第一阶段:萌芽期
AIDS trojan是世界上����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������第一个被载入史册的勒索病����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ������毒,从而开启了勒索病毒的时代����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������。——1989年,2万张感染了“AIDSTroj����� �������Ƴ����������� �������Ƴ������������ �������Ƴ������������ �������Ƴ�������an”病毒的软盘被分发给国际卫生组织国际����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������艾滋病大会的与会者,导致大量文����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������件被加密。早期的勒索病毒主要通过钓鱼邮件,挂马,社����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������交网络方式传播,使用转账等方式支付赎����� �������Ƴ������������ �������Ƴ������������ �������Ƴ����������� �������Ƴ�������金,其攻击范畴和持续攻击能力相对有限����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������,相对容易追查。
第二阶段:成型期
2013下半年开始,是现代勒索����� �������Ƴ������������ �������Ƴ������������ �������Ƴ����������� �������Ƴ�������病毒正式成型的时期。勒索病毒使用AES和RSA����� �������Ƴ������������ �������Ƴ����������� �������Ƴ������������ �������Ƴ�������对特定文件类型进行加密,使破解几乎不可����� �������Ƴ����������� �������Ƴ������������ �������Ƴ������������ �������Ƴ������能。同时要求用户使用虚拟货币支付,以����� �������Ƴ����������� �������Ƴ������������ �������Ƴ������������ �������Ƴ�������防其交易过程被跟踪。这个时期典型的勒索病毒有CryptoLoc����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ������ker,CTBLocker等。大多数情况下,这些����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������恶意软件本身并不具有主动扩散的能力。����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������
第三阶段
自2016年开始,然而随着漏洞利用工具包的流行����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������,尤其是“The ShadowBr����� �������Ƴ������������ �������Ƴ����������� �������Ƴ������������ �������Ƴ�������okers” (影子经纪人)公布方����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������程式黑客组织的工具后,其����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������中的漏洞攻击工具被黑客广泛应用。勒索����� �������Ƴ������������ �������Ƴ������������ �������Ƴ����������� �������Ƴ�������病毒也借此广泛传播。典型的例子,就是����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������WannaCry勒索蠕虫病毒的����� �������Ƴ������������ �������Ƴ������������ �������Ƴ����������� �������Ƴ�������大发作,两年前的这起遍布全球����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������的病毒大破坏,是破坏性病毒和蠕虫传播的联合����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������行动,其目的不在于勒索钱财,而是制造����� �������Ƴ����������� �������Ƴ������������ �������Ƴ������������ �������Ƴ�������影响全球的大规模破坏行动。在此阶段,勒索病毒已呈现产业化、家族����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������化持续运营。在整个链条中,各环节分工明确,完整����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������的一次勒索攻击流程可能涉及勒索����� �������Ƴ����������� �������Ƴ������������ �������Ƴ������������ �������Ƴ�������病毒作者,勒索实施者,传播渠道商,代理。
第四阶段
自2018年开始,常规的勒索木马技����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������术日益成熟。已将攻击目标从最初����� �������Ƴ����������� �������Ƴ������������ �������Ƴ������������ �������Ƴ�������的大面积撒网无差别攻击,转向精����� �������Ƴ����������� �������Ƴ������������ �������Ƴ������������ �������Ƴ�������准攻击高价值目标。比如直接攻击医疗行����� �������Ƴ����������� �������Ƴ������������ �������Ƴ������������ �������Ƴ�������业,企事业单位、政府机关服务器,包括制造业在内����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������的传统企业面临着日益严峻的安全形势。
编程人群基数的迅速增加,越来越����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������多基于脚本语言开发出的勒索病毒开始����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������涌现,意味着将有更多的黑产人群����� �������Ƴ����������� �������Ƴ����������� �������Ƴ������������ �������Ƴ�������进入勒索产业这个领域,也意味����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������着该病毒将持续发展泛滥。
勒索病毒攻击原理分析
攻击者通过攻陷企业邮件服务器,向企业内部����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������所有用户发送钓鱼邮件(伪装成office图标的����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ������exe程序,带病毒的文档、播放器等)。用户����� �������Ƴ������������ �������Ƴ����������� �������Ƴ������������ �������Ƴ�������无意中打开钓鱼邮件中的文件����� �������Ƴ����������� �������Ƴ����������� �������Ƴ������������ �������Ƴ�������导致被勒索。
攻击者通过爆破等方式获取企业内部����� �������Ƴ������������ �������Ƴ����������� �������Ƴ����������� �������Ƴ�������人员vpn账号,在企业内网进行系统����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������漏洞/弱口令扫描,一旦用户主机未做好必要防护便会����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������被勒索。
攻击者通过业务系统/服务器漏洞攻陷Web服����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������务器,对其进行加密并勒索。
攻击者通过攻陷业务系统,获取相����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������应数据库信息,在内网进行数据库漏洞/弱口令扫描,一旦数����� �������Ƴ����������� �������Ƴ������������ �������Ƴ������������ �������Ƴ�������据库未做好必要防护便会被勒索。
Wanna Cry攻击原理:
