什么是勒索软件？定义、案例及类型 - ManageEngine Ransomware Protection Plus

勒索软件仍然是全球组织和个人面临的最常见网络安全威胁之一。尽管人们对此已普遍知晓，但勒索软件的威胁形势仍在不断演变，变得更加复杂、有针对性且更具破坏性。这份详尽指南将带你全面了解勒索软件：其定义、演变、攻击机制、预防、检测与事件响应，帮助你更好地防御这一持续存在的数字威胁。

1. 什么是勒索软件？

勒索软件是一种恶意软件，它会锁定受害者的文件、系统或设备，并要求受害者支付赎金以恢复访问权限。

攻击者在暗网泄露企业数据

攻击者通常要求以加密货币（如比特币）支付赎金，以换取解密密钥。在某些情况下，攻击者还会威胁泄露敏感数据（即所谓的“双重勒索”）。勒索软件攻击通常针对个人、企业、公共部门和关键基础设施。

勒索软件的关键特征：

加密或锁定数据、系统或设备。
要求支付赎金以恢复数据。
包括数据窃取和勒索手段。
试图删除备份数据。

2. 勒索软件和恶意软件的区别？

恶意软件（malicious software 的缩写）是一个统称，指任何未经用户同意而设计用于渗透、破坏或窃取系统信息的软件，包括病毒、蠕虫、木马、间谍软件、广告软件和勒索软件。勒索软件是一种恶意软件，它锁定或加密受害者的数据，并要求支付赎金以解锁。简而言之，所有勒索软件都是恶意软件，但并非所有恶意软件都是勒索软件。

保护您的企业免受勒索软件侵害

立即开始

3. 为什么勒索软件仍然构成威胁？

尽管网络安全技术多年来不断进步，勒索软件依然是头号威胁。攻击者不断适应安全措施，利用新漏洞并改进战术。以下是勒索软件持续存在的原因：

对攻击者来说利润极高：

高额回报：
勒索软件攻击可为网络犯罪分子带来数百万收入，且风险较低。
加密货币让追踪更难：
大多数赎金要求以加密货币支付，使执法部门难以追踪资金流向。
勒索软件即服务（RaaS）：
如今，技术不高的黑客也能从更高级的开发者那里购买或租用勒索软件工具，轻松发起攻击。

攻击者战术不断演变：

双重甚至三重勒索：
攻击者先窃取敏感数据，再加密文件，并威胁若不支付赎金就泄露数据，甚至向客户或合作伙伴施压。
针对性攻击：
如今的攻击者会进行深度侦察，专门挑选最可能支付高额赎金的目标。
供应链攻击：
通过攻破一家可信供应商，攻击者可同时入侵多个下游组织，危及整个供应链生态系统。

远程办公打开了新的大门

自新冠疫情以来，远程办公人数激增，脆弱入口点数量暴增。网络犯罪分子趁机攻击未受保护的远程桌面协议（RDP）、VPN漏洞和未打补丁的系统。

复杂的规避手段

无文件勒索软件：
攻击者利用 PowerShell 等系统内置工具和内存攻击，避开传统杀毒软件的检测。
Living-off-the-Land（LotL）：
通过利用合法管理工具（如 PsExec 或 WMIC），勒索软件可在网络中横向移动而不引起怀疑。
混淆与多态性：
勒索软件不断变形，改变代码签名以绕过传统防病毒防御。

基本网络安全实践存在漏洞

令人震惊的是，许多组织仍未做好基础工作，如及时打补丁、使用强密码、维护可靠备份或培训员工识别威胁。简而言之，勒索软件之所以猖獗，是因为犯罪分子不断创新、技术不断演变，而人为和组织安全漏洞长期存在。

4. 勒索软件攻击是如何运作的？

勒索软件攻击通常分为几个精心策划的阶段，结合了技术手段和心理操控。让我们拆解当有人成为勒索软件受害者时，幕后真正发生了什么。

勒索软件攻击生命周期：逐步解析

勒索软件攻击生命周期

感染：
勒索软件通过钓鱼邮件、恶意下载或利用过时软件漏洞进入受害者电脑。
执行：
勒索软件在后台静默运行，常绕过安全防线。此时早期检测至关重要。
命令与控制（C2）通信：
恶意软件连接外部服务器，接收指令或开始窃取敏感数据。
横向移动与权限提升：
攻击者尝试在网络中扩散勒索软件，寻找高价值数据或更高权限。
数据窃取：
在加密前，攻击者常先将机密文件复制到自己的服务器，增加谈判筹码。
加密：
文件甚至整个系统被强加密锁定，并弹出勒索提示，要求支付赎金。
勒索：
受害者面临永久数据丢失、服务中断或敏感信息泄露的威胁，甚至被施压联系客户或合作伙伴。

