勒索軟件是近兩年來影響最大，也最受關(guān)注的網(wǎng)絡(luò)安全威脅形式之一。攻擊者通過電子郵件、網(wǎng)絡(luò)滲透、蠕蟲病毒等多種形式，向受害者的電腦終端或服務(wù)器發(fā)起攻擊，加密系統(tǒng)文件并勒索贖金。

從 2016 年到 2017 年，勒索軟件呈現(xiàn)出全球性蔓延態(tài)勢，攻擊手法和病毒變種也進(jìn)一步多樣化。特別是2017 年 5 月全球爆發(fā)的永恒之藍(lán)勒索蠕蟲（WannaCry，也有譯作“想哭”病毒）和隨后在烏克蘭等地流行的 Petya 病毒，使人們對于勒索軟件的關(guān)注達(dá)到了空前的高度。在全球范圍內(nèi)，政府、教育、醫(yī)院、能源、通信、制造業(yè)等眾多關(guān)鍵信息基礎(chǔ)設(shè)施領(lǐng)域都遭受到了前所未有的重大損失。

與 WannaCry 無差別的顯性攻擊相比，針對中小企業(yè)網(wǎng)絡(luò)服務(wù)器的精準(zhǔn)攻擊則是隱性的，不為多數(shù)公眾所知，但卻也已成為 2017 年勒索軟件攻擊的另一個重要特點。統(tǒng)計顯示，在 2017 年的國內(nèi)勒索軟件的攻擊目標(biāo)中，至少有 15% 是明確針對政企機構(gòu)的，其中由以中小企業(yè)為主要目標(biāo)。相比于一般的個人電腦終端或辦公終端，服務(wù)器數(shù)據(jù)的珍貴程度和不可恢復(fù)性更強（針對服務(wù)器的滲透式勒索攻擊一般不會留下死角或備份），因此被勒索者支付贖金的意愿也相對更強。

勒索軟件的攻擊量

2017 年 1-11 月，360 互聯(lián)網(wǎng)安全中心共截獲電腦端新增勒索軟件變種 183 種，新增控制域名 238 個。全國至少有 472.5 多萬臺用戶電腦遭到了勒索軟件攻擊，平均每天約有 1.4 萬臺國內(nèi)電腦遭到勒索軟件攻擊。

值得注意的是 2017 年截獲的某些勒索病毒，如 Cerber 病毒，會向某個IP地址段進(jìn)行群呼，以尋找可能響應(yīng)的控制服務(wù)器。病毒這樣做的目的可能是為了避免其服務(wù)器被攔截。如果沒有服務(wù)器響應(yīng)群呼消息，病毒則會按照其他既定流程執(zhí)行代碼。數(shù)據(jù)顯示，共截獲新增此類 IP 地址段 51 個。

下圖給出了勒索軟件 1 月至 11 月期間每月攻擊用戶數(shù)的情況。從圖中可見，4 月攻擊高峰期時的攻擊量為 81.1 萬，一天之內(nèi)被攻擊的電腦平均可達(dá) 2.7 萬臺。11 月是第二個攻擊小高峰，一天之內(nèi)被攻擊的電腦平均可達(dá) 3.1 萬臺。

2017 年四月份發(fā)生的大規(guī)模勒索軟件攻擊，主要是因為 Shadow Brokers（影子經(jīng)紀(jì)人）組織公開了披露美國國家安全局發(fā)現(xiàn)的漏洞“永恒之藍(lán)”，雖然“WannaCry”是在五月份爆發(fā)的，但此漏洞一直都有被別的勒索軟件利用進(jìn)行攻擊。

10 月至 11 月發(fā)生的大規(guī)模勒索軟件攻擊，主要是因為在 10 月份時出現(xiàn)了一種以 .arena 為后綴的勒索軟件，11 月份時出現(xiàn)了一種以 .java 為后綴的勒索軟件。這兩款勒索軟件主要是由攻擊者通過嫻熟的手法入侵服務(wù)器后釋放勒索病毒的。以 .arena 和 .java 為后綴的勒索軟件在 10 月至 11 月流行的主要原因有三：

