勒索软件攻击事件_在遭遇勒索软件攻击时

导航：

• 1、国家网信办是如何回应勒索软件在国内大肆传播的？
• 2、勒索软件袭击多国计算机是怎么回事?
• 3、警惕！ “勒索”病毒大爆发，攻击仍在持续！是真的吗？
• 4、勒索病毒的攻击过程是怎样的？
• 5、5月15日爆发什么电脑病毒
• 6、专家揭＂勒索病毒＂真面目今日或再迎病毒传染高峰是怎么回事？

国家网信办是如何回应勒索软件在国内大肆传播的？

根据报道， 5月15日，中央网信办网络安全协调局负责人就“蠕虫”式勒索软件攻击事件回应称，该勒索软件还在传播，但传播速度已经明显放缓。

据该负责人介绍，5月12日起，一款勒索软件在全球较大范围内传播，感染了包括医院、教育、能源、通信、制造业等以及政府部门在内的多个领域，我国一些行业和政府部门的计算机也受到感染，造成了一定影响。

事件发生后，公安、工信、教育、银行、网信等有关部门都立即做了部署，对防范工作提出了要求。几天来应对该勒索软件的实践表明，对广大用户而言最有效的应对措施是要安装安全防护软件，及时升级安全补丁，即使是与互联网不直接相连的内网计算机也应考虑安装和升级安全补丁。作为单位的系统管理技术人员，还可以采取关闭该勒索软件使用的端口和网络服务等措施。

该负责人还建议，各方面都要高度重视网络安全问题，及时安装安全防护软件，及时升级操作系统和各种应用的安全补丁，设置高安全强度口令并定期更换，不要下载安装来路不明的应用软件，对特别重要的数据采取备份措施等。

勒索软件袭击多国计算机是怎么回事?

5月14日报道 外媒称，总部位于俄罗斯的网络安全公司卡巴斯基实验室12日说，多达74个国家日前受到一款勒索软件的大规模快速攻击，这款软件会锁住计算机并勒索相当于300美元的数字赎金。

索要数字赎金

据美国《洛杉矶时报》网站5月12日报道，这波攻击已经令英国的十余家医院、西班牙最大的电信公司、意大利的若干所大学以及美国联邦快递公司的一些计算机陷入瘫痪。每台受感染计算机都被要求用比特币——一种难以追查的数字货币——支付赎金。

受感染计算机的屏幕上会显示要求使用者在3天内支付赎金的字样。3天后，赎金会加倍。这款软件还威胁说，如果不支付赎金，计算机内的文件7天后将被删除。

这款名为WanaCrypt的勒索软件至少从今年2月起就开始被犯罪分子使用。一直在跟踪这波快速攻击的捷克安全公司阿瓦斯特软件公司说，这款软件的界面至少包括28种语言，其中包括保加利亚语和越南语。

攻击范围广泛

据路透社5月12日报道，一场全球网络攻击12日袭击了国际承运商联邦快递公司，中断了英国医疗系统的服务并感染了近100个国家的计算机系统。

研究人员普遍认为，此次网络攻击所利用的是美国国家安全局开发的黑客工具。

网络敲诈者诱骗受害者打开附在看似包含发票、工作录用、安全提示及其他合法文件等垃圾邮件后的恶意软件。

这种勒索软件对受到感染的计算机数据进行加密，要求用户支付300至600美元才能恢复登录。

网络安全研究人员说，他们发现部分受害者用数字货币比特币进行了支付，还不清楚有多少人屈服于勒索者。

捷克网络安全软件制造商阿瓦斯特软件公司的研究人员说，他们已发现全球有99个国家和地区的5.7万台计算机受到了袭击，其中受害范围最大的是俄罗斯和乌克兰。

最具破坏性的攻击发生在英国：由于医院和诊所无法登录电脑，因此不得不将患者拒之门外。国际承运商联邦快递公司说，公司部分使用“视窗”系统的计算机受到了攻击。

网络安全软件制造商赛门铁克公司调研经理维克拉姆·塔库尔说，尽管如此，由于黑客是从欧洲开始进行网络攻击的，所以设在美国的机构只有少数受到了影响。

塔库尔说，等黑客开始把注意力转向美国时，垃圾邮件过滤器已发现了这个新的威胁，并将负载恶意软件的邮件标记为恶意邮件。

窃取间谍“工具”

