�

• 视频修�

• 图片修�

• 文档修�

• 音频修�

智能手机管�

• 苹�手机解�

• 苹�系统修�

• 苹�数�擦除

文章资讯

电脑数���

• 硬盘数���

• SD�数���

• U盘数���

• �收站清空��

微信数�管�

• �天记录��（iOS）

• �天记录��（�为）

• 微信好���（iOS）

• 微信附件��（iOS）

破�文件修�

• 视频破�修�

• 图片破�修�

• 图片文档修�

手机管家

• 苹�手机解�

• 苹�系统修�

• 苹�数�擦除

�务�支�

常�问题

• 下载安装

• 扫���

• 购买售�

�系我们

• 个人用户

• �业用户

• 媒体�作

立刻下载

立�购买

立刻下载

立�购买

所在ä½�置：首页 >  电脑æ�¢å¤�æ•°æ�® > ä¸­äº†å‹’索病毒的电脑如何æ�¢å¤�æ•°æ�®

中了勒索病毒的电脑如何��数�

�布时间： May 10, 2022

�布人: Sandra

在当今快节�的世界中，我们对技术的�赖性超�想象。尽管我们的安全�议一直在�强，但�存在许多病毒和��软件攻击无法��，这些攻击�断影�我们的数�安全性。除了会导致数�加密之外，也会致使电脑�盘存储的一些��数�丢失。所以除了了解如何方法病毒入侵电脑之外，还需�知�中勒索病毒的电脑数文件�如何��？

中了勒索病毒数�能���？这是目�很多用户想知�的问题。勒索病毒文件��，combo勒索病毒，勒索病毒数���，这些�题在2017年5月�为了全�科技媒体的头�。2017年5月，WannaCrypt（永�之�）勒索蠕虫勒索病毒影�了全�数��计算机。该勒索病毒�2017年5月12日爆�，并在几天之内就导致了全�混乱。就���上万的其他�类�作系统一样，你的�作系统也会�到勒索病毒的影�。因此，为了��勒索病毒的影�，�护用户的��信���网络攻击，最好事先备份文件。如�中了勒索病毒能���？为了更好地帮助用户应对勒索病毒，我们撰写了这份勒索病毒文件��手册。

第1部分：什么是勒索病毒

第2部分：如何删除勒索病毒

第3部分：如何进行勒索病毒文件��

第4部分：有关计算机和移动电�安全的建议

第5部分：有关WannaCry勒索病毒的更多信�

第1部分：什么是勒索病毒

计算机病毒是我们网络安全最�怕的��之一。最近出�的�为WannaCrypt网络攻击的��软件已�影�了全�约150个国家的20多万个系统。这是近�最大规模和广泛传播的网络攻击之一。继而，“中了勒索病毒数�能����这样的问题也是甚嚣尘上。让我们一起�了解一下勒索病毒的详情。

它�2017年5月12日首次通过电�邮件附件��。该病毒�通过电�邮件附件访问用户的计算机，并�立�通过用户的LAN传播。它还利用了系统硬盘上的SMB��。�仅如此，它甚至�以通过互�网传播到任何计算机（当��到�一网络时）。

�jpeg到raw和jar到txt，它几�影�到�个文件扩展�，几秒钟就会破�整个系统。因此，如�用户的系统还没有�到影�，请马上使用安全�施进行�护。当然如�你还在为中了勒索病毒能���而困扰，以下方法会帮助你删除勒索病毒，��用户需�的数�。

第2部分：如何删除Wannacry勒索病毒

如��到“中了勒索病毒数�能����一类问题，�用担心。因为用户的系统安全性�以通过摆脱WannaCrypt勒索病毒，然�删除勒索病毒并进行文件��。如��进行移除，病毒会��感染整个存储空间，并影�几�所有类�的文件。因此，用户需�采��端�施，并尽�能快地�系统中删除勒索病毒。请按照以下说��作，确�已�系统中手动将其删除。

步骤1.使用文件夹选项使�个文件和文件夹��

由�勒索病毒最����，因此用户需�确�系统中没有��任何文件。为此，用户必须访问系统上的“文件夹选项�，并使所有��文件��。

访问�制��>外观和个性化>文件夹选项，在“视图�选项�中，用户需�选中“显示��文件，文件夹和驱动器�选项。�在，�需应用这些设置��显示��软件。

步骤2. 以安全模��新�动PC

当用户完�第一步�，用户需�以安全模��动Windows系统。�执行此�作，�需�新�动系统，请以1秒钟间隔按F8键几次。

该�作为用户�供高级�动选项，而�是以常规的方��新�动系统。使用箭头键选择“安全模��，然�按Enter键以安全模�打开系统。

步骤3. 输入任务管�器并终止所有�疑进程

在安全模�下进入系统�，�动任务管�器。用户也�以通过�时按Ctrl + Shift + ESC键��作。

进入任务管�器窗��，手动检查系统上正在�行的任何�疑进程。检查�，�需�键�击它并选择“结�进程���终止它。

��任何�疑进程，请��迟疑地终止以摆脱��软件。

注�：用户�以在此处检查��勒索软件进程：

https://id-ransomware.malwarehunterteam.com/。

步骤4. 防止勒索软件�动

�在，为了防止勒索软件�动，注�检查以确�用户的系统完全干净。��到这一点，用户�以使用“msconfig�删除它：�时按Windows + R键或手动打开“�行�窗�，然�输入“msconfig�，点击确认键。

