勒索软件攻击完整指南

什么是勒索软件攻击？

勒索软件是一种恶意软件，会在勒索款被支付之前阻止对计算机系统的访问，或加密有价值的数据。它会通过网络传播，例如借助钓鱼邮件、恶意下载，以及利用尚未修补的漏洞。一旦被激活，它会锁定文件或系统，并要求支付费用（多数以加密货币形式）以解除访问限制。

勒索软件是危害组织（所有规模）的最具破坏性的恶意软件形式之一，因为它会直接影响业务连续性，扰乱运营，并同时造成财务和声誉方面的损害。

勒索软件变种

勒索软件有多种形式和类型，每一种都会使用不同的策略来迫使受害者付款。包括：

• 加密型勒索软件（crypto）： 会加密文件，并要求支付解密密钥的费用。
• 锁定型勒索软件（Locker）： 拒绝访问整个系统，将用户彻底锁定。
• 泄露软件/人肉软件（Leakware/doxware）： 如果不支付赎金，就威胁要发布敏感数据。
• 敲诈软件（Scareware）： 显示虚假的警告或安全警报，以欺骗用户付款。
• 擦除器（Wipers）： 会永久销毁数据，而不是索要赎金，从而造成不可逆的损失。

勒索软件已经发生了显著演变：从 1989 年的 AIDS 木马（通过软盘传播）到 2017 年的 WannaCry（利用可蠕虫化的漏洞对全球系统造成瘫痪）。到 2025 年，攻击者已采用“三重勒索（triple extortion）”，将数据加密、数据泄露以及直接威胁受害者的客户与合作伙伴结合起来。这使得现代勒索软件比以往任何时候都更具攻击性、影响范围更广。

勒索软件是如何运作的？

勒索软件攻击遵循结构化的生命周期：入侵、加密、勒索。通过理解勒索软件运作的每个阶段，组织能够尽早识别警示信号，并在造成大范围损害之前做出响应。

步骤 1：感染

攻击始于初始入侵。常见的入口包括：

• 包含恶意附件或链接的网络钓鱼邮件
• 来自被入侵网站的“无需点击”的下载（Drive-by downloads）
• 利用面向互联网的服务，例如远程桌面协议（Remote Desktop Protocol, RDP）
• 滥用被盗或弱口令凭据
• 软件、VPN 或第三方服务中的未打补丁漏洞
• 投放前导恶意软件/“商品化”加载器，例如 Emotet、QakBot、Bumblebee
• 攻破托管服务提供商（MSP）及供应链合作伙伴，以广泛分发勒索软件

一旦进入目标环境，恶意软件就会建立立足点，并继续进行横向移动和权限提升。

第 2 步：执行

渗透之后，勒索软件会执行其有效载荷。它首先会扫描本地和网络驱动器中有价值的文件，删除影子副本和备份以阻止恢复，并且有时会窃取凭据以进行权限提升。部分变种会使用内置工具（例如 PowerShell 或 Windows Management Instrumentation (WMI)）来实现隐蔽执行。现代勒索软件还可能在继续后续步骤前，部署额外的工具或脚本来禁用安全防护，例如杀毒软件以及其他安全工具。

第 3 步：加密与敲诈

这一阶段的攻击回答了一个问题：勒索软件会对它获得控制权的文件做什么？在这一阶段，恶意软件会使用混合加密来锁定关键文件和系统。混合加密将用于保护数据的快速对称加密与用于保护密钥的强非对称加密结合起来；密钥由攻击者使用私钥（private key）进行控制。在加密之前或加密过程中，攻击者会窃取敏感数据，以增强其筹码。随后，他们会要求支付赎金，以换取解锁文件所需的解密密钥。随着时间推移，策略已从单次敲诈（文件加密）演变为双重敲诈（加密 + 数据盗取），如今又发展为三重敲诈；这种方式通过例如威胁针对受害者的客户和合作伙伴，或发动分布式拒绝服务（DDoS）攻击等手段来进一步施压。

第 4 步：索要赎金

一旦完成加密，被感染的系统上就会出现勒索公告，其中包含付款说明和截止期限。攻击者为了匿名性，通常要求使用比特币（Bitcoin）或门罗币（Monero）等加密货币支付。为了隐藏身份和位置，他们会通过基于 Tor 的门户转发通信。这些门户还会被用于托管赎金支付网站或“泄露网站（leak sites）”，并在付款后提供解密指令。

