什么是勒索软件？

勒索软件是一种恶意软件，旨在拒绝访问计算机系统或数据，直到支付赎金。勒索软件通过网络钓鱼电子邮件、恶意广告、访问受感染的网站或利用漏洞进行传播。

勒索软件攻击会导致停机、数据泄露、知识产权盗窃和数据泄露。

赎金支付金额从几百美元到数十万美元不等。以比特币等加密货币支付。

勒索软件如何运作？

许多网络攻击允许攻击者访问您的计算机以安装勒索软件，包括：

社会工程和网络钓鱼：勒索软件通过诱骗用户下载伪装成同事或老板的受感染电子邮件附件来传播。
恶意广告：恶意广告使用受感染的 iframe 或不可见元素来传播勒索软件。iframe 重定向到执行恶意代码或漏洞利用工具包的页面，以便在用户不知情的情况下执行路过式下载。
漏洞：WannaCry 等更具侵略性的勒索软件形式利用漏洞感染计算机，而无需用户作。

一旦被感染，勒索软件可能会加密部分或全部文件。

在最初的勒索软件感染后，赎金记录说明这些文件无法访问。受害者必须支付赎金才能购买解密密钥来解密他们的文件。

其他勒索软件声称是执法部门，由于盗版软件或色情内容而锁定了受害者的计算机。然后它要求支付罚款以解锁计算机。

泄漏软件或人肉软件是另一种形式的勒索软件。它威胁要公布受害者硬盘上的敏感数据。

这种形式的勒索软件可能很危险。导致大数据泄露或个人身份信息（PII）泄露。

谁是勒索软件攻击的目标？

攻击者可以通过多种方式选择要作为目标的组织。这可能是机会问题或付款可能性。

如果您容易受到已知漏洞的攻击，您的组织是更好的目标。一个例子是 EternalBlue。EternalBlue 是 Microsoft作系统旧版本中的漏洞。攻击者可以使用过时版本的 SMB 协议来安装勒索软件。这就是 WannaCry 的传播方式。

常见目标是政府机构和医疗机构。这是因为它们的信息安全和数据保护通常较差。他们还需要立即访问他们的文件。

这意味着他们更有可能支付赎金。

其他组织可能愿意付费以保持安全漏洞的安静。这些组织是泄漏软件攻击的主要目标。需要注意的是，许多司法管辖区要求报告数据泄露和数据泄露。例子包括美国、澳大利亚和欧元区。

勒索软件有哪些不同类型？

勒索软件是一种恶意软件，勒索软件有四种主要变体：

恐吓软件：恐吓软件是假冒的安全软件，声称计算机上存在恶意软件。最终用户会收到一个弹出窗口，要求支付删除费用。如果未付款，弹出窗口将继续显示，但文件通常是安全的。真正的反恶意软件/防病毒软件已经监控恶意软件攻击。消除感染也不会让您付出代价。
屏幕锁定器：屏幕锁定器将您锁定在计算机之外。勒索软件将登录屏幕替换为要求付款的屏幕。屏幕上通常有 FBI 或其他执法机构的标志。没有执法机构会冻结您的计算机。他们也不会要求为非法活动付费。他们将通过适当的法律渠道。
加密勒索软件：加密您的文件并要求付款才能解密它们。这是勒索软件的网络安全风险最高。很难重新获得对加密文件的访问权限。唯一的方法是支付赎金或使用解密工具。即使您支付了赎金，也不能保证攻击者会解密您的文件。
移动勒索软件：移动设备的普及导致了移动勒索软件的发展。它通常以 Android 为目标，因为它允许安装第三方应用程序。与 Apple 的 iPhone作系统不同。

勒索软件与其他形式的恶意软件有何不同？

勒索软件使用加密使文件无法访问。要重新获得访问权限，您需要解密密钥或解密器工具。

加密文件可以是文档或图片、视频和音频或其他文件类型。

更复杂的攻击会打乱文件名并添加不同的扩展名。这使得很难识别受影响的文件以及系统上的勒索软件。

赎金支付通常有时间限制，并随着时间的推移而增加。这增加了支付压力。在极端情况下，文件会被销毁或泄露。执行此作的勒索软件会提取敏感数据并将其发送到控制服务器。

您应该支付勒索软件费用吗？

如果您是勒索软件攻击的受害者，您需要仔细考虑您的选择。许多执法机构敦促您不要支付赎金。这通常是很好的建议，因为它减少了创建更多勒索软件的动机。

但是，如果您丢失了重要数据，支付赎金可能是有意义的。

克服复杂的加密可能是不可能的。这就是为什么最重要的是降低被勒索软件感染的风险。

许多勒索软件攻击使价格保持在较低水平。从 500 美元到 1,500 美元不等，因此公司有能力支付。攻击者通常会检测计算机所在的国家/地区并调整赎金金额。这使他们能够向富裕国家的公司提出更多要求，而向较贫穷地区的公司提出更少的要求。
而且快速付款通常会有折扣。