1）攻擊者入侵手段升級導(dǎo)致成功率大幅提高；

2）這兩款勒索軟件成功入侵了大量企業(yè)的服務(wù)器；

3）以.arena和.java為后綴的這兩款勒索軟件都屬于Crysis家族，這個家族每次更換新的私鑰都會換一個后綴（10月份是.arena后綴，11月份是.Java后綴）。新出現(xiàn)的.arena和.java替代了.wallet開始流行。

勒索軟件的家族分布

統(tǒng)計顯示，Cerber、Crysis、WannaCry 這三大勒索軟件家族的受害者最多，共占到總量的 58.4%。其中，Cerber 占比為 21.0%，Crysis 占比為 19.9%，WannaCry 占比為 17.5%，具體分布如下圖所示。

結(jié)合大數(shù)據(jù)監(jiān)測分析，下圖給出了 2017 年不同勒索軟件家族在國內(nèi)的活躍時間分析。特別需要說明的是：“類Petya”勒索病毒（該病毒說明請參考第四章的第二節(jié)介紹），雖然在國外發(fā)動了大規(guī)模的攻擊行為，產(chǎn)生了及其重要影響，但是在國內(nèi)基本就沒有傳播，所以在下圖中沒有體現(xiàn)這兩個家族。

　　勒索軟件的傳播方式

事實上，黑客為了提高勒索軟件的傳播效率，也在不斷更新攻擊方式，釣魚郵件傳播依然是黑客常用的傳播手段，服務(wù)器入侵的手法更加嫻熟運用，同時也開始利用系統(tǒng)自身的漏洞進(jìn)行傳播。今年勒索軟件主要采用以下五種傳播方式：

1）服務(wù)器入侵傳播

以Crysis家族為代表的勒索軟件主要采用此類攻擊方式。黑客首先通過弱口令、系統(tǒng)或軟件漏洞等方式獲取用戶名和密碼，再通過RDP（遠(yuǎn)程桌面協(xié)議）遠(yuǎn)程登錄服務(wù)器，一旦登錄成功，黑客就可以在服務(wù)器上為所欲為，例如：卸載服務(wù)器上的安全軟件并手動運行勒索軟件。所以，在這種攻擊方式中 ，一旦 服務(wù)器被入侵，安全軟件一般是不起作用的。

服務(wù)器能夠被成功入侵的主要原因還是管理員的帳號密碼被破解。而造成服務(wù)器帳號密碼被破解的主要原因有以下幾種：為數(shù)眾多的系統(tǒng)管理員使用弱密碼，被黑客暴力破解；還有一部分是黑客利用病毒或木馬潛伏在用戶電腦中，竊取密碼；除此之外還有就是黑客從其他渠道直接購買賬號和密碼。黑客得到系統(tǒng)管理員的用戶名和密碼后，再通過遠(yuǎn)程登錄服務(wù)器，對其進(jìn)行相應(yīng)操作。

2）利用漏洞自動傳播

今年，通過系統(tǒng)自身漏洞進(jìn)行傳播擴散成為勒索軟件的一個新的特點。上半年震動世界的WannaCry勒索病毒就是利用微軟的永恒之藍(lán)（EternalBlue）漏洞進(jìn)行傳播。黑客往往抓住很多人認(rèn)為打補丁沒用還會拖慢系統(tǒng)的錯誤認(rèn)識，從而利用剛修復(fù)不久或大家重視程度不高的漏洞進(jìn)行傳播。如果用戶未及時更新系統(tǒng)或安裝補丁，那么即便用戶未進(jìn)行任何不當(dāng)操作，也有可能在完全沒有預(yù)兆的情況下中毒。此類勒索軟件在破壞功能上與傳統(tǒng)勒索軟件無異，都是加密用戶文件勒索贖金。但因為傳播方式不同，導(dǎo)致更加難以防范，需要用戶自身提高安全意識，盡快更新有漏洞的軟件或安裝對應(yīng)的安全補丁。

3）軟件供應(yīng)鏈攻擊傳播

軟件供應(yīng)鏈攻擊是指利用軟件供應(yīng)商與最終用戶之間的信任關(guān)系，在合法軟件正常傳播和升級過程中，利用軟件供應(yīng)商的各種疏忽或漏洞，對合法軟件進(jìn)行劫持或篡改，從而繞過傳統(tǒng)安全產(chǎn)品檢查達(dá)到非法目的的攻擊類型。