第 5 步：扩展

在更高级的攻击中，勒索软件会利用被盗凭据，并通过利用域信任关系在网络中横向传播。随后，攻击者会入侵更多终端，以扩大控制范围并加密更多系统。他们也可能会针对或加密备份、云环境以及连接的供应链，以最大化破坏并减少可用的恢复选项。这些策略会提高攻击者在勒索谈判过程中的讨价还价能力。

第 6 步：结果

在攻击完成之后，受害者要么支付赎金（但无法保证数据能够恢复），要么拒绝支付，并选择通过备份、解密器以及执法或事件响应支持进行恢复。每条路径都伴随着成本、风险和后续行动。

攻击流程图

下图以及一个示例故事展示了勒索软件攻击活动从攻击者最初入侵到最终业务后果的演变过程。

在一家金融服务公司中，勒索软件攻击始于一名员工打开了钓鱼邮件。该邮件安装了恶意软件，并使攻击者获得了网络访问权限。不久之后，关键文件被加密，敏感数据也被外传至攻击者服务器。

在受影响的系统上显示了勒索通知，要求付款，并威胁要泄露被盗数据。IT 团队遏制了攻击，从离线备份中恢复系统，并联系了执法部门。

组织没有支付赎金，而是重建受影响的系统，并通过更好的备份、MFA 以及员工培训来加强防御。

勒索软件攻击示例

以下是一些备受关注的、真实发生的重大勒索软件（ransomware）事件示例，展示了不同的攻击手法、影响和动机。

勒索软件（ransomware）攻击的后果

勒索软件（ransomware）攻击带来的后果远不止数据加密和赎金支付本身。它们对组织财务、运营、声誉和法律地位造成的影响，可能引发长期挑战。

勒索软件（ransomware）攻击的常见目标：谁处于风险之中？

坦率地说，任何依赖数字系统来存储数据或提供服务的组织都可能遭受勒索软件（ransomware）攻击。然而，由于数据价值更高、运营至关重要，或网络安全资源相对有限，某些行业面临更高的风险。下面是一些最常见的勒索软件（ransomware）攻击目标。

风险评估

要了解勒索软件攻击的风险水平，需要评估其潜在影响、实施难易程度以及总体发生可能性。下面将讨论每个风险因素及其依据。

如何预防勒索软件攻击

为防范勒索软件攻击，企业应实施一种防御策略，将强有力的技术控制、员工意识提升以及主动规划相结合。单一工具无法阻止所有攻击，但组织可以通过在系统、凭据以及人员行为方面处理漏洞，显著降低风险暴露。

面向互联网的系统

已观察到攻击者会利用暴露的服务和未打补丁的系统来获取初始访问。组织应当：

• 定期对操作系统、Web 应用和固件应用补丁与更新，以修补已知漏洞。
• 禁用诸如 SMBv1 之类的过时协议，因为它们会在勒索软件传播过程中被滥用。
• 定期开展漏洞扫描和渗透测试，以识别薄弱环节。
• 限制对远程管理端口（例如 RDP、SSH）的公网访问，并通过 VPN 或安全网关进行远程连接。

凭据

遭到泄露的凭据为勒索软件运营者提供了便捷的切入点。组织应：

• 强制使用抗钓鱼的多因素认证（MFA），尤其是特权账号和远程账号。
• 采用身份与访问管理（IAM）控制来管理用户权限，并自动化配置/取消配置（provisioning/deprovisioning）。
• 使用密码管理器生成并存储强健、独特的密码。
• 为降低横向移动的风险，管理员应使用普通账户完成日常任务，并仅在确实需要管理员权限时才切换到管理员账户。

网络钓鱼与社会工程

网络钓鱼是最常用的勒索软件投递方式。要建立防护措施：

• 培训员工识别钓鱼邮件、伪造的登录页面以及可疑附件。
• 实施如 DMARC、SPF 和 DKIM 之类的电子邮件身份验证标准，以阻止被伪造的域名。
• 使用沙箱技术和先进的威胁防护工具来过滤电子邮件附件和链接。
• 开展模拟钓鱼演练，以测试并强化安全意识。

