是什么

勒索软件（Ransomware）：恶意软件加密受害者的文件（或锁定系统），然后索要赎金以换取解密密钥。

演变

早期：简单的屏幕锁定，吓唬用户，往往可以绕过。

现代：

  • 用强密码学加密文件（通常无法破解）；
  • 双重勒索：不只加密，还窃取数据，威胁不付钱就公开泄露；
  • 三重勒索：加上 DDoS 攻击或骚扰受害者客户；
  • RaaS（勒索软件即服务）：开发者提供工具，攻击者（affiliate）租用并分成——这大幅降低了攻击门槛。

典型入侵路径

一、钓鱼邮件（最常见入口之一）

带恶意附件或链接的邮件。

二、暴露在公网的远程服务

  • RDP（远程桌面）暴力破解或利用漏洞；
  • VPN 设备的已知漏洞；
  • 未修补的服务器软件。

三、供应链攻击

通过受信任的软件更新渠道传播（前文提到过 xz 后门一类的风险）。

四、被盗的凭据

从其他泄露事件中获得，或从初始访问经纪人（Initial Access Broker）手中购买。

防御

一、备份（最关键）

这是唯一"保证"能恢复的手段——因为攻击者可能不给你解密密钥（即使你付了钱）。

3-2-1 原则（前文提到过）：

  • 3 份副本；
  • 2 种不同介质；
  • 1 份异地/离线。

关键：离线备份（Offline / Immutable Backup）

现代勒索软件会主动寻找并加密/删除备份——包括网络附加存储（NAS）和云同步的备份。

因此必须有：

  • 物理隔离的备份（如离线硬盘，备份完成后断开连接）；
  • 或不可变（Immutable）存储——写入后在一定时间内无法修改或删除（如对象存储的版本控制和 WORM 特性、或具备 immutability 的备份产品）；
  • 云备份要启用版本控制和多因素认证删除保护。

并且：定期测试恢复！ 未经验证的备份形同虚设。

二、减少攻击面

  • 关闭不必要的端口和服务；
  • 不要直接把 RDP 暴露到公网（如必须用，配 VPN + 强认证）；
  • 及时打补丁（尤其是面向互联网的系统）；
  • 多因素认证；
  • 最小权限（限制横向移动）。

三、端点防护

  • EDR（端点检测与响应）：不只靠特征库，还做行为检测（如发现进程在批量加密文件，自动阻断并隔离）；
  • 保持系统和杀毒软件更新；
  • 应用白名单（在管控严格的环境中）。

四、网络安全

  • 网络分段（限制横向移动）；
  • 出站流量监控（检测与 C2 服务器的通信、大量数据外传）；
  • 邮件安全网关（拦截钓鱼邮件和恶意附件）；
  • 禁用 Office 宏（或只允许签名宏）——这是常见的初始入口。

五、人员培训

识别钓鱼邮件——因为这是最常见的入口。

六、应急响应预案

  • 知道发生勒索事件后联系谁；
  • 有隔离和恢复的流程；
  • 提前演练。

该不该付赎金

官方建议（包括 FBI 等执法机构）通常是不支付，理由：

  • 支付不能保证拿到解密密钥；
  • 支付会资助犯罪活动，鼓励更多攻击；
  • 可能被盯上，遭遇再次攻击。

但现实很复杂：对于医院、关键基础设施这类机构，停机的代价可能是生命——有时会被迫支付。

决策应该基于：备份的可用性、停机成本、数据泄露的影响，并咨询法律和 incident response 专家。

一个现实提醒

备份的价值，在事件发生前是看不见的。

很多组织在遭遇勒索攻击后才意识到备份不完整或无法恢复——那时已经晚了。

说明：本文为安全领域的知识整理。