进入系统�置窗�。在此窗�你�以删除��软件：转到“�动�选项�，�消选中用户认为�自未知制造商的所有�目。

应用最新选项�，用户�以以正常方��新�动系统。该�作�以将污染勒索软件的进程完全删除。�在，用户�以继续�试检索数�。

这将打开�一个系统�置窗�。�确�顺利�动�作，必须确�已删除��软件。转到“�动�选项�，�消选中用户认为�自未知制造商的所有�目。

应用这些更改�，用户�以以正常方��新�动系统。这将确�勒索软件已完全�用户的系统中删除。�在，用户�以继续�试检索数�。

第3部分：如何进行勒索病毒文件��

删除所有�疑进程�，用户就�以解密和��数�了。用户�能已��试使用很多领先的工具，但是�功解密的次数寥寥无几。那么，�对这样的困难，中了勒索病毒数�能���？

由�WannaCry勒索软件使用RSA + AES加密方法�加密用户的数�文件，因此�使在付费工具的帮助下也很难对其进行解密。

�过，用户也没必�失望。因为WannaCry并�直�加密文件。相�，它首先制作文件的副本并加密该副本，然��系统中删除�始文件。如此一�，中了勒索病毒能��文件�？答案是肯定的。因为虽然用户无法解密副本，但�以通过安全数���软件���已删除的文件。

万兴��专家是一�无�险且��高效的工具，几��以在所有版本的Windows系统上�行，为“中了勒索病毒能��数��？�这一类数���问题�供解决方案。如�用户的系统最近�到WannaCry 勒索病毒的影�，那么用户�以使用此数���专家��已删除的文件。用户越早使用这一软件，用户��数�的效�就越高。�在用户�以按照简�说��行该工具进行。

�费下载

�费下载

�费下载

立�购买

步骤1.�动数���工具

首先下载万兴��专家并将其安装到用户的�作系统，在用户的系统上�动它并选择Wannacry加密文件的�置，比如C盘，然�点击开始按钮

步骤2.开始扫�病毒影�的�盘

万兴��专家将会开始扫�整个C盘(具体的还是以�影�的�盘为准)，由�是扫�整个�盘扇区，所需�的时间会长一些，请�心等待。或者���行，待结��会弹窗�示

步骤3.�Wannacry加密�盘中��文件

完�扫��万兴��专家界�会显示所有的数�类�，�以以�路径视图】和�文件视图】�进行筛选和�览，待找到目标文件之�点击�下方的“���按钮����到本地

根�以上步骤，用户就�以��数�了。而且由�用户已��死了病毒软件，因此用户的数��会�次�到影�。但是，用户的系统在将�也�能会�到��软件或勒索病毒的攻击。下次你�能还会为了中了勒索病毒能��数��而头疼。为确�系统使用和数�安全，请在下一节中学习如何采�预防�施。

第4部分:有关计算机和移动电�安全的建议

��技术的进步，计算机�移动手机的使用更加普�和难以替代。一些守旧的安全�施和�行方�也�得�常��。手机和计算机用户都�能为中了勒索病毒�数�能���备�困扰，因为手机和计算都会�到勒索病毒的��。手机中了勒索病毒能���？ 还有计算机中了勒索病毒文件能���？诸如此类的问题也会层出�穷。毫无疑问，如�用户希望�护用户的计算机和手机，用户必须�具备娴熟的技术。如�用户�希望数��到勒索病毒等病毒攻击的影�，那么�护用户的设备更加迫在眉�。请�循这些专家建议，以确�用户的数�安全。

1.始终备份用户的数�

WannaCry勒索病毒�是�怕的计算机��软件的其中一个例�。如何��中了勒索病毒能��文件�？此时，�留数�备份是�分必�的。用户�以在设备上打开自动备份选项，也�以�时手动备份数�。

�外，用户�以使用Wondershare TunesGo等备份软件对数�进行全�备份。有了此备份软件，用户�以立�备份用户的计算机或手机。这是一个全�的管�工具，�以�护用户的数�。�时它还具有许多其他功能，让用户的工作生活更加轻�。

2.��最新状�

我们都知�最近的WannaCry勒索软件能够影�所有未修补的Windows系统。为了�护用户的计算机系统，请确�用户使用的是最新系统软件，�留下任何�被攻击利用的��。

3.��防病毒软件

在系统上安装��且安全的防病毒软件。�仅仅是用户的计算机，手机上也应该安装防病毒软件。此外，请�断更新防病毒软件以确�系统安全。

4.��数���软件

如�用户的系统�然�到��软件的影�，用户应该安装数���软件。这在很多场�都是最有用的。�系统中删除��软件�，用户�需�行数���应用程���进行勒索病毒文件��。