端点保护

端点是勒索软件有效载荷的主要目标。要保护它们：

• 部署端点检测与响应（EDR）工具，以监控行为并实时阻止恶意活动。
• 实施应用白名单和黑名单，以防止未经授权的可执行文件运行。
• 使用入侵检测系统（IDS）和 Sysmon 配置来记录并分析可疑的系统事件。
• 集中管理并定期更新所有端点代理程序。

备份

你必须制定一套强有力的策略来备份系统和数据。这将帮助你在遭受攻击后快速恢复，并尽量减少损失。由于攻击者会尝试删除备份，你应确保备份以安全的方式存储。

• 保持离线备份或不可变（immutable）备份，确保攻击者无法对其进行更改或删除。
• 创建关键系统的金牌镜像（golden images），以便能够快速恢复。
• 针对 SaaS 和云端工作负载，使用云到云（cloud-to-cloud）备份解决方案。
• 使用身份与访问管理（IAM）系统来保护存放备份的系统，例如 MFA 和防火墙。
• 定期测试备份还原流程，确保在需要时能够正常工作。

通用加固

强化整体安全态势，以减少攻击面。

• 采用零信任架构：不论用户或设备位于何处，均必须进行验证。
• 对网络进行分段，以遏制可能在各部门或系统之间传播的勒索软件。
• 维护资产清单，以跟踪所有连接到您环境的设备、软件和服务。
• 限制管理员权限，并在所有账户上强制执行最小特权原则。

先行恶意软件与终端防护

许多勒索软件攻击会由其他恶意软件（例如 TrickBot、Emotet 或 QakBot）先行发动，这些恶意软件会为勒索软件的部署做好系统准备。组织应当：

• 使用带有启发式和行为检测功能的集中式管理杀毒软件与 EDR 解决方案。
• 实施应用程序白名单和黑名单，以阻止未经批准的脚本和可执行文件。
• 使用入侵检测系统（IDS）以及 Sysmon 配置来监控早期预警信号。
• 尽早清除恶意软件，并隔离受影响的系统，以阻止攻击进一步传播。

第三方以及托管服务提供商（MSPs）

攻击者喜欢瞄准可信的供应商和 MSP，以一次性覆盖多个客户。

• 制定合同，明确规定所有处理您数据或基础设施的第三方的安全义务。
• 为供应商应用最小特权访问，以限制他们的网络可见性。
• 要求在云环境中采用安全的云实践（SCPs），例如专用账号、加密以及多租户隔离。
• 持续监控供应商活动和访问日志，查找异常情况。

为勒索软件事件做准备

即使采取了最佳防御措施，组织也必须做好应对勒索软件事件的准备。你的准备程度决定了你能多快完成恢复。

• 制定并测试事件响应计划（IRP），明确角色分工、升级路径以及隔离处置流程。
• 制定一份内部与外部沟通计划，其中应包括对媒体和客户的通知。
• 将关键联系人和 IRP 文件的副本保存在离线介质中。这些可能包括高层管理人员、IT 团队、执法机构（例如 FBI 和 CISA），以及相关的信息共享与分析中心（Information Sharing and Analysis Centers，ISACs）。
• 了解州法、联邦法以及国际法律下的数据泄露通知要求。
• 明确网络保险与法律顾问的角色，以指导赎金决策以及事后恢复工作。

Netwrix 如何提供帮助

Netwrix 提供一套安全工具，帮助强化你的防御并提升针对勒索软件的事件响应能力。尽管 Netwrix Threat Manager 充当前线防护，但公司的其他解决方案也同样通过增强可视性、限制影响范围并实现更快的恢复来抵御勒索软件。

Netwrix Threat Manager

Threat Manager 提供实时威胁检测与自动化响应。

• 它会实时持续监控文件系统和与身份相关的活动。借助先进的威胁模型，它能够检测类似勒索软件的行为（例如大规模文件操作、可疑的 RMM 工具使用、异常的写入或删除，以及异常的加密模式）。该应用程序还会识别整个 Active Directory 中的权限提升尝试、账户异常以及可疑的身份验证，并可为混合环境与 Microsoft Entra ID 无缝集成。
• 它会触发自动化的遏制（隔离）操作，例如禁用已受损的账户、重置密码、结束活跃会话，并将账户标记为“compromised（已被入侵）”。
• 它还会生成实时告警，并通过电子邮件或移动通知进行推送。
• 它还可以通过 PowerShell 脚本、webhook 以及 SIEM/告警系统（Slack、ServiceNow、Teams）进行集成与自定义。
• Threat Manager 除了本地（on-prem）AD 环境外，还会将保护扩展到 Microsoft Entra ID。