私人安全公司确认这种勒索软件是WannaCry病毒的新变体，它可以利用微软“视窗”操作系统中一个已知病毒，自动在大型网络中进行传播。

网络安全公司“众击”网络安全服务公司的研究人员亚当·迈耶斯说：“一旦进入，它就开始在系统中移动且无法阻止。”

若干私人网络安全公司的研究人员说，尚未宣称此事为其所干或是已被确认身份的黑客，很可能利用了美国国家安全局一种叫做“永恒之蓝”的密码，把它变成一种“蠕虫”病毒，或是自行传播的恶意软件。上月，“影子经纪人”组织公布了“永恒之蓝”密码。

Splunk公司威胁研究处主任里奇·巴杰说：“这是网络界遇到的一次最大规模的全球勒索软件袭击。”

“影子经纪人”组织公布“永恒之蓝”属于黑客工具宝库，他们说这是美国国家安全局开发的。

微软公司今天说，它即将推出“视窗”操作系统自动更新，防止用户受到病毒的侵害。微软公司3月14日曾发行了系统补丁，防止操作系统受到“永恒之蓝”的入侵。

俄罗斯又“躺枪”

据美国《纽约时报》网站5月13日报道，计算机安全专家正努力遏制波及全球的新一轮网络攻击的影响。网络病毒这次要求用户支付赎金，否则消除计算机里的数据。

俄罗斯、中国、印度等发展中国家遭受了严重打击，突出反映了非法软件的问题。因为盗版软件往往更容易沦为恶意软件的侵害对象。不过，这次就连正版软件的用户都未能幸免。如果没有安装近日发布的一个安全更新，正版用户同样容易遭到攻击。这说明全球网络太容易受到黑客与投机分子的影响。

另据英国《每日电讯报》网站5月12日报道，一个可能与俄罗斯有关的网络团伙被指与全世界范围内的电脑安全漏洞有关，他们或许是为了报复美国在叙利亚的空袭行动。

这个被称为“影子经纪人”的神秘组织4月曾声称，它从美国一个间谍机构窃取了一种“网络武器”，利用这一武器可以前所未有地进入使用微软“视窗”系统的所有电脑。

就在特朗普总统下令轰炸叙利亚一周后，这个组织于4月14日在一个不知名的网站上“丢弃了”这个电脑病毒。

一些专家认为，这个时机非常重要，并暗示“影子经纪人”与俄罗斯政府有瓜葛。

警惕！ “勒索”病毒大爆发，攻击仍在持续！是真的吗？

具体情况

病毒类型： 敲诈者病毒

勒索软件攻击模式：

漏洞攻击包、水坑式攻击、恶意广告，或者大规模的网络钓鱼活动。

感染方式：

邮件、网页、flash播放等。

病毒危害：

一旦勒索病毒发动攻击，并攻击成功，损失几乎无法阻挡。被感染病毒电脑中的文件被加密为sage文件，需支付上万元赎金才能恢复数据，然而也可能会有支付完赎金被骗的情况发生。

解决方式： 目前并无有效的解决办法，只能重装系统，但受感染的文件无法恢复。

应对方法：

1.数据备份和恢复措施是发生被勒索事件挽回损失的重要工作。建议各位老师及时对重要文件数据做好异地备份或云备份，以防感染病毒造成损失。

2.确保所使用电脑防火墙处于打开状态。

3.不要轻易打开不明邮件或链接。

勒索病毒的攻击过程是怎样的？

勒索病毒工作原理：

勒索病毒是黑客通过锁屏、加密等方式劫持用户设备或文件，并以此敲诈用户钱财的恶意软件。黑客利用系统漏洞或通过网络钓鱼等方式，向受害电脑或服务器植入病毒，加密硬盘上的文档乃至整个硬盘，然后向受害者索要数额不等的赎金后才予以解密，如果用户未在指定时间缴纳黑客要求的金额，被锁文件将无法恢复。

1、针对个人用户常见的攻击方式

通过用户浏览网页下载勒索病毒，攻击者将病毒伪装为盗版软件、外挂软件、色情播放器等，诱导受害者下载运行病毒，运行后加密受害者机器。此外勒索病毒也会通过钓鱼邮件和系统漏洞进行传播。针对个人用户的攻击流程如下图所示：

攻击流程

2、针对企业用户常见的攻击方式

勒苏病毒针对企业用户常见的攻击方式包括系统漏洞攻击、远程访问弱口令攻击、钓鱼邮件攻击、web服务漏洞和弱口令攻击、数据库漏洞和弱口令攻击等。其中，钓鱼邮件攻击包括通过漏洞下载运行病毒、通过office机制下载运行病毒、伪装office、PDF图标的exe程序等。