第5部分:关�WannaCry Ransomware的更多信�：它的起�和工作��

截至目�，还没有关�WannaCry起�的官方信�。虽然，它被命�为WannaCry 2.0，这让�个人都相信它是��软件的第二个版本。它的�身被命�为Ransomware WeCry（并�求0.1比特�作为�金）。���，攻击者使用了最�由NSA创建的Eternal Blue（Microsoft Windows��利用程�）。这些工具被Shadow Brokers组织泄露。

目�，许多组织都�到这�全�网络攻击的影�，包括英国的大�医院，西�牙电信公�，甚至�邦快递的物�部门。清楚地显示了WannaCry 勒索病毒造�的破�有多大。

如上所述，它利用了Windows系统中SMB（�务器消��）的��。这是由NSA窃�的Eternal Blue��利用程�完�的。�传闻，Eternal Blue最�是由NSA设计的黑客武器，�以在Microsoft Windows系统上��访问��。

总的�说，虽然用户�能对�这一勒索软件还了解得�够全�，但是有了本文�供的有效方法，�手机中了勒索病毒能���，计算机中了勒索病毒文件能���等等问题都��是困扰。你�以�时�地��中了勒索病毒的数�。

分享到：

热门文章

热门标签

�收站

误删数�

mac

SD�

U盘

硬盘

移动硬盘

分区

微信

图片

照相机

Go Pro

iPhone

iPad

Word

Excel

��产�

万兴喵影

万兴播爆

万兴智演

万兴录演

万兴图示

万兴脑图

万兴PDF

万兴��专家

所有产�

关�万兴

公�简介

新闻中心

人�招�

创业�程

投资者关系

社会责任

�务支�

政��务

�作伙伴

�系我们

集团�员

简体中文

English

Deutsch

Français

Italiano

Español

Português

日本�

한국어

简体中文

关注我们

万兴科技

万兴人

简体中文

English

Deutsch

Français

Italiano

Español

Português

日本�

한국어

�體中文

简体中文

© 万兴科技（湖�）有�公� 版�所有

湘ICP备2020020133�

|

法律声�

|

��政策

|

许��议

勒索病毒防范措施与应急响应指南 - FreeBuf网络安全行业门户

勒索病毒防范措施与应急响应指南 - FreeBuf网络安全行业门户

主站 分类

漏洞

工具

极客

Web安全

系统安全

网络安全

无线安全

设备/客户端安全

数据安全

安全管理

企业安全

工控安全

特色

头条

人物志

活动

视频

观点

招聘

报告

资讯

区块链安全

标准与合规

容器安全

公开课

报告 专辑 ···公开课···商城···

用户服务

··· 行业服务

政 府

CNCERT

CNNVD

会员体系（甲方）

会员体系（厂商）

产品名录

企业空间

知识大陆 搜索 创作中心 登录注册 官方公众号企业安全新浪微博 FreeBuf.COM网络安全行业门户，每日发布专业的安全资讯、技术剖析。 FreeBuf+小程序把安全装进口袋 勒索病毒防范措施与应急响应指南