Netwrix Threat Prevention

Threat Prevention 通过在漏洞升级为入侵之前，对 Active Directory 中可疑的更改、存在风险的身份验证事件以及关键对象的更改发出警报或进行阻止，从而增加预防层。

Netwrix Endpoint Protector

Endpoint Protector 提供终端控制并防止数据丢失。它通过阻止“僵尸”USB和其他未授权设备，并控制文件传输来监控和管理数据传输。此外，它还会强制执行加密，并且甚至可以离线工作，从而降低数据外泄风险。

Netwrix Auditor

Auditor 可跟踪并报告系统变更、用户活动以及文件修改。它让您清楚了解谁在何时执行了哪些操作，这有助于识别勒索软件活动的早期迹象，并开展事后调查。

检测、缓解与响应策略

能够快速检测并响应勒索软件攻击的组织，可以将损害程度和恢复时间降到最低。

检测

早期发现对于在勒索软件感染扩散之前阻止其蔓延至关重要。安全团队应持续监控系统和网络，以识别诸如以下的警示信号：

• 可疑的文件活动，包括批量重命名文件、加密，或删除影子副本（用于系统还原）。
• 异常的网络流量，例如数据传输出现意外的激增，或与已知的命令与控制（C2）服务器进行通信。
• 使用诸如 Mimikatz 之类的工具进行凭据转储尝试，或访问 LSASS。
• 远程监控与管理（RMM）工具的异常活动，或 Cobalt Strike 信标（beacons），这可能表明攻击者正在进行横向移动或维持驻留。

EDR、SIEM 和 Sysmon 解决方案支持主动监控，这有助于尽早发现这些指示，并触发告警以进行调查。

缓解步骤

一旦检测到勒索软件事件，安全团队必须迅速采取行动，以遏制威胁并保全证据。IT、法务和高管团队需要协同配合，以确保响应既有效又符合要求。

• 立即将受感染的系统（单台计算机、服务器等）与网络隔离，以防止进一步传播。
• 如有必要，可以将受影响的网络分段下线，以切断它们与未受破坏设备之间的通信。当你怀疑某个网络分段内的入侵已扩散到多台设备，或在无法立即识别所有受影响系统时，请执行此操作。
• 在识别并断开已感染设备后，使用反恶意软件工具移除勒索软件。待所有系统都清理干净之前不要恢复正常运营，因为隐藏的恶意软件可能会重新出现并感染更多文件。
• 当你确信网络已不含勒索软件后，运行全系统扫描，以发现可能在恢复后引发问题的任何残留恶意软件。
• 尝试定位勒索软件或恶意软件的来源。这将有助于更容易判断感染是如何传播的。询问员工是否注意到其计算机上出现任何异常行为，或是否点击了可疑电子邮件中的任何附件或链接。
• 为后续分析和调查保留取证证据，包括系统映像、内存转储以及日志文件。
• 通知相关主管机构，例如 FBI、CISA，或你所在领域的信息共享与分析中心（Information Sharing and Analysis Center，ISAC）。

响应

在遏制威胁之后，重点将转向恢复系统并防止再次发生：

• 重置所有密码，并撤销已泄露的凭据，以阻止攻击者访问。
• 修补已被利用的漏洞，并加固系统以消除安全漏洞。
• 使用“黄金镜像”（已验证无恶意软件的可信系统基线）对受影响的机器进行干净重建。
• 如果备份文件已被黑客入侵或被删除，请寻找可能的解密工具。多家机构会通过可免费使用的工具和程序提供支持，这些工具和程序有助于解密数据，具体如 Resources and government support 部分所述。
• 通过 StopRansomware.gov 或你所在行业的 ISAC 等可信平台，与更广泛的社区共享入侵指示（IOCs）。这可以帮助他人防御类似的攻击。

是否应该支付赎金？

FBI、CISA 和 NSA 强烈建议组织不要支付赎金。支付赎金会带来严重风险。

• 无法保证数据一定会被解密，也无法保证攻击者不会再次出手。
• 付款为犯罪运作提供资金，并鼓励进一步发动攻击。
• 有些勒索软件组织属于被制裁实体，这意味着付款可能会违反联邦法律并引发处罚。