勒索软件如何潜入？常见感染途径：

了解勒索软件的入侵方式是阻止它的关键。以下是常见方式：

钓鱼邮件

钓鱼仍是勒索软件最常见的入口。攻击者诱导用户点击恶意链接或打开受感染附件。鱼叉式钓鱼更进一步，针对特定个人定制信息。

远程桌面协议（RDP）漏洞

将RDP暴露于互联网且使用弱密码，无异于敞开大门。攻击者利用暴力破解或已知漏洞入侵。

软件漏洞

过时系统或第三方插件是常见弱点，一次忽视更新就可能成为攻击入口。

恶意广告

用户可能在浏览可信网站时被恶意广告感染，这些广告甚至出现在知名网站上。

供应链攻击

攻击者通过入侵可信软件供应商或服务提供商，间接渗透目标。Kaseya 和 SolarWinds 事件就是典型案例。

盗版软件与下载

下载破解软件或盗版内容不仅违法，也极易隐藏勒索软件。

云服务漏洞

配置错误的云存储、权限或弱API密钥也可能成为勒索软件入侵的通道。

可移动介质

受感染的U盘或移动硬盘可将勒索软件直接带入网络，尤其在家庭与办公设备混用时。

5. 勒索软件类型 | 勒索软件的多种面貌

勒索软件并非单一手段，而是一整套恶意策略。有些针对文件，有些针对隐私，甚至有些瞄准智能家居设备。了解它们是防御的第一步。

类型	运作方式	典型案例	现实场景
加密型勒索软件	加密重要文件，只有支付赎金才能获得解密密钥。	CryptoLocker、WannaCry、Ryuk	打开电脑发现所有照片、文档、邮件被锁，提示需支付比特币解锁。
锁屏型勒索软件	锁定整个设备，用户无法操作，但文件未被加密。	WinLocker	无法进入桌面，屏幕被勒索信息占据，重启无效。
泄露型勒索软件（Doxware）	窃取敏感数据，威胁公开或出售，除非支付赎金。	Maze、REvil/Sodinokibi	收到邮件：“不付钱我们就把你的工资单或私人邮件发到网上。”
勒索软件即服务（RaaS）	业余黑客可租用勒索软件工具，与开发者分成赎金。	DarkSide、Dharma、LockBit	技术不高的黑客像订阅流媒体一样在线“订阅”勒索软件工具包。
移动勒索软件	针对手机或平板，锁定设备或加密照片、联系人、消息。	Svpeng、LockerPin	手机突然无法使用，只剩倒计时勒索信息。
擦除型勒索软件	假装提供解密，实则永久销毁数据，目的是破坏而非牟利。	NotPetya、Shamoon	无论是否支付，文件都被永久删除，常用于破坏大型企业或国家基础设施。
混合型勒索软件	同时加密文件、锁屏并威胁泄露数据，多重施压。	Ragnar Locker、DoppelPaymer	被锁、文件被加密，还威胁泄露数据，攻击者希望受害者慌乱中快速付款。
工业勒索软件	针对工业控制系统（ICS），中断生产或关键流程，勒索停机时间。	Ekans/Snake	公司安全系统失效，高压区域工人被困，直到在规定时间内支付赎金。
物联网勒索软件	攻击智能设备，如智能电视、摄像头、冰箱，锁定或威胁中断功能。	Linux.Encoder 等新型变种	智能家居突然瘫痪，手机收到信息：“付500美元，否则恒温器和摄像头继续离线。”

专业提示：无论勒索软件类型如何，最佳防护是强密码、定期备份、谨慎点击和及时更新。

6. 谁真的面临勒索软件攻击风险？

LockBit Black 勒索软件警告界面

令人不安的事实是，没有人绝对安全。攻击者广撒网，但某些群体和行业更常被盯上。

高价值目标

大型企业：
金融、医疗、能源等行业的大型公司是首要目标，因其业务关键， downtime 不可接受，更可能支付赎金。
公共部门组织：
地方政府、警察部门、公立学校和医院常因IT预算有限但职责关键而成为易攻击目标。
关键基础设施：
公用事业、交通和物流公司维持社会运转，攻击者深知其重要性。

