傳播途徑
勒索病毒文件一旦進入本地，就會自動運行，同時删除勒索軟件樣本，以躲避查殺和分析。接下來，勒索病毒利用本地的互聯網訪問權限連接至黑客的C&C服務器，進而上傳本機信息并下載加密私鑰與公鑰，利用私鑰和公鑰對文件進行加密。除了病毒開發者本人，其他人是幾乎不可能解密。加密完成後，還會修改壁紙，在桌面等明顯位置生成勒索提示文件，指導用戶去繳納贖金。且變種類型非常快，對常規的殺毒軟件都具有免疫性。攻擊的樣本以exe、js、wsf、vbe等類型為主，對常規依靠特征檢測的安全産品是一個極大的挑戰。[1]
據火絨監測，勒索病毒主要通過三種途徑傳播：漏洞、郵件和廣告推廣。
通過漏洞發起的攻擊占攻擊總數的87.7%。由于win7、xp等老舊系統存在大量無法及時修複的漏洞，而政府、企業、學校、醫院等局域網機構用戶使用較多的恰恰是win7、xp等老舊系統，因此也成為病毒攻擊的重災區，病毒可以通過漏洞在局域網中無限傳播。相反，win10系統因為強制更新，幾乎不受漏洞攻擊的影響。
通過郵件與廣告推廣的攻擊分别為7.4%、3.9%。雖然這兩類傳播方式占比較少，但對于有收發郵件、網頁浏覽需求的企業而言，依舊會受到威脅。
此外，對于某些特别依賴U盤、記錄儀辦公的局域網機構用戶來說，外設則成為勒索病毒攻擊的特殊途徑。[2]
攻擊對象
勒索病毒一般分兩種攻擊對象，一部分針對企業用戶(如xtbl，wallet)，一部分針對所有用戶。
病毒規律
該類型病毒的目标性強，主要以郵件為傳播方式。
勒索病毒文件一旦被用戶點擊打開，會利用連接至黑客的C&C服務器，進而上傳本機信息并下載加密公鑰和私鑰。然後，将加密公鑰私鑰寫入到注冊表中，遍曆本地所有磁盤中的Office文檔、圖片等文件，對這些文件進行格式篡改和加密；加密完成後，還會在桌面等明顯位置生成勒索提示文件，指導用戶去繳納贖金。
該類型病毒可以導緻重要文件無法讀取，關鍵數據被損壞，給用戶的正常工作帶來了極為嚴重的影響。
病毒分析
一般勒索病毒，運行流程複雜，且針對關鍵數據以加密函數的方式進行隐藏。以下為APT沙箱分析到樣本載體的關鍵行為：
1、調用加密算法庫；
2、通過腳本文件進行Http請求；
3、通過腳本文件下載文件；
4、讀取遠程服務器文件；
5、通過wscript執行文件；
6、收集計算機信息；
7、遍曆文件。
樣本運行流程
該樣本主要特點是通過自身的解密函數解密回連服務器地址，通過HTTPGET請求訪問加密數據，保存加密數據到TEMP目錄，然後通過解密函數解密出數據保存為DLL，然後再運行DLL(即勒索者主體)。該DLL樣本才是導緻對數據加密的關鍵主體，且該主體通過調用系統文件生成密鑰，進而實現對指定類型的文件進行加密，即無需聯網下載密鑰即可實現對文件加密。
同時，在沙箱分析過程中發現了該樣本大量的反調試行為，用于對抗調試器的分析，增加了調試和分析的難度。
應對方案
根據勒索病毒的特點可以判斷，其變種通常可以隐藏特征，但卻無法隐藏其關鍵行為，經過總結勒索病毒在運行的過程中的行為主要包含以下幾個方面：
1、通過腳本文件進行Http請求；
2、通過腳本文件下載文件；
3、讀取遠程服務器文件；
4、收集計算機信息；
5、遍曆文件；
6、調用加密算法庫。
為防止用戶感染該類病毒，我們可以從安全技術和安全管理兩方面入手：
1、不要打開陌生人或來曆不明的郵件，防止通過郵件附件的攻擊；
2、盡量不要點擊office宏運行提示，避免來自office組件的病毒感染；
3、需要的軟件從正規（官網）途徑下載，不要雙擊打開.js、.vbs等後綴名文件；
4、升級到最新的防病毒等安全特征庫；