与其付款，不如考虑更安全的替代方案，例如：

• 从安全备份中恢复，这些备份可离线维护，或存储在不可变存储中。
• 使用 No More Ransom 项目提供的免费解密工具。
• 联系执法机构；他们可能会在恢复过程中提供协助，或在不违反规定的情况下与攻击者进行谈判。

英国政府甚至提出了禁止支付赎金的建议。在该建议下，公共部门机构以及关键国家基础设施的运营方（包括 NHS、地方议会和学校）将被禁止满足勒索要求。

资源与政府支持

组织不必独自面对勒索软件。许多政府和行业资源都能提供协助、情报以及恢复工具。

行业特定影响

勒索软件会以不同方式影响各个领域，但其后果在各行各业中都同样严重。每个行业都面临独特的运营、财务和监管风险，这些风险可能会扰乱服务、损害声誉，并侵蚀公众信任。

Netwrix Data Classification 如何提供帮助

通过在本地和云环境中对敏感数据（医疗记录、金融信息、政府数据）进行分类和打标签，Netwrix Data Classification 使组织能够将保护和备份投入重新定向到最重要的内容上。该解决方案还可简化合规工作。它会对受法规约束的数据进行映射和标注（HIPAA、GDPR、PCI DSS），从而更容易生成报告、响应数据主体请求，并证明数据处理策略。

攻击演变与未来趋势

勒索软件攻击很可能会变得更快、更具适应性，并进一步实现自动化。由于人工智能使用不断增加、攻击扩展到云环境，以及对关键基础设施的瞄准，组织将更难检测并遏制这些攻击。通过保持对勒索软件趋势的领先，组织可以准备同样强大的防御措施来应对这一威胁。

关键统计数据与信息图表

勒索软件攻击数量和赎金要求一直在逐年上升。以下关键统计数据和图表将突出近期趋势及其带来的财务影响，为您提供一种数据驱动的视角，解释为何勒索软件仍然是各个行业组织最关注的问题之一。

• 研究表明，钓鱼（phishing）确实是一种占主导地位的攻击途径。Guardz 的 33 Phishing Attack Statistics in 2024称：2023 年发生的数据泄露中，10 起中有 9 起源于针对员工的钓鱼攻击。
• StationX 表示，网络钓鱼是投递勒索软件（ransomware）最常见的方法，导致了所有勒索软件攻击中的 45%。
• 根据 Cyberint 的报告，2023 年报告的网络安全事件中，勒索软件的责任占比超过 70%。然而 Bright Defense 提到：在 2024 年，勒索软件占报告到的恶意软件事件的 32%，表现出显著下降。
• 2024 年的平均赎金支付金额显著上升。例如，Sophos 报告称，向勒索软件支付赎金的组织，其平均赎金支付额从 2023 年的约 40 万美元上升到 2024 年的约 200 万美元，表明相较往年出现了急剧增长。不过，尽管勒索要求仍然很高，2024 年的赎金总支付额却明显下降——无论是从总价值来看，还是从支付受害者的占比来看。
• 预计到 2031 年，全球勒索软件造成的损失将达到每年 2,650 亿美元。这些估算基于广泛引用的预测：勒索成本的“价格标签”将每年增长 30%。
• 医疗行业仍然是最受攻击的行业第一名，其次是金融、政府和教育。根据 FBI 的 2024 年 Internet Crime Report ，医疗领域的网络威胁数量比其他任何关键基础设施行业都更多。报告的 444 起事件中，有 238 起是勒索软件威胁。然而，关键制造业的勒索软件事件更多，为 258 起。

展示常见攻击路径的饼图

勒索软件攻击的地理热点地区（美国、英国、欧盟、澳大利亚）

最后的思考

让我们回到什么是勒索软件攻击。勒索软件攻击的定义不仅仅反映其犯罪层面的影响，它还暗示了在数据定义权力的时代，争夺控制权的“战斗”。

无论规模或行业如何，没有任何组织能够免受这种威胁。尽管这些统计数据令人警醒，好消息是：大多数勒索软件攻击都可以预防。

对勒索软件的防护无法仅靠单一解决方案取得胜利，而是需要通过技术控制、员工意识以及主动的安全思维相结合来实现。最终，能否生存下去，不取决于谁能躲过下一次攻击，而取决于谁做好了从中恢复的准备。