1）系统漏洞攻击

系统漏洞是指操作系统在逻辑设计上的缺陷或错误，不法者通过网络植入木马、病毒等方式来攻击或控制整个电脑，窃取电脑中的重要资料和信息，甚至破坏系统。同个人用户一样，企业用户也会受到系统漏洞攻击，由于企业局域网中机器众多，更新补丁费时费力，有时还需要中断业务，因此企业用户不太及时更新补丁，给系统造成严重的威胁，攻击者可以通过漏洞植入病毒，并迅速传播。席卷全球的Wannacry勒索病毒就是利用了永恒之蓝漏洞在网络中迅速传播。

攻击者利用系统漏洞主要有以下两种方式，一种是通过系统漏洞扫描互联网中的机器，发送漏洞攻击数据包，入侵机器植入后门，然后上传运行勒索病毒。

通过系统漏洞扫描网络中的计算机

另外一种是通过钓鱼邮件、弱口令等其他方式，入侵连接了互联网的一台机器，然后再利用漏洞局域网横向传播。大部分企业的网络无法做到绝对的隔离， 一台连接了外网的机器被入侵，内网中存在漏洞的机器也将受到影响。

入侵一台机器后再通过漏洞局域网横向传

网上有大量的漏洞攻击工具，尤其是武器级别的NSA方程式组织工具的泄露，给网络安全造成了巨大的影响，被广泛用于传播勒索病毒、挖矿病毒、木马等。有攻击者将这些工具，封装为图形化一键自动攻击工具，进一步降低了攻击的门槛。

2）远程访问弱口令攻击

由于企业机器很多需要远程维护，所以很多机器都开启了远程访问功能。如果密码过于简单，就会给攻击者可乘之机。很多用户存在侥幸心理，总觉得网络上的机器这么多，自己被攻击的概率很低，然而事实上，在全世界范围内，成千上万的攻击者不停的使用工具扫描网络中存在弱口令的机器。有的机器由于存在弱口令，被不同的攻击者攻击，植入了多种病毒。这个病毒还没删除，又中了新病毒，导致机器卡顿，文件被加密。

通过弱口令攻击和漏洞攻击类似，只不过通过弱口令攻击使用的是暴力破解，尝试字典中的账号密码来扫描互联网中的设备。

弱口令扫描网络中的计算机

通过弱口令攻击还有另一种方式，一台连接外网的机器被入侵，通过弱口令攻击内网中的机器。

入侵一台机器再弱口令爆破局域网机器横

3）钓鱼邮件攻击

企业用户也会受到钓鱼邮件攻击，相对个人用户，由于企业用户使用邮件频率较高，业务需要不得不打开很多邮件，而一旦打开的附件中含有病毒，就会导致企业整个网络遭受攻击。钓鱼邮件攻击逻辑图：

钓鱼邮件攻击逻辑

文章转载至：2018勒索病毒全面分析报告

5月15日爆发什么电脑病毒

中招“想哭”病毒 全球近百国家想哭

2017-05-14 08:01南京日报评论（0人参与）

A-A+

12日，全球99个国家和地区发生超过7.5万起电脑病毒攻击事件，罪魁祸首是一个名为“想哭”（WannaCry）的勒索软件。俄罗斯、英国、中国、乌克兰等国“中招”，其中英国医疗系统陷入瘫痪、大量病人无法就医。

这款病毒源自上月遭泄密的美国国家安全局病毒武器库。不少网络专家和电脑安全公司批评，美国网络项目开支的90%用于研发黑客攻击武器，一旦该“武器库”遭泄密，势必殃及全球。

据捷克网络安全企业爱维士公司统计，全球99个国家和地区12日共遭遇超过7.5万次电脑病毒攻击，其中俄罗斯、乌克兰等国遇袭尤其严重。

这款病毒名为“想哭”，属于一种勒索软件。电脑用户会收到一封电子邮件，往往是打着工作邀约、发货清单、安全警告等“幌子”，但一旦打开相关链接，就会导致电脑中招。

该勒索软件随即会对电脑储存的文件进行加密，使用户无法打开。电脑屏幕上弹出警告语：“你或许会试图夺回文件，还是别浪费时间了！”

接着，电脑提示用户在规定期限内支付300美元赎金，便可恢复电脑资料；每耽搁数小时，赎金额度就会上涨一些，最高涨至600美元。

据俄罗斯卡巴斯基实验室研究员库尔特·鲍姆加特纳观察：“在支付赎金的用户中，多数人在最初几小时内就乖乖掏出300美元。”