2017 年爆發(fā)的 Fireball、暗云III、類Petya、異鬼II、Kuzzle、XShellGhost、CCleaner 等后門事件均屬于軟件供應(yīng)鏈攻擊。而在烏克蘭爆發(fā)的類 Petya 勒索軟件事件也是其中之一，該病毒通過稅務(wù)軟件M.E.Doc的升級包投遞到內(nèi)網(wǎng)中進(jìn)行傳播。

4）郵件附件傳播

通過偽裝成產(chǎn)品訂單詳情或圖紙等重要文檔類的釣魚郵件，在附件中夾帶含有惡意代碼的腳本文件。一旦用戶打開郵件附件，便會執(zhí)行里面的腳本，釋放勒索病毒。這類傳播方式的針對性較強，主要瞄準(zhǔn)公司企業(yè)、各類單位和院校，他們最大的特點是電腦中的文檔往往不是個人文檔，而是公司文檔。最終目的是給公司業(yè)務(wù)的運轉(zhuǎn)制造破壞，迫使公司為了止損而不得不交付贖金。

5）利用掛馬網(wǎng)頁傳播

通過入侵主流網(wǎng)站的服務(wù)器，在正常網(wǎng)頁中植入木馬，讓訪問者在瀏覽網(wǎng)頁時利用IE或Flash等軟件漏洞進(jìn)行攻擊。這類勒索軟件屬于撒網(wǎng)抓魚式的傳播，并沒有特定的針對性，一般中招的受害者多數(shù)為裸奔用戶，未安裝任何殺毒軟件。

勒索軟件攻擊的地域

監(jiān)測顯示，遭遇勒索軟件攻擊的國內(nèi)電腦用戶遍布全國所有省份。其中，廣東占比最高，為14.9%，其次是浙江8.2%，江蘇7.7%。排名前十省份占國內(nèi)所有被攻擊總量的64.1%。

　　2017年勒索軟件攻擊地域分布如下圖所示。

　　勒索軟件服務(wù)器分布

針對最為活躍的部分勒索軟件的 C2 服務(wù)器域名后綴的歸屬地進(jìn)行分析，結(jié)果顯示：.com 域名被使用的最多，約為總量的一半，為 48.7%，.net 和 .org占比分別為 3.8% 和 1.7%。此外，屬于歐洲國家的域名最多，占 31.9%，其次是亞洲國家 4.6%，南美洲國家 1.7%，大洋洲國家 1.7%，北美洲國家 1.3%。

特別值得注意的是，主流的大勒索家族都不再使用 C2 服務(wù)器加密技術(shù)了，但還是有很多小眾勒索家族在使用 C2 服務(wù)器的加密技術(shù)。

　　勒索軟件攻擊的行業(yè)

通過不同行業(yè)政企機構(gòu)遭受勒索軟件攻擊的情況分析顯示，能源行業(yè)是遭受攻擊最多的行業(yè)，占比為42.1%，其次為醫(yī)療行業(yè)為22.8%，金融行業(yè)為17.8%，具體分布如下圖所示。需要說明的是，遭到攻擊多不代表被感染的設(shè)備多。攻擊量是通過企業(yè)級終端安全軟件的監(jiān)測獲得的。

上圖顯示能源、醫(yī)療衛(wèi)生、金融是遭受勒索軟件攻擊最多的三個行業(yè)，那么究竟是哪些家族對這三個行業(yè)發(fā)動的攻擊呢？下表分別給出了每個行業(yè)遭受勒索軟件攻擊最多的前五個家族，具體如下表所示?？梢钥闯?，針對不同行業(yè)，攻擊者者所使用的勒索軟件類型是有很大區(qū)別的。

　　▲能源、醫(yī)療衛(wèi)生、金融行業(yè)遭受勒索攻擊的家族TOP5

勒索軟件的攻擊特點

如果說，掛馬攻擊是2016年勒索軟件攻擊的一大特點，那么2017年，勒索軟件的攻擊則呈現(xiàn)出以下六個明顯的特點：無C2服務(wù)器加密技術(shù)流行、攻擊目標(biāo)轉(zhuǎn)向政企機構(gòu)、攻擊目的開始多樣化、勒索軟件平臺化運營、影響大的家族贖金相對少、境外攻擊者多于境內(nèi)攻擊者。