价格必须足够高，才值得攻击者花时间，也要足够低，让受害者能够负担得起。如果受害者无法复制丢失的数据，这可能是一个很大的数字。

考虑到这一点，公司已开始将赎金支付添加到他们的安全计划中。但这不是一个好的解决方案。预防是关键。

攻击者可能不会在支付赎金时提供解密密钥。解密功能甚至可能根本不存在于恶意软件中。此类勒索软件赢得了声誉，但并不总是产生收入。

并检查是否是勒索软件或恐吓软件未加密您的数据。

如何防止勒索软件

要防止勒索软件，您需要基本的网络安全实践。许多攻击依赖于漏洞或开放端口。

勒索软件威胁的风险凸显了全球网络弹性的差点。可预防的错误配置和漏洞已在全球范围内造成严重破坏。WannaCry 造成了数亿到数十亿美元的生产力损失。

勒索软件感染通常来自流程和优先级中的缺陷。而不是软件、代码和防火墙问题。尽管这些也有帮助。

令人担忧的是，许多组织很容易受到高级网络威胁的攻击。

敏感数据和个人身份信息（PII）绝不应存储在一个地方。

关键业务职能部门也不应该没有适当的流程来恢复他们的系统。

以下是防止勒索软件攻击并将其影响降至最低的方法：

无单点故障：无论是勒索软件、硬件故障、数据库错误还是其他原因。如果您的数据很重要，那么应该至少在另一个安全位置备份它。
自动化预置过程：如果资产被勒索软件或其他任何东西关闭，您应该能够尽快将其恢复到工作状态。
修补所有内容：使您的系统保持最新状态以避免已知的漏洞。
安全意识培训：防止恶意软件感染比逆转恶意软件感染更容易。不要安装您不信任的软件。不要向每个员工授予管理权限。
防病毒软件：卡巴斯基或迈克菲等防病毒软件可以检测已知的勒索软件家族，白名单软件可以从一开始就阻止未经授权的应用程序执行。
备份解决方案：如果发生勒索软件感染，备份数据至关重要。如果您的数据已备份且安全，您的组织可以快速从攻击中恢复。使用在线存储解决方案和/或外部硬盘驱动器备份，例如 Google Drive 或 Dropbox，存储所有重要文件。

这些策略降低了勒索软件的网络安全风险，将其从灾难变成了轻微的麻烦。

了解混淆勒索软件攻击企图的策略。

如何删除勒索软件

没有一种方法可以删除勒索软件，因为每个勒索软件系列都不同，并且总是有新的勒索软件正在开发中。

此外，虽然从您的计算机中删除勒索软件可以恢复对您的计算机的访问，但它不一定会解密您的文件。如果恶意软件很复杂，那么在数学上，任何人在无法访问解密密钥的情况下都不可能解密您的文件。事实上，通过删除恶意软件，您已经消除了通过向攻击者支付赎金来恢复文件的可能性。

这就是缓解和备份文件如此重要的原因。最好备份所有重要文件，这样您就可以简单地接受文件已被加密且无法访问。然后使用你的备份。

为什么防病毒软件无法检测到勒索软件？

新的勒索软件不断开发，防病毒软件非常擅长阻止他们以前见过的事情，而不是那么多新威胁。

这就是为什么必须遵循上述步骤方法的原因。当我们考虑勒索软件的作用时，企业应该问自己的问题是，为什么我们不能重新映像受影响的系统。

映像是整个计算机系统的快照，可以在几分钟内部署以将系统恢复到预期状态。

勒索软件起作用的原因只有几个，要么是重要数据没有存储在其他地方，要么是系统执行关键业务功能并且没有将系统恢复到工作状态的流程。

如果您拥有正确的流程，那么防病毒软件在检测勒索软件方面表现不佳也无关紧要。您应该能够快速将功能恢复到任何受影响的系统。此外，您应该专注于培训您的员工，以避免首先安装勒索软件。

勒索软件对企业有何影响

2018 年下半年，随着网络犯罪分子从以消费者为中心的攻击转向勒索软件攻击，针对企业的勒索软件攻击增加了 88%。网络犯罪分子已经开始认识到，大企业会转化为更高的赎金支付，并将目标对准医院、政府机构和商业企业。

这方面的一个例子是 GandCrab，据估计它已经支付了超过 3 亿美元的赎金，个别金额从 600 美元到 700,000 美元不等。SamSam 对亚特兰大市的攻击花费了他们 260 万美元的补救费用。

了解混淆勒索软件攻击企图的策略。

勒索软件正在下降吗？

一些报告强调，勒索软件可能正在下降，有利于加密挖掘恶意软件，这些恶意软件感染受害者的计算机并使用其计算能力来挖掘加密货币，而不是要求赎金。这意味着攻击者不需要提取赎金即可获得报酬，并且随着比特币价格的上涨，它成为一种更具吸引力的途径。