关注

终端安全企业安全 勒索病毒防范措施与应急响应指南

2019-08-30 08:00:09

所属地 广东省 此前我写过一篇文章《企业中了勒索病毒该怎么办?可以解密吗?》，里面介绍了很多解密的网站，并教了大家如何快速识别企业中了哪个勒索病毒家族，以及此勒索病毒是否有解密工具，也包含一些简单的勒索病毒应急处理方法，这篇我将重点讲解一下，作为一名安全应急响应人员，该如何去处理勒索病毒，可以给客户提供哪些勒索病毒防范措施和应急响应指导等。 关于勒索病毒，很多朋友在后台留言常常会问我这两个问题： 1.企业还没有中勒索，但领导很害怕，该如何防范呢?有哪些建议和指导 2.企业已经中了勒索，该如何快速进行应急响应?有哪些建议和指导 企业应该如何做好安全防护，主要从以下几个方面入手： 1.部署可靠高质量的防火墙、安装防病毒终端安全软件，检测应用程序、拦截可疑流量，使防病毒软件保持最新，设置为高强度安全防护级别，还可以使用软件限制策略防止未经授权的应用程序运行 2.关注最新的漏洞，及时更新电脑上的终端安全软件，修复最新的漏洞 3.关闭不必要的端口，目前发现的大部分勒索病毒通过开放的RDP端口进行传播，如果业务上无需使用RDP，建议关闭RDP，以防止黑客通过RDP爆破攻击 4.培养员工的安全意识，这点非常重要，如果企业员工不重视安全，迟早会出现安全问题，安全防护的重点永远在于人，人也是最大的安全漏洞，企业需要不定期给员工进行安全教育的培训，与员工一起开展安全意识培训、检查和讨论： 1)设置高强度的密码，而且要不定期进行密码的更新，避免使用统一的密码，统一的密码会导致企业多台电脑被感染的风险，此前我就遇到过一个企业内网的密码都使用同一个的情况，导致企业内部多台电脑被勒索加密 2)企业内部应用程序的管控与设置，所有的软件都由IT部门统一从正规的网站进行下载，进行安全检测之后，然后再分发给企业内部员工，禁止员工自己从非正规的网站下载安装软件 3)企业内部使用的office等软件，要进行安全设置，禁止宏运行，避免一些恶意软件通过宏病毒的方式感染主机 4)从来历不明的网站下载的一些文档，要经过安全检测才能打开使用，切不可直接双击运行 5)谨慎打开来历不明的邮件，防止被邮件钓鱼攻击和垃圾邮件攻击，不要随便点击邮件中的不明附件或快捷方式，网站链接等，防止网页挂马，利用漏洞攻击等 6)可以不定期进行安全攻防演练，模拟攻击等，让员工了解黑客有哪些攻击手法 7)可以给员工进行勒索病毒感染实例讲解，用真实的勒索病毒样本，进行模拟感染攻击，让员工了解勒索病毒的危害 5.养成良好的备份习惯，对重要的数据和文档进行定期非本地备份，可使用移动存储设置保存关键数据，同时要定期测试保存的备份数据是否完整可用 勒索病毒的特征一般都很明显，会加密磁盘的文件，并在磁盘相应的目录生成勒索提示信息文档或弹出相应的勒索界面，如果你发现你的文档和程序无法打开，磁盘中的文件被修改，桌面壁纸被替换，提示相应的勒索信息，要求支付一定的赎金才能解密，说明你的电脑中了勒索病毒。 企业中了勒索，该如何应急，主要从以下几个方面入手： 1.隔离被感染的服务器主机 拔掉中毒主机网线，断开主机与网络的连接，关闭主机的无线网络WIFI、蓝牙连接等，并拔掉主机上的所有外部存储设备 2.确定被感染的范围 查看主机中的所有文件夹、网络共享文件目录、外置硬盘、USB驱动器，以及主机上云存储中的文件等，是否已经全部加密了 3.确定是被哪个勒索病毒家族感染的，在主机上进行溯源分析，查看日志信息等 主机被勒索病毒加密之后，会在主机上留上一些勒索提示信息，我们可以先去加密后的磁盘目录找到勒索提示信息，有些勒索提示信息上就有这款勒索病毒的标识，显示是哪一种勒索病毒，比方GandCrab的勒索提示信息，最开始都标明了是哪一个版本的GandCrab勒索病毒版本，可以先找勒索提示信息，再进行溯源分析 溯源分析一般通过查看主机上保留的日志信息，以及主机上保留的样本信息，通过日志可以判断此勒索病毒可能是通过哪种方式进来的，比方发现文件被加密前某个时间段有大量的RDP爆破日志，并成功通过远程登录过主机，然后在主机的相应目录发现了病毒样本，可能猜测这款勒索病毒可能是通过RDP进来的，如果日志被删除了，就只能去主机上找相关的病毒样本或可疑文件，通过这些可疑的文件来猜测可能是通过哪种方式进来的，比方有些是能过银行类木马下载传播的，有些是通过远控程序下载传播的，有些是通过网页挂马方式传播的，还可以去主机的浏览器历史记录中去找相关的信息等等 4.找到病毒样本，提取主机日志，进行溯源分析之后，关闭相应的端口、网络共享、打上相应的漏洞补丁，修改主机密码，安装高强度防火墙，防病毒软件等措施，防止被二次感染勒索 5.进行数据和业务的恢复，如果主机上的数据存在备份，则可以还原备份数据，恢复业务，如果主机上的数据没有备份，可以在确定是哪种勒索病毒家族之后，查找相应的解密工具，解密工具网站可以看我上一篇文章中提到的，事实上现在大部分流行勒索病毒并没有解密工具，如果数据比较重要，业务又急需恢复，可以考虑使用下面方式尝试恢复数据和业务： 1)可以通过一些磁盘数据恢复手段，恢复被删除的文件 2)可以跟一些第三方解密中介或直接通过邮件的方式联系黑客进行协商解密(但不推荐），可能就是因为现在交钱解密的企业越来越多，导致勒索病毒家族变种越来越多，攻击越来越频繁，还有很多企业中了勒索病毒暗地里就交钱解密了 现在很多勒索病毒都使用邮件或解密网站，要求受害者通过这些网站进行解密操作，而且都是使用BTC进行交易，而且功能非常完善，下面我们就来分析一下最近很流行的Sodinokibi勒索病毒的解密网站，如下所示： 网站的主机提示你被加密了，需要支持0.24790254的BTC（=2500美元），如果超过了时间限制，则可能需要支付0.49580508的BTC（=5000美元） 黑客还担心受害者不知道BTC是啥，事实上国内有些企业中了勒索，想交赎金，但不知道BTC从哪里来，于时黑客就给出了详细的步骤教受害者如何进行解密，以及如果购买BTC操作等，如下所示： 黑客还建议了受害者通过https://www.blockchain.com/explorer这个网站注册BTC钱包，然后购买相应的BTC，再将BTC转入黑客的BTC钱包帐户，同时黑客还提示了使用多种方式可以购买BTC的链接，如下所示： 还贴出来了相应的链接，指导受害者如何购买BTC的详细教程等等，如下所示： 同时黑客还怕受害者不相信可以解密，可以帮受害者免费解密几个文件，但不包含大的数据文件，只能是10MB以下的，如下所示： BTC注册网站： https://www.blockchain.com BTC购买链接： https://www.coinmama.com/ https://www.korbit.co.kr/ https://www.coinfloor.co.uk/ https://coinfinity.co/ https://www.bitpanda.com/en https://btcdirect.eu/ https://www.paymium.com/ https://bity.com/ https://www.coincorner.com/ https://www.happycoins.com https://www.bitfinex.com/ https://poloniex.com/ https://cex.io/ https://www.huobi.com/ https://bittylicious.com/ https://coincafe.com/ https://www.coinhouse.com https://safello.com/ https://localbitcoins.com/ https://www.virwox.com/ https://www.bitquick.co/ https://wallofcoins.com https://libertyx.com https://bitit.io/ https://coinatmradar.com/ BTC如何购买： https://howtobuybitcoins.info/ https://bittybot.co/eu/ https://www.buybitcoinworldwide.com/ http://bitcoin-net.com/ 黑客还开通了聊天窗口，可以跟黑客进行沟通协商，讨价还价等等，如下所示： 从上面可以看出黑客为了让受害者能交付赎金，做了一个专门的网站进行指导，可以看出这款勒索病毒背后一定是有一支强大的运营团队 最后友善提醒： 不建议企业向黑客支付BTC，也不建议企业找第三方中介解密，因为这样会促长这个行业的不断增加，现在大部分勒索病毒无法解密，请各企业做好相应的防范措施，按上面的一些指导方法和建议进行勒索病毒的防御，勒索病毒的重点在于防御！ *本文作者：熊猫正正，转载须注明来自FreeBuf.COM 本文作者：，