mssecsvc2.0——����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������服务函数中执行感染功能,对网络中的����� �������Ƴ������������ �������Ƴ����������� �������Ƴ������������ �������Ƴ�������计算机进行扫描,利用MS17-010漏洞和DOUBLEPULSAR后门,传播勒索病毒恶意样本。����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������taskche.exe——����� �������Ƴ����������� �������Ƴ������������ �������Ƴ������������ �������Ƴ�������设置对应的注册表项实现开机自����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������启动。执行勒索软件加密行为。遍历目录,如Program F����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������iles,Windows将文件分类带上标签加入文件����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������容器
(3)文件加解密(简化版)——非����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ������对称加密
常见勒索方式演示
流程:攻击者通过ms17����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������-010漏洞直接拿到目标主机系统权限����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������,上传病毒程序并运行,使目����� �������Ƴ������������ �������Ƴ������������ �������Ƴ����������� �������Ƴ�������标主机被加密。
主机:Windows 7 ����� �������Ƴ����������� �������Ƴ������������ �������Ƴ������������ �������Ƴ�������安装了带勒索病毒的数据库连接软件plsql
流程:使用者使用带病毒的数据库连接软件����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������连接数据库服务器,导致服务器被加密。
流程:使用者通过文件上传等漏洞����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������将WebShell上传至����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ������业务系统,获取服务器系统权限,通过蚁剑连接数����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������据库并执行相关加密代码对数据����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������库信息进行加密。
勒索防护
组织层面:
1.对于计算机网络而言,我们����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������要对网络进行分层分域管理,比如根据不同的职����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������能和部门划分安全域,对于各区域边界进行严����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������格的出入控制。在等保2.����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ������0中叫安全边界管理。
2.对于网络和主机,都要有����� �������Ƴ����������� �������Ƴ������������ �������Ƴ����������� �������Ƴ�������严格的准入控制系统,不在白名单内的用����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������户和主机不允许接入网络,不在白名单内的进程和����� �������Ƴ������������ �������Ƴ������������ �������Ƴ����������� �������Ƴ�������程序不允许运行。发现可疑主机要及时隔离处理����� �������Ƴ����������� �������Ƴ������������ �������Ƴ������������ �������Ƴ�������,发现可疑进程马上启动相应的应����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������急处理机制。3.一旦发现感染病毒,不要急于格式����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������化重装系统,一定要先进行取证����� �������Ƴ����������� �������Ƴ������������ �������Ƴ������������ �������Ƴ�������溯源,分析攻击流程,寻找����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ������攻击者以及可能的被感染者����� �������Ƴ������������ �������Ƴ������������ �������Ƴ����������� �������Ƴ�������,防止病毒二次传播。这个过程是一����� �������Ƴ����������� �������Ƴ������������ �������Ƴ������������ �������Ƴ�������个很重要但也很难的过程,很多黑客攻����� �������Ƴ������������ �������Ƴ������������ �������Ƴ����������� �������Ƴ������击也并不是直接入侵的,而是通过一些僵尸主机����� �������Ƴ����������� �������Ƴ����������� �������Ƴ������������ �������Ƴ�������或者跳板进行。而且攻击后并不会只����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������攻击一台,往往是同时攻下了好����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������多台电脑,只不过只在其中一台或几台实施了破坏����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������,其它没有被破坏不代表就是安全的。通����� �������Ƴ����������� �������Ƴ������������ �������Ƴ������������ �������Ƴ�������过追溯就能发现其他被攻击的电脑有哪些����� �������Ƴ������������ �������Ƴ����������� �������Ƴ������������ �������Ƴ������。4. 加强宣传,通过相应的网络����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������安全讲座,让大家意识到网络安全����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������的重要性,提高安全意识,增强基����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������本的安全技能,养成良好的安����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������全习惯。这样才能有效降低被病����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������毒感染的风险。
1、 没有必����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������要不要访问外网,尤其是一些非正规网站,减少文����� �������Ƴ������������ �������Ƴ����������� �������Ƴ����������� �������Ƴ�������件和目录共享。
2、 使用U盘、打开邮件����� �������Ƴ������������ �������Ƴ������������ �������Ƴ����������� �������Ƴ�������附件都要先扫描病毒再打开。
3、 不要下载和使����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������用盗版软件以及来路不明的软件。
4、 及时为系统/数据库安装安全����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������更新,安装个人防火墙,对进出流量进行控制。
5、 对于电脑端口加强防范,使用主机����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������防火墙关闭不必要的端口。
6、 发现问题要及时反馈����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������给信息中心,不要自行处理。
7、 了解必要的病毒知识。
8、 要有安全意识,人是网络安����� �������Ƴ������������ �������Ƴ������������ �������Ƴ������������ �������Ƴ�������全中最重要也是最薄弱的环节。
结合我们的产品