中小企业（SMB）

小企业也难逃一劫。它们通常缺乏深度网络安全防护，一次攻击就可能致命。

普通个人

别以为目标太小就不会被盯上。个人电脑和手机常被攻击，尤其是忽略基本安全措施时。

供应链相关方

攻击者不一定直接攻击主目标，而是通过入侵供应商、托管服务商等第三方，利用信任关系渗透。

任何拥有有价值数据的人

只要你掌握客户信息、知识产权或财务记录，你就可能成为目标。

一旦中招，你会失去什么？

勒索软件攻击后工资单和敏感文件被泄露

勒索软件不仅是文件被锁或屏幕弹出勒索信息，其后果可能波及组织每个角落，甚至个人生活。

数据丢失：
关键文件可能永久丢失，尤其在没有可靠备份或备份也被感染的情况下。
财务损失：
成本迅速累积，不仅包括赎金（可能高达数百万），还有专家费用、法律费用和监管罚款。
业务瘫痪：
业务停摆，订单无法完成，服务暂停，每分钟都在损失收入和声誉。
声誉受损：
攻击消息传播迅速，客户可能失去信任，品牌遭受长期伤害。
法律与监管麻烦：
敏感数据泄露可能导致调查、诉讼或 GDPR、HIPAA 等法规下的巨额罚款。
数据泄露余波：
被盗数据可能在暗网出售或被用于后续诈骗和攻击。
知识产权被盗：
商业机密、专利或专有研究可能被窃取，削弱竞争优势。
重复攻击：
支付赎金并不意味结束，攻击者可能留下后门或再次来袭。

7. 如何预防勒索软件攻击？

面对勒索软件，预防是最佳防线。良好的习惯、合适的技术和主动的心态能显著降低风险。以下方法适用于企业与个人：

开展安全意识培训：
定期培训团队（或家人）识别可疑邮件、虚假链接和社会工程手段。网络安全不仅是IT部门的事。
及时打补丁：
保持操作系统、应用程序和设备更新。大多数攻击利用未修补的旧漏洞。
强化身份验证：
遵循最小权限原则，使用强且唯一的密码，并尽可能启用多因素认证（MFA）。
网络分段：
将网络分段，限制攻击者横向移动。仅授予员工最低必要权限。
锁定收件箱：
使用高级邮件过滤和反钓鱼工具，防止恶意邮件进入收件箱。
备份数据：
定期进行离线、防篡改的备份，并测试恢复流程，确保关键时刻能快速恢复。
升级防御工具：
部署具备行为分析能力的下一代终端防护，识别传统工具遗漏的威胁。
采用零信任理念：
每次都验证每个用户和设备，假设攻击者已在内网，双重检查一切。
持续监控：
使用SIEM或威胁狩猎等实时监控系统，快速发现异常行为。
保护远程访问：
如使用VPN，务必启用MFA并监控异常访问模式，尤其在远程办公环境下。

如何检测与清除勒索软件

速度至关重要。越早发现，损失越小。以下工具可帮助你快速响应：

下一代杀毒软件：
监控异常文件变化、大规模加密或系统活动激增，实时拦截可疑进程。
EDR（终端检测与响应）：
实时捕捉进程异常或可疑访问行为。
反勒索软件：
无需首例样本即可检测零日勒索软件，阻止加密并保护备份完整性。
MDR（托管检测与响应）：
将检测与响应外包给安全分析师团队，减轻内部负担。

将洞察转化为影响力，开启勒索软件防护之旅

立即开始

8. 遭遇勒索软件后应采取的措施

隔离受感染设备：
立即断开网络连接，防止扩散。
识别勒索软件类型：
分析勒索信息或加密文件，可使用 ID Ransomware 等工具。
清除恶意软件：
使用杀毒软件或反勒索软件解决方案，尝试使用 No More Ransom 等免费解密工具。
从备份恢复：
若备份干净且安全，使用备份恢复数据。
调查攻击：
进行取证分析，了解攻击路径和影响范围。
堵住漏洞：
修复漏洞和配置错误，防止再次中招。
报告攻击：
通知相关机构，透明度有助于整体安全。