转载请注明来自FreeBuf.COM # 应急响应 # 勒索病毒 # 防范

被以下专辑收录，发现更多精彩内容

+ 收入我的专辑

+ 加入我的收藏

展开更多

相关推荐

关 注 0 文章数 0 关注者 本站由阿里云 提供计算与安全服务 用户服务 有奖投稿 提交漏洞 参与众测 商城 企业服务 安全咨询 产业全景图 企业SRC 安全众测 合作信息 斗象官网 广告投放 联系我们 友情链接 关于我们 关于我们 加入我们 微信公众号 新浪微博 战略伙伴 FreeBuf+小程序 扫码把安全装进口袋 斗象科技 FreeBuf 漏洞盒子 斗象智能安全平台 免责条款 协议条款

Copyright © 2020 WWW.FREEBUF.COM All Rights Reserved

   沪ICP备13033796号

|

沪公安网备

中了勒索病毒并且硬盘有重要资料怎么办？ - 知乎

中了勒索病毒并且硬盘有重要资料怎么办？ - 知乎首页知乎知学堂发现等你来答​切换模式登录/注册生活网络安全信息安全硬盘勒索病毒中了勒索病毒并且硬盘有重要资料怎么办？关注者98被浏览220,352关注问题​写回答​邀请回答​好问题​添加评论​分享​27 个回答默认排序康小泡​信息安全 程序员​ 关注更新建议最好不要随意去删除勒索病毒留下的文档或者数据，最近新出一款国产勒索病毒，需要用户生成的datafile目录下的一个叫appcfg.cfg里面的数据，如果一旦删除那么你就无法解密文件了。及时各大厂商出解密工具、也是于事无补、(后续，在这款通过微信 支付的勒索病毒，能在删除了appcfg.cfg或者重装系统后还能解密文件，前提是能找到一对文件--文件被加密前的，和被加密文件。数据大小在500kb-10M。如果有人还没有解密成功，可以私信了解一下)原答案---------------------------------------------------------------------------------1.如果文件特别重要的话，那就只有交赎金了。不建议直接联系黑客，可以去淘宝上搜一下，淘宝上有很多人协助你解密文件(最好先提前发邮件咨询一下黑客收费多少，不要被第三方收几倍的高价，适当的去谈价格)。2.个人觉得很多容易被一些人忽略的问题是查找中毒的原因。为什么会中招。如果不会排查，可以找做反病毒的帮助你去排查原因。360的反勒索服务，你提交过去就会有人帮你排查原因。只有找到原因了，才能知道怎么入防御，才能避免再次中招，就算你机器里面没有什么重要的文件，但是重装系统也是一件痛苦的事情不是吗？3.如果没有那么重要，但是又有意义的文件。建议备份下来。最好是将这个系统备份下来.说说原因吧。之前有遇到勒索病毒是将密钥写在了注册表里面\释放到appdata目录下等，如果你重装了或者没有备份系统。那么就算你将被加密的文件备份下来也是浪费了。还有是根据你计算机的一些硬件来算的密钥，如果你重装了那么也解不开你的文件了。所以建议最好是备份整个系统。4.可以在这个上面查一下，看一下是否又对应的解密工具出来了、The No More Ransom Project，这个网站上面的解密工具由多家公司在进行维护。如图。或者下载360安全卫士→功能大全→解密大师：如果目前能解密了，扫描一下就直接解密文件。查询自己中了什么类型的勒索病毒，可以访问http://lesuobingdu.360.cn进行查询。可以选择输入被加密文件后缀，或者黑客留下的邮件，再或者直接上传被加密文件。5.对于关注一些勒索病毒样本分析的关注者，可以访问这个页面去查看一些样本分析文章：勒索病毒家族 - 勒索病毒-360社区或者关注微信公众号：安全分析与研究(国内国外出的我看他们都会写文章分析，也不区分大众还是小众。不过有部分文章更偏事件性，总结性，而且技术性。)编辑于 2019-10-22 11:47​赞同 146​​40 条评论​分享​收藏​喜欢收起​谢幺​网络安全话题下的优秀答主​ 关注有网线就直接拔网线，没网线则断开WiFi，保持冷静，如果此时你周围还有同事或者朋友正在上网，悄咪咪看一下他们的电脑是否也出了问题。许多勒索病毒具有横向传播功能，就像是感冒病毒一样传染给局域网里的其他电脑，早断网一秒，亲人少流一行泪，如果整个办公室都因为你而中招，那么勒索你的就不再只有黑客，还有你的同事和老板。