据Splunk网络安全公司主管里奇·巴杰描述，“这是全球迄今最大的勒索软件攻击事件之一”。

卡巴斯基全球研究和分析团队表示，俄罗斯所受攻击远远超过其他受害者，而中国大陆和台湾地区也受到较多攻击。

目前，尚未有黑客组织认领这次袭击。但业界人士的共识是，这款“想哭”病毒来源于美国国安局的病毒武器库。上个月，美国国安局遭遇泄密事件，其研发的病毒武器库被曝光于网上。

因事态严重，美国微软公司当日宣布采取非同寻常的安防措施，针对攻击所利用的“视窗”操作系统漏洞，为一些它已停止服务的“视窗”平台提供补丁。

微软安全响应中心在官方博客中就这次网络攻击公布客户指南说，微软正在采取所有可能的行动保护客户。微软表示，它已在3月发布了安全补丁，修复上述漏洞。运行了这一补丁的用户可免受利用该漏洞的网络攻击。尚未安装这一补丁的用户应立即行动。对于使用“视窗”所附杀毒软件Windows Defender的用户，微软在12日早些时候发布了一个针对这次网络攻击的安全补丁。

微软说，有些用户还在使用微软已不再提供技术支持的“视窗”版本，这意味着这些用户不能获取微软在3月发布的补丁。鉴于用户可能受到的潜在影响，微软决定向这些“视窗”平台提供3月发布的补丁，包括“视窗XP”、“视窗8”和“视窗”服务器2003在内的用户可下载这款补丁。

专家揭＂勒索病毒＂真面目今日或再迎病毒传染高峰是怎么回事？

12号，全球近百个国家和地区遭受到一种勒索软件的攻击，有网络安全公司表示，目前全球至少发生了约7万5千起此类网络攻击事件。事件发生后，受波及的多国采取应对措施，欧洲刑警组织也对“幕后黑手”展开调查。

13号，欧洲刑警组织在其官网上发布消息称，欧洲刑警组织已经成立网络安全专家小组，对发动本轮网络攻击的“幕后黑手”展开调查。此外，欧洲刑警组织还开始与受影响国家的相关机构展开紧密合作，共同应对网络攻击威胁，并向受害者提供帮助。

据报道，电脑被这种勒索软件感染后，其中文件会被加密锁住，支付攻击者所要求的赎金后才能解密恢复。网络安全专家说，这种勒索软件利用了“视窗”操作系统的一个名为“永恒之蓝”的漏洞。

微软发布相关漏洞补丁

美国微软公司12号宣布针对攻击所利用的“视窗”操作系统漏洞，为一些它已停止服务的“视窗”平台提供补丁。

英全民医疗体系电脑系统恢复正常

在本轮网络攻击中，英国NHS，也就是全民医疗体系旗下多家医疗机构的电脑系统瘫痪。目前，除了其中6家外，其余约97%已经恢复正常。英国首相特雷莎·梅13号发表讲话，称英国国家网络安全中心正在与所有受攻击的机构合作调查。

事实上，这次大规模的网络攻击并不仅限于英国。当地时间12号，俄罗斯内政部表示，内政部约1000台电脑遭黑客攻击，但电脑系统中的信息并未遭到泄露。同样遭到攻击的美国联邦快递集团表示，部分使用Windows操作系统的电脑遭到了攻击，目前正在尽快补救。西班牙国家情报中心也证实，西班牙多家公司遭受了大规模的网络黑客攻击。电信业巨头西班牙电信总部的多台电脑陷入瘫痪。

研究人员：全球损失不可估量

美国著名软件公司赛门铁克公司研究人员13号预计，此次网络攻击事件，全球损失不可估量。

赛门铁克公司研究人员表示，修复漏洞中最昂贵的部分是清空每台受攻击的电脑或服务器的恶意软件，并将数据重新加密。单单此项内容就将花费高达数千万美元。

据路透社报道，软件公司关于修复漏洞的高额损失并没有包含受影响的企业所遭受的损失。

我国相关部门采取防范措施

由于这个勒索蠕虫病毒的发展速度迅猛，不仅在世界范围内造成了极大的危害，对我国的很多行业网络也造成极大影响，目前已知遭受攻击的行业包括教育、石油、交通、公安等，针对这个情况，公安部网安局正在协调我国各家网络信息安全企业对这个勒索蠕虫病毒进行预防和查杀。