(一)無C2服務(wù)器加密技術(shù)流行

2017年，我們發(fā)現(xiàn)黑客在對文件加密的過程中，一般不再使用C2服務(wù)器了，也就是說現(xiàn)在的勒索軟件加密過程中不需要回傳私鑰了。

這種技術(shù)的加密過程大致如下：

1）在加密前隨機生成新的加密密鑰對（非對稱公、私鑰）

2）使用該新生成新的公鑰對文件進(jìn)行加密

3）把新生成的私鑰采用黑客預(yù)埋的公鑰進(jìn)行加密保存在一個ID文件或嵌入在加密文件里

解密過程大致如下：

1）通過郵件或在線提交的方式，提交ID串或加密文件里的加密私鑰（該私鑰一般黑客會提供工具提?。?；

2）黑客使用保留的預(yù)埋公鑰對應(yīng)的私鑰解密受害者提交過來的私鑰；

3）把解密私鑰或解密工具交付給受害者進(jìn)行解密。

通過以上過程可以實現(xiàn)每個受害者的解密私鑰都不相同，同時可以避免聯(lián)網(wǎng)回傳私鑰。這也就意味著不需要聯(lián)網(wǎng)，勒索病毒也可以對終端完成加密，甚至是在隔離網(wǎng)環(huán)境下，依然可以對文件和數(shù)據(jù)進(jìn)行加密。顯然 ，這種技術(shù)是針對采用了各種隔離措施的政企機構(gòu)所設(shè)計的。

(二)攻擊目標(biāo)轉(zhuǎn)向政企機構(gòu)

2017年，勒索軟件的攻擊進(jìn)一步聚焦在高利潤目標(biāo)上，其中包括高凈值個人、連接設(shè)備和企業(yè)服務(wù)器。特別是針對中小企業(yè)網(wǎng)絡(luò)服務(wù)器的攻擊急劇增長，已經(jīng)成為2017年勒索軟件攻擊的一大鮮明特征。據(jù)不完全統(tǒng)計，2017年，約15%的勒索軟件攻擊是針對中小企業(yè)服務(wù)器發(fā)起的定向攻擊，尤以Crysis、xtbl、wallet、arena、Cobra等家族為代表。

客觀的說，中小企業(yè)往往安全架構(gòu)單一，相對容易被攻破。同時，勒索軟件以企業(yè)服務(wù)器為攻擊目標(biāo)，往往也更容易獲得高額贖金。例如：針對Linux服務(wù)器的勒索軟件Rrebus，雖然名氣不大，卻輕松從韓國Web托管公司Nayana收取了100萬美元贖金，是震驚全球的永恒之藍(lán)全部收入的7倍之多。Nayana所以屈服，是因為超150臺服務(wù)器受到攻擊，上面托管著3400多家中小企業(yè)客戶的站點。這款勒索病毒的覆蓋面有限，韓國幾乎是唯一的重災(zāi)區(qū)。

(三) 針對關(guān)鍵信息基礎(chǔ)設(shè)施的攻擊

以WannaCry、類Petya為代表的勒索軟件，則是將關(guān)鍵信息基礎(chǔ)設(shè)施作為了主要攻擊目標(biāo)，這在以往是從未出現(xiàn)過的嚴(yán)峻情況。關(guān)鍵基礎(chǔ)設(shè)施為社會生產(chǎn)和居民生活提供公共服務(wù)，保證國家或地區(qū)社會經(jīng)濟活動正常進(jìn)行，其一旦被攻擊將嚴(yán)重影響人們的日常生活，危害巨大。

(四)攻擊目的開始多樣化

顧名思義，勒索軟件自然就是要勒索錢財。但這種傳統(tǒng)認(rèn)知已經(jīng)在2017年被打破。以網(wǎng)絡(luò)破壞、組織破壞為目的的勒索軟件已經(jīng)出現(xiàn)并開始流行。其中最為典型的代表就是類Petya。與大多數(shù)勒索軟件攻擊不同，類Petya的代碼不是為了向受害者勒索金錢，而是要摧毀一切。類Petya病毒的主要攻擊目的就是為了破壞數(shù)據(jù)而不是獲得金錢。此外，以Spora為代表的竊密型勒索軟件在加密用戶文檔時，還會竊取用戶賬號密碼和鍵盤輸入等信息，屬于功能復(fù)合型勒索軟件。