保留犯罪现场如果还想找回被加密的文件，尽量让现场保持原样。不要指望重装系统就能好，有些勒索病毒的解密需要根据你电脑的一些软硬件信息（比如注册表信息）来生成密钥，一旦这些信息被破坏，很可能永远都无法解密，交了钱也没辙。最好也不要重启电脑或关机。这是网络勒索，网管的那套“万能重启大法”在此并不好使，还可能弄巧成拙，因为电脑内存里很可能留有用来解密的线索，专业人士可以拿来破案，一旦关机断电就会被清空。在这方面警察蜀黍办案的流程就值得学习，在第一时间保留线索和作案现场，方便日后回溯线索和破案。保留好现场，下面我们就可以进入自救环节。到这一步，重要文件应该已经变成了加密状态，就像这个亚子。勒索病毒千千万，你得知道自己中了哪一卦。怎么办？2. 收集病毒特征仔细回想一下，在中毒的前一刻，自己是不是上了什么不该上的网站，打开了什么不该打开的文件？看了什么不该看的东西？是不是有 FBI warning 过你？如果你真的什么也没做，那也有可能是跟你同在一个局域网里的同事干的，当然，他有可能并不会承认，你不妨抽出皮带拷问他一下。总之，能直接找到病毒样本是最好。观察被加密的文件的后缀名，不同勒索病毒的后缀不一样，一般通过后缀名就能大致判断种类。比如 GlobeImposter 勒索病毒的常用后缀是：auchentoshan、动物名+4444，而 WannaCry 勒索病毒的后缀名是 wncry。怎么判断呢？上网搜呗，度娘谷歌都行，就像这样：也有些自信心爆棚的病毒会在勒索信自报家门，比如下面这个。总之，观察勒索信里信外，看有没有透露能判断勒索软件的标志。如果以上都没法确定病毒种类，记下勒索信的文件路径、具体内容、信里提及的所有网址、邮箱地址等等，这些都可以留作判断依据，具体怎么用后面会讲。3. 自助解密正所谓求人不如求己，即便你是个电脑小白，也有一定概率直接找到解密工具。全世界的安全公司都在努力对抗勒索病毒，其中很多公司都推出了的勒索病毒免费解密工具聚合网站。比如卡巴斯基的：https://noransom.kaspersky.com/奥地利知名杀软 Emsisoft 的：https://www.emsisoft.com/decrypter/知名安全研究团队 malwareteam 的：https://id-ransomware.malwarehunterteam.com/360的：https://lesuobingdu.360.cn/Avast 的：https://www.avast.com/zh-cn/ransomware-decryption-tools也有一些非商业公司成立的勒索解密网站，比如著名的 Nomoreransom 勒索软件解密工具集，这是由各国警方和几家著名的网络公司联合发布的“公益救助”网站：https://www.nomoreransom.org/zh/decryption-tools.html这些网站的基本流程都差不多：上传病毒样本、被加密的文件、勒索信全文或是信里的邮件地址等信息，它就能自动帮你分辨是哪一款勒索软件。如果是目前已经被攻破的勒索软件，恭喜你，网站会提供对应的解密工具和详细的使用说明。（很多外国网站和说明书都是纯英文的，这里推荐英文不太好的朋友用“彩云小译”，上面那几张截图就是用它翻译的，炒鸡好用，这是幺哥的良心推荐）如果通过这些方法依然没找到解密工具，甚至都没法分辨出勒索软件的种类，下一步就该拨打场外求助热线了。4. 场外求助你可以去一些技术研究或者安全论坛叫银。像“吾爱破解论坛”、“卡饭论坛”之类的，以及各大网络安全公司的官方论坛，比如“卡卡安全论坛”、“火绒论坛”、360社区等等（这里只是说几个例子，还有别的好去处可以在留言区推荐），找到相应版块，招呼网友和管理员。遇到危险大喊救命并不丢人，也不要觉得这是无谓的求助，正所谓“大隐隐于市，高手在民间”，技术大神经常隐藏在群众灌水的队伍里。网上有过不少通过论坛求助成功解密的案例。据幺哥了解，只要你会用小学生文明礼貌用语，很多论坛管理员还是会回应的。火绒论坛的管理员回复瑞星卡卡安全论坛的管理员回复通过场外求助最终解密的例子也不少。比如前阵子吾爱破解论坛的用户在四处求助无门后，顺手去瑞星的“卡卡安全论坛”发了个求助帖，没想到管理员很快就过来帮忙，最终成功解密，省下价值几台iPhone的赎金。（就是上图的那个案例）如果实在没办法，你也可以在网上找到一些安全研究员的私人公众号，或是安全公司的公众号求助。