5、升級防病毒軟件到最新的防病毒庫，阻止已存在的病毒樣本攻擊；
6、定期異地備份計算機中重要的數據和文件，萬一中病毒可以進行恢複。[3]
相關事件
2017年5月12日，一種名為“想哭”的勒索病毒襲擊全球150多個國家和地區，影響領域包括政府部門、醫療服務、公共交通、郵政、通信和汽車制造業。
2017年6月27日，歐洲、北美地區多個國家遭到“NotPetya”病毒攻擊。烏克蘭受害嚴重，其政府部門、國有企業相繼“中招”。
2017年10月24日，俄羅斯、烏克蘭等國遭到勒索病毒“壞兔子”攻擊。烏克蘭敖德薩國際機場、首都基輔的地鐵支付系統及俄羅斯三家媒體中招，德國、土耳其等國随後也發現此病毒。[4]
2018年2月，多家互聯網安全企業截獲了MindLost勒索病毒。[5]
2018年2月，中國内便再次發生多起勒索病毒攻擊事件。經騰訊企業安全分析發現，此次出現的勒索病毒正是GlobeImposter家族的變種，該勒索病毒将加密後的文件重命名為.GOTHAM、.Techno、.DOC、.CHAK、.FREEMAN、.TRUE、.TECHNO等擴展名，并通過郵件來告知受害者付款方式，使其獲利更加容易方便。
2018年3月1日，有殺毒軟件廠商表示，他們監測到了“麒麟2.1”的勒索病毒。
2018年3月，國家互聯網應急中心通過自主監測和樣本交換形式共發現23個鎖屏勒索類惡意程序變種。該類病毒通過對用戶手機鎖屏，勒索用戶付費解鎖，對用戶财産和手機安全均造成嚴重威脅。[6]
2018年12月1日，火絨安全團隊曝光了一個以微信為支付手段的勒索病毒在國内爆發。幾日内，該勒索病毒至少感染了10萬台電腦，通過加密受害者文件的手段，已達到勒索贖金的目的，而受害者必需通過微信掃一掃支付110元贖金才能解密。
2018年12月7日，平安東莞賬号證實“12.05”特大新型勒索病毒案已被偵破，根據上級公安機關“淨網安網2018”專項行動有關部署，近日，東莞網警在省公安廳網警總隊的統籌指揮，24小時内火速偵破“12.05”特大新型勒索病毒破壞計算機信息系統案，抓獲病毒研發制作者羅某某（男，22歲，廣東茂名人），繳獲木馬程序和作案工具一批[7]。
2020年4月，網絡上出現了一種名為“WannaRen”的新型勒索病毒，與此前的“WannaCry”的行為類似，加密Windows系統中幾乎所有文件，後綴為.WannaRen，大部分殺毒軟件無法攔截。[9]10月，江蘇南通當地警方在“淨網2020”專項行動中，成功偵破一起由公安部督辦的特大制作、使用勒索病毒實施網絡敲詐的案件，巨某等3名犯罪嫌疑人落網。巨某作為多個比特币勒索病毒的制作者，已成功作案百餘起，非法獲取的比特币折合人民币500餘萬元。[10]
參考資料
[1] 勒索病毒善僞裝造成的破壞不可逆 · 新浪網[引用日期2016-11-04]
[2] 國内勒索病毒持續高發 今年來超200萬台終端被攻擊 · 人民網[引用日期2018-09-22]
[3] 警惕勒索病毒，互聯網時代的新型敲詐行為 · 中關村在線[引用日期2017-05-14]
[4] 勒索病毒“壞兔子”來襲 俄烏等國不幸中招 · 新華網[引用日期2017-10-26]
[5] 警惕！新型勒索病毒MindLost能盜走你的銀行卡信息！ · 新華網[引用日期2018-02-05]
展開
相關視頻
全部
35次播放00:57
【網絡安全生态論壇—品牌專訪】勒索病毒的主要傳播渠道有哪些？
傳播途徑
535次播放01:08
【動畫科普：勒索病毒是怎麼一回事？】#網警說# 預防
應對方案
135次播放01:24
科普視頻｜網信科普局：“勒索病毒”怎麼破
相關事件
