勒索病毒
2025年5月2日大约 3 分钟
勒索病毒
勒索病毒(Ransomware) 是一种恶意软件(Malware),它会限制用户访问其计算机系统或文件,并要求支付赎金才能恢复访问权限。
工作原理
感染途径:
- 钓鱼邮件附件
- 恶意网站下载
- 软件漏洞(如通过远程桌面协议 RDP)
- U盘等可移动设备传播
- 渗透漏洞攻击
加密过程:
- 一旦感染,病毒会扫描系统中的文件
- 使用加密算法(如AES、RSA)对文件进行加密
- 更改文件扩展名,并删除原始文件
- 弹出勒索信息,要求支付赎金
赎金要求:
- 要求用户支付加密货币(如比特币)作为解密密钥的“交换”
- 通常设有支付时限,否则威胁删除数据或加价
常见勒索病毒家族
恶意后缀名 | 活跃时间 | 名称 | 特点与说明 |
---|---|---|---|
.wncry | 2017 | WannaCry | 利用 SMB 协议漏洞(EternalBlue)传播,影响全球超过 150 个国家 |
.locky | 2016 | Locky | 通过恶意邮件传播,采用加密扩展名(如 .locky),加密速度快 |
.ryk (变种较多) | 2018–至今 | Ryuk | 针对企业与政府部门,要求高额赎金,经常与 TrickBot 联合攻击 |
.revil / .sodinokibi | 2019–2021 | REvil (Sodinokibi) | 勒索即服务(RaaS)代表,攻击大型企业,2021年被FBI打击 |
.maze | 2019–2020 | Maze | 首个采用“双重勒索”(数据加密 + 数据泄露)策略的勒索病毒 |
.conti | 2020–2022 | Conti | Maze 的继承者,同样使用双重勒索策略,2022年源代码泄露 |
.darkside | 2020–2021 | DarkSide | 攻击 Colonial Pipeline 引发美国全国关注,后宣布“关闭” |
.dharma , .wallet | 2016–至今 | Dharma (CrySiS) | 中小企业的高频攻击目标,RaaS形式,多个变种 |
.nw , .netwalker | 2019–2021 | NetWalker | 针对教育与医疗机构,采用 PowerShell 和文件脚本 |
.clop | 2019–至今 | Clop | 以大规模数据泄露著称,攻击金融、医疗行业,利用 Zero-day 漏洞 |
.avdn | 2020–2021 | Avaddon | 采用多线程加密和 DDoS 威胁,攻击范围广 |
.egregor | 2020 | Egregor | Maze 衍生版本,攻击者要求赎金后直接泄露数据 |
.hive | 2021–2023 | Hive | 医疗行业重点攻击目标,被FBI渗透并关闭服务器 |
.alphv / .blackcat | 2021–至今 | BlackCat (ALPHV) | 使用 Rust 编写,支持多平台攻击,被认为是 Conti 成员所创建 |
.ragnar / .ragnarlocker | 2019–至今 | Ragnar Locker | 在虚拟机中运行自身以避开杀毒软件,主要攻击关键基础设施 |
.medusa | 2019–至今 | MedusaLocker | 自动化传播方式为主,常借助 RDP 渗透系统 |
.locked , .lkg | 2019 | LockerGoga | 攻击工业公司,文件加密后导致部分工厂瘫痪 |
.petya , .3ra | 2016/2017 | Petya/NotPetya | Petya 通过主引导记录加密系统,NotPetya 实为破坏性攻击 |
.ekans | 2020 | Snake (Ekans) | 专门针对工业控制系统(ICS)的勒索病毒 |
📌 注:后缀名可能因变种、配置差异而不同,仅列出常见/默认后缀。
防护建议
- 定期备份重要文件,使用离线备份
- 不随意打开陌生邮件和附件
- 更新操作系统和软件,打补丁
- 安装并更新杀毒软件
- 限制RDP访问权限,使用强密码和多因素认证
📌 解密工具
即使支付赎金,也不能保证数据一定会被解密。应优先考虑数据恢复与法律手段。