比如我上篇讲勒索的文章里提到的深信服千里目实验室朋友王正，就开了个公众号：安全分析与研究，遇到勒索病毒实在没办法可以去找这位老司机带路。（上面那些自助解密工具链接其实也是他帮忙整理的）万不得已，你还可以求助万能的淘宝。在淘宝上搜索“勒索病毒解密”，你会发现上面有一大票店家。这算是个求助途径，但幺哥并不是很推荐，毕竟是收费的。而且，淘宝上帮人解密的店铺，其实大部分用的也是网上公开的解密工具。从逻辑上来讲，正牌安全公司代表着这颗星球最强的反勒索实力，但凡某款勒索病毒被安全公司攻破，通常会昭告天下：“XXXX公司率先攻破XXXX”，就像这样：然后相应的解密工具就会同步到各大反勒索网站。淘宝店主不是太可能掌握某种特殊的解密技巧。不过，如果你觉得自己上网求助、找工具麻烦，或者担心自己手抖误操作，也不妨出点小钱让他们代劳，前提是价格厚道。同时幺哥也要提醒一句说，最好找信誉较高的店，否则先被勒索再被骗，可能会怀疑人生。5. 找勒索者唠嗑除了求助第三方，你其实也可以直接联系一下勒索者，勒索信里通常有联系方式。编一段声泪俱下的故事，砍砍价，或是告诉对方自己正在想办法准备赎金，但是没有购买虚拟币的经验，需要一些时间学习和开户，试试看能不能延期付款。网友clg808发邮件吐槽赎金太贵万一勒索者心情好，给你个折扣什么或者延期，甚至被你的真诚和人生哲学所打动，改邪归正，也不是没可能，虽然概率有点小。顺道说一个小操作：通常情况，勒索病毒作者为了证明自己有能力解密，会给一次测试解密的机会，比如允许你发给他三个文件，免费帮你解密。如果你被加密的文件里，有一些需要紧急使用的非机密文件（比如刚写完的稿子），不妨直接发给勒索者让他解密。6. 交钱还是死磕勒索者不会留给你太多时间，大部分勒索病毒都会带一个倒计时，比如超过24小时赎金翻倍，超过三天就撕票，永远无法解密。所以其实最重要的是，你必须做好自救失败的打算。如果被勒索的文件真的非常重要，请提前准备好一笔赎金，最后关头也许用得上。虽然交赎金意味着助长勒索之风，但也是无奈之举。前几天《纽约时报》有则新闻，讲美国有225位市长联名支持一项不给黑客支付赎金的决议，表面听起来非常振奋人心，可问题来了，等到黑客真的锁死医院、发电厂、政府，整个城市陷入瘫痪，这些市长真的能顶住不支付赎金？幺哥的个人观点是，支付赎金这件事没有绝对，如果被锁住的文件关系重大，还是得做好两手准，与其中了勒索病毒再死撑着不交赎金然后自己吃亏，倒不如吃一堑长一智，做好防备，争取以后不被勒索。如果你被勒索的文件既不重要也不紧急，倒也不妨下定决心死磕，兴许过一段时间安全公司就会找出解密方法。不过，这个期限可能是一个月，也可能是一年，甚至十年，就跟中彩票似的。研究员王正告诉我，就像 Globelmposter、CrySiS 两款勒索新的变种，已经有一年多了，至今还没有发布相关解密工具。总之，看命。其实最稳妥的方法还是第一时间联系专业的安全公司，不过，我问了几个朋友，他们说安全公司通常只对公司，对个人的话，难说。当然，如果你不缺钱，就不难说了。总结说了这么多，幺哥还是希望大家运气好点，别中勒索。之前看到一则新闻，讲国外有安全公司专门收钱摆平勒索，收费很高，每次都能解开，后来被发现居然是收了客户的钱之后，暗地里去给勒索团伙交赎金拿密钥，自己坐当中间商赚差价。说实话，这也不能全怪安全公司，毕竟反网络勒索最好的方法还是防患于未然，而不是亡羊补牢，掏钱找安全公司，除了摆平当下遇到的事，更大的意义在于防止未来再踩同样的坑。勒索病毒这事儿未来一定会越来越多，一个很重要的原因是肉身太难抓。这个逻辑和电信诈骗难打击一样，犯罪分子肉身藏在国外，存在跨境执法困难的问题。 有时候我就心想，这样下去会不会产生一个奇特的现象：A国的团伙勒索B国的人民，B国的团伙勒索A国的人民，两边罪犯都难抓，但两边的人民都遭罪。我把这种现象称之为“共轭勒索”。在这种情况下，作为普通吃瓜群众，除了自保，也没有什么办法。最后，希望大家平时不乱点文件，不乱看不该看的东西，上正规的网站，养成备份重要文件的习惯，或者干脆用同步云盘，实时同步重要文件。祝各位浅友网上冲浪愉快。---参考文章：熊猫正正.安全分析与研究.《企业中了勒索病毒该怎么办？可以解密吗？》360企业安全服务团队.安全客.《勒索病毒应急响应 自救手册（第二版）》发布于 2019-07-18 18:14​赞同 188​​14 条评论​分享​收藏​喜欢