据公安部网安局专家介绍，虽然目前国内部分网络运营商已经采取了防范措施，但是在一些行业内网中依然存在大量漏洞，并成为攻击目标，而一旦这些行业内部的关键服务器系统遭到攻击，从而将会带来很严重的损失。

公安部网络安全保卫局总工程师 郭启全：因为它是在互联网上传播，互联网是连通的，所以它是全球性的。有些部门的内网本来是和外网是逻辑隔离或者是物理隔离的，但是现在有些行业有些非法外联，或者是有些人不注意用U盘又插内网又插外网，因此很容易把病毒带到内网当中。

据记者了解，这个勒索蠕虫病毒会在局域网内进行主动攻击，病毒会通过文件共享端口进行蠕虫式感染传播，而没有修补系统漏洞的局域网用户就会被病毒感染。

公安部网络安全保卫局总工程师 郭启全：现在我们及时监测病毒的传播、变种情况，然后还是要及时监测发现，及时通报预警，及时处置。这几天，全国公安机关和其他部门和专家密切配合，特别是一些信息安全企业的专家，尽快支持我们重要行业部门，去快速处置，快速升级，打补丁，另外公安机关还在开展侦查和调查。

勒索蠕虫病毒真面目如何?

5月12日开始散播勒索蠕虫病毒，从发现到大面积传播，仅仅用了几个小时，其中高校成为了重灾区。那么，这款病毒是一个什么样的病毒，如何传播，何以造成如此严重的后果呢?

这款勒索蠕虫病毒是针对微软的永恒之蓝的漏洞进行传播和攻击的。一旦电脑感染该病毒，被感染电脑会主动对局域网内的其他电脑进行随机攻击，局域网内没有修补漏洞的电脑理论上将无一幸免的感染该病毒。而该漏洞微软在今年3月份已经发布补丁，对漏洞进行了修复。

网络安全专家 孙晓骏：这个病毒利用了一个漏洞，但是我们用户没有打补丁的习惯，没有及时修复这次漏洞，这个病毒样本通过漏洞攻击了非常多的电脑。

根据网络安全公司数据统计，截止5月13日晚8点，我国共有39730家机构被感染，其中教育科研机构有4341家，高校成为了这次蠕虫病毒的重灾区。

网络安全专家 孙晓骏：这次病毒利用了445的一个重要的端口。校园网因为ip直连的情况，导致没有一个nat和防火墙来阻断对445端口的访问所以在校园网没有打补丁的机器就直接暴露在病毒之下了。

因为电脑蠕虫病毒有主动攻击的特性，所以每一次蠕虫病毒的传播范围都很广。然而在5月12号爆发的蠕虫病毒与以往不同，它入侵电脑后会加密电脑中图片、文档、视频、压缩包等各类资料，并跳出弹窗，被告之只有交了赎金，才能解密电脑中被加密的资料。

被感染蠕虫病毒后，不到十秒，电脑里的所有用户文件全部被加密无法打开。网络安全专家介绍，用户电脑一旦被感染这种勒索病毒，被加密的文件目前还没有找到有效的办法可以解锁。而专家并不建议用户支付赎金取得解锁。

网络安全专家 孙晓骏：加密的文件会根据病毒指引去付赎金获得密钥，但是根据目前的研究看成功的几率非常低，整个互联网安全界在积极的探索有没有办法解开这个密钥。因为它用的是高强度非对称加密的算法，这个密钥空间非常大，就算用暴力破解也需要非常长的时间，目前来看是不可接受的。

针对已经被感染病毒的用户，专家建议首先使用安全软件查杀蠕虫病毒，并保留被加密的文件，待日后网络安全公司找到有效方法后再进行解锁。

5月15日可能再次迎来病毒传染高峰

勒索蠕虫病毒从发现到爆发，仅用了几个小时，然而网络专家表示，传染高峰期不能单纯认为已经过去。在5月15日，也就是下周一可能再次出现一个高峰，网络专家特别提示，网民们一定要做好防范措施。

这次勒索蠕虫病毒爆发的时间是5月12日，星期五，正是机构和单位休息的周末，网络安全专家提示，周一上班首先要做的就是先断网，进行补丁修复。

网络安全专家 孙晓骏：周一上班一定要先拔网线，安装安全软件，打上补丁，然后再插上网线进行工作，否则没有打补丁的电脑非常大的几率会收到蠕虫病毒攻击。

标签：勒索软件攻击事件