這些不僅以“勒索”為目的的“勒索軟件”，實際上只是結(jié)合了傳統(tǒng)勒索軟件對文件進(jìn)行加密的技術(shù)方法來實現(xiàn)其數(shù)據(jù)破壞、信息竊取等其他攻擊目的。相比于勒索金錢，這種攻擊將給對手帶來更大的破壞和更大的威脅。這不僅會引發(fā)網(wǎng)絡(luò)犯罪“商業(yè)模式”的新變種，而且會反過來刺激網(wǎng)絡(luò)保險市場的進(jìn)一步擴張。

(五)勒索軟件平臺化運營

2017年，勒索軟件已經(jīng)不再是黑客單打獨斗的產(chǎn)物，而是做成平臺化的上市服務(wù)，形成了一個完整的產(chǎn)業(yè)鏈條。在勒索軟件服務(wù)平臺上，勒索軟件的核心技術(shù)已經(jīng)直接打包封裝好了，小黑客直接購買調(diào)用其服務(wù)，即可得到一個完整的勒索軟件。這種勒索軟件的生成模式我們稱其為RaaS服務(wù)，而黑市中一般用“Satan Ransomware（撒旦勒索軟件）”來指代由RaaS服務(wù)生成的勒索軟件。

RaaS服務(wù)允許任何犯罪者注冊一個帳戶，并創(chuàng)建自己定制版本的撒旦勒索軟件。一旦勒索軟件被創(chuàng)建，那么犯罪分子將決定如何分發(fā)勒索軟件，而RaaS服務(wù)平臺將處理贖金支付和增加新功能。對于這項服務(wù)，RaaS服務(wù)平臺的開發(fā)者將收取受害者所支付贖金的30％，購買RaaS服務(wù)者將獲取剩余70％的贖金。

(六)境外攻擊者多于境內(nèi)攻擊者

2017年，勒索軟件的攻擊源頭以境外為主。絕大多數(shù)的勒索軟件攻擊者基本都是境外攻擊者，國內(nèi)攻擊者較少，而且國內(nèi)攻擊者技術(shù)水平也相對較低，制作水平也不高。有些國內(nèi)攻擊者編寫的勒索軟件程序甚至存在很多漏洞，因此也比較容易被破解。比如：MCR勒索病毒，我們可以直接獲取到密鑰從而恢復(fù)文件。

恢復(fù)感染文件的方法

感染勒索軟件后，對于用戶來說，最重要的是能否恢復(fù)被加密的文件。目前來看，成功支付贖金的受害者都成功的恢復(fù)了被加密的文件?？梢?，目前勒索軟件攻擊者的“信用”還是不錯的。此外，由于目前仍有相當(dāng)一部分的勒索軟件并未規(guī)范使用加密算法，對文件進(jìn)行加密，所以，對于感染了此類勒索軟件的用戶來說，即便不支付贖金，也可以通過專業(yè)安全機構(gòu)提供的一些解密工具對文件進(jìn)行解密。還有一些用戶提前對重要文件進(jìn)行了備份，所以也最終成功恢復(fù)了文件。

總體來看，在接受調(diào)研的受害者中，有11.5%的受害者最終成功恢復(fù)了文件，另外88.5%的受害者沒有恢復(fù)文件。在受害者恢復(fù)文件的方式中，30.8%的受害者是通過支付贖金恢復(fù)的文件，25.0%的受害者是通過歷史備份（如云盤、移動硬盤等）恢復(fù)的文件，23.1%的受害者是通過解密工具恢復(fù)文件的，21.2%的受害者是通過專業(yè)人士破解恢復(fù)文件的。

用戶電腦感染勒索軟件后，需要進(jìn)行及時的清除。但不同的人也會選擇不同的方法進(jìn)行清除。抽樣調(diào)查結(jié)果顯示：38.9%的受害者通過重裝系統(tǒng)清除了病毒，18.1% 的受害者通過安裝安全軟件查殺掉病毒，6.0% 的受害者直接刪除中毒文件。