勒索病毒交钱能恢复吗_服务器被勒索病毒攻击怎么办_企业_系统_进行

勒索病毒交钱能恢复吗_服务器被勒索病毒攻击怎么办_企业_系统_进行

新闻

体育

汽车

房产

旅游

教育

时尚

科技

财经

娱乐

更多

母婴

健康

历史

军事

美食

文化

星座

专题

游戏

搞笑

动漫

宠物

无障碍

关怀版

勒索病毒交钱能恢复吗_服务器被勒索病毒攻击怎么办

2023-02-28 14:37

来源:

今天不开心

发布于：广东省

原标题：勒索病毒交钱能恢复吗_服务器被勒索病毒攻击怎么办

本文来源：https://www.cloudallonline.com/

近年来，勒索病毒的蔓延越来越广泛，它不仅影响个人，还影响到整个社会，勒索病毒的发展成为一个世界性的问题。

勒索病毒这一类的病毒，可以通过植入某个电脑网络中的设备、服务器等，来攻击一个系统或网络，控制系统，收取报酬。一般情况下，这些勒索病毒会把目标系统上的文件加密，以阻止其他人访问，然后要求系统使用者支付一定的赎金才可以解密文件或彻底移除病毒。支付赎金并不能保证恢复所有的数据，也不能保证能解密所有受攻击的文件，大多数情况下，勒索者只会提供一个解密程序，但这个程序可能不一定能够实现文件解密。

此外，被勒索病毒攻击的用户不应该随意交钱，因为这给他们带来的几率并不大，甚至有可能会让他们陷入更多的困境。即使交钱，他们也不能得到足够多的保证，而且仍应当存在有数据恢复不全成功的可能性。此外，有可能通过严格强化系统安全防御，来降低系统受到勒索病毒的侵害的概率。

总的来说，千万别去向勒索者购买解密程序，这样只会让情况更糟，不管是个人用户还是企业用户都应该尽量避免受到勒索病毒的攻击，通过实施各种防御措施来保护自身的系统安全，也可以到IT服务企业咨询解决方案，保证系统上的数据及信息。此外，更有意义的做法是避免勒索病毒的产生，建议使用加密空间技术，让用户的数据能够物理隔离出来，有效的防病毒入侵。

#

服务器被勒索病毒攻击是当今计算机网络安全领域中比较严重的一种威胁。它具有较强的破坏力，不仅破坏了服务器系统的正常使用，而且可能引发重大的安全风险。因此，当发现服务器被恶意的勒索病毒攻击时，必须采取有效的技术措施来进行治理。

那么，当发现服务器被勒索病毒攻击时，应该采取怎样的技术措施来进行治理呢？首先，做好预防性的安全隔离工作，迅速封堵后门漏洞，以防复制，其次，根据恶意病毒的具体特征，对病毒进行分析，对已经被攻击的服务器进行清除操作，严格控制网络出入口。

同时，也要重视数据备份工作，尽可能将用户及办公数据进行备份，有效保障个人及企业数据的安全，定期对计算机系统及网络进行安全监测与评估，及时当发现大的安全问题时，采取有效的预防措施，减少因技术不足所带来的安全风险。

最后，应该加强企业管理及员工素质的培训，让员工了解计算机的安全知识，树立安全意识，并对可能产生的安全风险有更深入的认识，从而采取从严格的措施，有效防止勒索病毒攻击给企业造成严重的损失。

以上是服务器被勒索病毒攻击怎么办的相关知识，服务器被勒索病毒攻击的后果是非常严重的，如果不及时采取有效的技术措施，将会给企业造成极大的损失，所以服务器被勒索病毒攻击后要尽快采取有效的措施，及时防范，有效遏制勒索病毒攻击给企业造成的不利影响，是非常重要的。返回搜狐，查看更多 责任编辑：

平台声明：该文观点仅代表作者本人，搜狐号系信息发布平台，搜狐仅提供信息存储空间服务。

阅读 ()

推荐阅读