也就是说，勒索软件的威胁还没有结束。勒索软件攻击有两种类型，一种是旨在感染大量计算机以支付一小部分费用为目标的商品攻击，另一种是攻击者可以租用并针对易受攻击的细分市场和组织的勒索软件即服务平台。

此外，随着比特币价格下跌，攻击者可能再次更倾向于索要赎金，而不是使用受害者的计算机来挖掘加密货币。

值得注意的勒索软件示例

WannaCry：WannaCry 勒索软件加密蠕虫以运行 Microsoft Windows作系统的计算机为目标。该蠕虫最初于 2017 年 5 月 12 日发布。勒索软件对数据进行加密，并要求支付 300 至 600 美元的赎金，赎金以加密货币比特币支付。WannaCry 也被称为 WannaCrypt、WCry、Wana Decrypt0r 2.0、WanaCrypt0r 2.0 和 Wanna Decryptor。
Ryuk：Ryuk 由 GRIM SPIDER 运营，GRIM SPIDER 是一个复杂的网络犯罪组织，以大型企业为目标收取高额赎金。GRIM SPIDER 从大约 50 笔赎金中从 Ryuk 那里赚取了数百万美元。Ryuk 通常通过网络钓鱼电子邮件或使用 Emotet 基于地理位置的下载功能进行传播。
SamSam：SamSam 出现在 2016 年，面向 JBoss 服务器。它通过利用已知漏洞而不是通过社会工程进行传播。它使用远程桌面协议和暴力攻击来猜测弱密码。著名的受害者包括新墨西哥州的法明顿镇、科罗拉多州交通部、北卡罗来纳州的戴维森县和亚特兰大的基础设施。两名伊朗人因涉嫌启动 SamSam 而被联邦调查局通缉，估计勒索损失 600 万美元，造成超过 3000 万美元的损失。
Cryptolocker：CryptoLocker 发生在 2013 年 9 月 5 日至 2014 年 5 月下旬。该攻击利用木马以运行 Windows 的计算机为目标，并通过受感染的电子邮件附件和现有的 Gameover ZeuS 僵尸网络传播。激活后，恶意软件使用 RSA 公钥加密技术加密存储在本地和挂载的网络驱动器上的某些文件，并将私钥存储在恶意软件的控制服务器上。然后，它显示一条消息，如果在截止日期前通过比特币或预付现金券付款，则提供解密数据，并威胁如果不及时付款，将删除密钥。支付赎金并不总是导致解密。
TeslaCrypt：TeslaCrypt 是一个现已不存在的勒索软件木马，因为它的主密钥是由其开发人员发布的。在早期形式中，TeslaCrypt 针对特定视频游戏（如《使命召唤》、《魔兽世界》、《我的世界》和《坦克世界》）的游戏数据。该恶意软件通过 Angler Adobe Flash 漏洞感染了计算机。
Locky：Locky 于 2016 年发布，并通过一封电子邮件传播，该电子邮件称发票需要付款，并附有包含恶意宏的 Microsoft Word 文档。一旦用户打开文档，它似乎充满了垃圾，并包含短语“如果数据编码不正确，则启用宏”，这是一种社会工程形式。如果用户启用了宏，它将保存并运行一个二进制文件，该文件将下载实际的加密木马并加密具有特定扩展名的所有文件。
Reveton：Reveton 假装来自警察并阻止用户访问他们的计算机，声称计算机已被当地执法机构锁定。它通常被称为“警察特洛伊木马”，并通知用户他们必须支付罚款才能解锁他们的系统。为了增加计算机正在被执法部门跟踪的错觉，屏幕显示计算机的 IP 地址，通常还会显示网络摄像头，以产生用户正在被记录的错觉。
Bad Rabbit：Bad Rabbit 遵循与 WannaCry 类似的模式，并通过 Adobe Flash 的虚假更新分发。国际文传电讯社、敖德萨国际机场、基辅地铁和乌克兰基础设施部都受到了 Bad Rabbit 的影响。专家认为，该勒索软件与乌克兰的 Petya 攻击有关，因为 Bad Rabbit 的代码与 Petya/NotPetya 的代码有许多重叠的相似之处。

查看更多勒索软件示例。

勒索软件时间线信息图

UpGuard 平台显示您和您的供应商容易受到漏洞影响的地方。UpGuard BreachSight 可以帮助打击拼写错误，防止数据泄露和数据泄露，避免监管罚款，并通过网络安全评级和持续暴露检测保护客户的信任。

我们还可以帮助您持续监控、评级并向供应商发送安全调查问卷，以控制第三方风险和第四方风险并改善您的安全状况，以及自动创建清单、实施策略并检测 IT 基础架构的意外变化。帮助您扩展供应商风险管理、第三方风险管理和网络安全风险评估流程。