是否应该支付赎金？

这是价值百万美元的问题。安全专家、执法机构和政府部门一致建议：几乎永远不要支付赎金。

为什么不建议支付？

无保障：
支付后不保证能恢复文件，很多受害者收到无效密钥或一无所获。
成为重复目标：
支付后可能被标记为“软柿子”，再次遭袭或被分享给其他犯罪团伙。
法律风险：
在某些地区，向受制裁组织支付赎金可能违法。
助长犯罪：
每笔赎金都在资助未来更多攻击，危及更多人。

简而言之：支付风险高、结果不确定，还会鼓励更多攻击。最佳选择是专注预防、备好备份，并在遭遇攻击时寻求专业帮助。

勒索软件攻击报告机构

地区/国家	机构	报告原因	如何报告
国际	INTERPOL	协调跨国网络犯罪调查	访问 INTERPOL
	Europol EC3	欧洲网络犯罪打击中心	访问 Europol EC3
	No More Ransom 项目	提供免费解密工具与全球支持	访问 No More Ransom
美国	FBI 网络犯罪投诉中心（IC3）	美国网络犯罪报告中心	访问 IC3
	CISA（网络安全与基础设施安全局）	关键基础设施快速响应	访问 CISA
	美国特勤局	重大金融/网络犯罪调查	访问特勤局
英国	国家网络安全中心（NCSC）	国家响应与公众指导	访问 NCSC
	Action Fraud	英国国家网络犯罪与欺诈举报中心	访问 Action Fraud
印度	CERT-In（印度计算机应急响应小组）	国家网络事件报告机构	访问 CERT-In
	网络犯罪举报门户	公众举报各类网络犯罪	访问门户
澳大利亚	澳大利亚网络安全中心（ACSC）	国家协调与事件响应	访问 ACSC
	ReportCyber	澳大利亚居民/企业在线快速举报	访问 ReportCyber
加拿大	加拿大网络安全中心	联邦网络事件报告与建议	访问网络安全中心
	加拿大反欺诈中心	网络欺诈与勒索软件举报	访问 CAFC
新加坡	新加坡网络安全局（CSA）	网络事件响应中央机构	访问 CSA
德国	联邦信息安全局（BSI）	国家网络攻击与勒索软件报告	访问 BSI