特別值得注意的是，有 36.9% 的受害者在知道自己電腦已經(jīng)感染勒索軟件后，沒有采取任何措施清除病毒。這是十分危險的，因為盡管目前已知的絕大多數(shù)勒索軟件的攻擊都是“一次性”的，但也有一部分病毒會帶有諸如“下載者”這樣的病毒成分，不及時處理，電腦就有可能會持續(xù)不斷的遭到更多的木馬病毒的侵害。

另外，研究發(fā)現(xiàn)，受害者選擇采用何種方式清除病毒，與用戶是否支付了贖金沒有關(guān)系。

還有一點特別值得注意。在我們協(xié)助受害者進(jìn)行電腦檢測時發(fā)現(xiàn)，有相當(dāng)數(shù)量的受害者在感染勒索軟件時，并未安裝任何安全軟件。

調(diào)查中還發(fā)現(xiàn)，對于沒有安裝安全軟件的受害者，在感染勒索軟件后會首先下載并安裝安全軟件進(jìn)行病毒查殺。但是，這種操作是存在一定的風(fēng)險性的。如果受害者自行清除病毒，可能會同時刪除掉被加密的文件和本地保留的密鑰文件，造成文檔無法解密。

---正經(jīng)建議的分割線---

一、 個人用戶安全建議

養(yǎng)成良好的安全習(xí)慣

1） 電腦應(yīng)當(dāng)安裝具有云防護和主動防御功能的安全軟件，不隨意退出安全軟件或關(guān)閉防護功能，對安全軟件提示的各類風(fēng)險行為不要輕易放行。

2） 使用安全軟件的第三方打補丁功能對系統(tǒng)進(jìn)行漏洞管理，第一時間給操作系統(tǒng)和IE、Flash等常用軟件打好補丁，以免病毒利用漏洞自動入侵電腦。

3） 盡量使用安全瀏覽器，減少遭遇掛馬攻擊的風(fēng)險。

4） 重要文檔數(shù)據(jù)應(yīng)經(jīng)常做備份，一旦文件損壞或丟失，也可以及時找回。

減少危險的上網(wǎng)操作

5） 不要瀏覽來路不明的色情、賭博等不良信息網(wǎng)站，這些網(wǎng)站經(jīng)常被用于發(fā)動掛馬、釣魚攻擊。

6） 不要輕易打開陌生人發(fā)來的郵件附件或郵件正文中的網(wǎng)址鏈接。

7） 不要輕易打開后綴名為js 、vbs、wsf、bat等腳本文件和exe、scr等可執(zhí)行程序，對于陌生人發(fā)來的壓縮文件包，更應(yīng)提高警惕，應(yīng)先掃毒后打開。

8） 電腦連接移動存儲設(shè)備，如U盤、移動硬盤等，應(yīng)首先使用安全軟件檢測其安全性。

9） 對于安全性不確定的文件，可以選擇在安全軟件的沙箱功能中打開運行，從而避免木馬對實際系統(tǒng)的破壞。

二、 企業(yè)用戶安全建議

1）提升新興威脅對抗能力

傳統(tǒng)基于合規(guī)的防御體系對于勒索軟件等新興威脅的發(fā)現(xiàn)、檢測和處理已經(jīng)呈現(xiàn)出力不從心的狀態(tài)。而通過對抗式演習(xí)，從安全的技術(shù)、管理和運營等多個維度出發(fā)，對企業(yè)的互聯(lián)網(wǎng)邊界、防御體系及安全運營制度等多方面進(jìn)行仿真檢驗，可以持續(xù)提升企業(yè)對抗新興威脅的能力。

2）及時給辦公終端和服務(wù)器打補丁修復(fù)漏洞，包括操作系統(tǒng)以及第三方應(yīng)用的補丁。

3）如果沒有使用的必要，應(yīng)盡量關(guān)閉不必要的常見網(wǎng)絡(luò)端口，比如：445、3389等。

4）企業(yè)用戶應(yīng)采用足夠復(fù)雜的登錄密碼登陸辦公系統(tǒng)或服務(wù)器，并定期更換密碼。

5）對重要數(shù)據(jù)和文件及時進(jìn)行備份。

6）提高安全運維人員職業(yè)素養(yǎng)，除工作電腦需要定期進(jìn)行木馬病毒查殺外，如有遠(yuǎn)程家中辦公電腦也需要定期進(jìn)行病毒木馬查殺。