专业提示：举报时尽可能提供详细信息（截图、勒索信息、日期、受影响系统），有助于案件处理并提升全球威胁情报。

勒索软件攻击后如何恢复？

即使准备充分，也可能遭袭。若不幸中招，清晰、稳健的响应是恢复正常的关键。以下是恢复步骤：

清除威胁

首先，彻底从网络中清除勒索软件。使用可信安全工具，必要时请专业人员协助。

恢复系统

威胁清除后，使用安全的离线备份恢复数据和系统。如可能，使用干净系统镜像重建，避免残留恶意软件。

加强防御

找出并修复被利用的漏洞，打补丁并升级安全控制与策略。

通知受影响方

如敏感数据泄露，按法律要求通知客户、合作伙伴或监管机构，透明度是维持信任的关键。

总结经验

进行事后复盘，分析攻击路径、响应效果与改进空间，每次事件都是提升防御的机会。

保持警惕

持续监控网络，排查残留威胁或后门。攻击者可能卷土重来，不给第二次机会。

更新应急响应手册

根据经验教训更新应急响应计划，与团队分享并调整培训，提升未来应对能力。

9. 历史上臭名昭著的勒索软件案例

攻击与年份	发生了什么？	影响与受害者	为何仍重要
CryptoLocker（2013）	首批使用强加密并索要比特币的攻击之一，全球震惊。	损失数千万美元，数千家企业受影响。	奠定了现代勒索软件攻击模板。
TeslaCrypt（2015-16）	先针对游戏存档，后扩展至所有文件，最终罕见地发布主解密密钥。	玩家、小企业和个人。	罕见“善终”案例，攻击者主动释放解密钥匙。
SamSam（2015-18）	通过弱远程桌面登录手动入侵网络，锁定关键系统。	医院、美国城市和政府部门。	证明定制化手动攻击可瘫痪整座城市。
WannaCry（2017）	利用Windows漏洞快速传播，全球医院与企业混乱。	英国NHS、FedEx、雷诺等，全球20万+电脑。	勒索软件进入主流视野，人人自危。
NotPetya（2017）	伪装成勒索软件，实则永久销毁数据，重创乌克兰并波及全球。	马士基、默克等，损失数十亿美元。	显示勒索软件可被用作地缘政治武器。
Bad Rabbit（2017）	通过伪造Adobe Flash更新传播，影响东欧及媒体机构。	俄乌媒体与运输公司。	提醒人们“常规”更新也可能致命。
GandCrab（2018-19）	RaaS模式，快速演变，联盟营销加速传播。	全球范围。	开启联盟模式，加速勒索软件扩散。
Ryuk（2018-21）	锁定大型组织，索要高额赎金，影响医院与市政府。	市政、医院、学校及全球企业。	带来“大猎物狩猎”时代。
Maze（2019-20）	常用“双重勒索”，先窃取数据再威胁泄露。	制造、科技与医疗公司。	改变受害者决策：付赎金还是面临数据泄露。
REvil/Sodinokibi（2019-21）	攻击高知名度目标，索要巨额赎金，涉及Kaseya供应链攻击。	大型企业与供应链服务商。	显示勒索软件攻击整个生态，而非单家公司。
DoppelPaymer（2020）	结合数据窃取与加密，公开羞辱受害者。	汽车制造商、医院、政府机构。	羞辱战术迫使更多受害者支付。
Egregor（2020-21）	Maze 关闭后迅速崛起，攻击零售与物流，泄露数据。	巴诺书店、物流与游戏公司。	显示新团伙如何快速填补空缺并创新。
Colonial Pipeline（2021）	攻击美国关键燃油供应商，引发恐慌抢购与东海岸燃油短缺。	Colonial Pipeline（美国关键基础设施）。	显示勒索软件可扰乱日常生活与国家安全。
CNA Financial（2021）	据报道支付4000万美元赎金，创纪录之一。	美国大型保险公司。	引发关于支付赎金与保险行业角色的辩论。
Kaseya（2021）	通过IT管理软件发起供应链攻击，一次性影响1000+企业。	全球中小企业与MSP客户。	证明一个薄弱点可引发连锁反应。
哥斯达黎加政府（2022）	Conti勒索软件瘫痪政府机构，影响税收、医疗与海关。	哥斯达黎加政府与公共服务。	国家宣布进入紧急状态——勒索软件成为国家危机。
Medibank（2022）	健康保险公司遭袭，因拒付赎金导致敏感医疗数据被泄露。	数百万澳大利亚客户。	显示数据泄露对人类隐私、尊严与信任的真实伤害。
MOVEit（2023）	大规模利用文件传输工具漏洞，导致全球数百家机构数据泄露。	英国航空、BBC、美国政府承包商。	供应链攻击持续演变，无人“大到不能倒”。

10. 使用 ManageEngine Ransomware Protection Plus 消灭勒索软件

勒索软件风险真实存在，即使准备充分的组织也可能中招。ManageEngine Ransomware Protection Plus 不仅是安全工具，更是专为预判、拦截和阻断勒索软件而设计的解决方案，确保业务不被中断。

Ransomware Protection Plus 的独特之处？

ManageEngine Ransomware Protection Plus

实时行为检测：
利用AI智能分析，在文件加密发生前识别并阻止可疑行为。
自动威胁响应：
一旦检测到勒索软件，立即隔离受感染设备、终止恶意进程并通知安全团队，实现快速协调响应。
抵御零日攻击：
在勒索软件特征库尚未更新前，也能拦截最新变种。
不可篡改备份：
即使攻击者试图破坏备份，也能确保数据可恢复。
集中管理仪表板：
一站式掌握所有事件、漏洞与处置行动，消除盲区。
超高性价比：
企业级防护，价格亲民，部署迅速，界面友好，后台静默运行不拖慢系统。
一键恢复：
一键即可恢复被加密文件，最大限度减少停机时间。
离线保护：
即使设备离线，核心检测与响应能力依然有效。
与现有安全工具互补：
可与现有杀毒、EDR、MDR等方案无缝协作，作为对抗高级勒索软件的最后一道防线。

勒索软件保护101 什么是勒索软件攻击？