imtoken钱包下载流程|勒索病毒的危害与防护措施
imtoken钱包下载流程|勒索病毒的危害与防护措施
什么是勒索软件?如何防御勒索软件? - 华为
什么是勒索软件?如何防御勒索软件? - 华为
本站点使用Cookies,继续浏览表示您同意我们使用Cookies。
Cookies和隐私政策>
技术支持
运营商入口
公告
中文
English
首页
信息速查
IP知识百科
在线课堂
产品智能选型
首页
信息速查
产品智能选型
IP知识百科
中文
English
登录
提示
确定
取消
IP知识百科
IP知识百科
>
勒索软件
什么是勒索软件
勒索软件又称勒索病毒,是一种特殊的恶意软件,又被归类为“阻断访问式攻击”(denial-of-access attack),与其他病毒最大的不同在于攻击手法以及中毒方式。勒索软件的攻击方式是将受害者的电脑锁起来或者系统性地加密受害者硬盘上的文件,以此来达到勒索的目的。所有的勒索软件都会要求受害者缴纳赎金以取回对电脑的控制权,或是取回受害者根本无从自行获取的解密密钥以便解密文件。勒索软件一般通过木马病毒的形式传播,将自身掩盖为看似无害的文件,通常假冒普通电子邮件等社会工程学方法欺骗受害者点击链接下载,但也有可能与许多其他蠕虫病毒一样利用软件的漏洞在互联网的电脑间传播。
目录
勒索软件的类型
勒索软件的入侵方式
如何防御勒索软件
如何处置勒索软件
更多
收起
勒索软件的类型
根据勒索软件对受害者系统采取的措施,主要可以分为以下几类:
绑架用户数据使用加密算法(如AES、RSA等)将用户的文件进行加密,用户在没有秘钥的情况下无法操作自己的文件。用户可以访问设备,但是对设备内的数据无法操作。 典型勒索软件有:WannaCry、GlobeImposter、CryptoLocker,TeslaCrypt等。
锁定用户设备不加密用户的文件,但是通过修改一些配置或者系统文件,使得用户无法进入设备。 典型勒索软件有:NotPetya等。
锁定用户设备和绑架数据既加密用户文件,又锁住用户设备。是1和2的结合体。 典型勒索软件有:BadRabbit等。
勒索软件的入侵方式
勒索软件常用的入侵方式如图1所示。
勒索软件的入侵方式
网络共享文件一些小范围传播的敲诈勒索病毒会通过共享文件的方式进行传播,黑客会将病毒上传到网络共享空间、云盘、QQ群、BBS论坛等,以分享的方式发送给特定人群,进而诱骗其下载安装。 此外,不法黑客还常会编造出“杀毒软件会产生误报,运行之前需要退出杀毒软件”之类的理由,诱骗受害者关闭杀毒软件后运行。 典型代表有:暂时主要为国产勒索类病毒通过外挂辅助,“绿色”软件类工具携带。
捆绑传播勒索软件与正常合法软件一起捆绑发布在各大下载网站或者论坛,当用户下载该软件后便会中招。
垃圾邮件这是勒索软件最为广泛的攻击方式。
利用社会工程学方法,发送假冒的电子邮件,将恶意脚本/程序掩盖为普通的文件,欺骗受害者下载、运行。
利用一些僵尸网络,更能增加欺骗的概率。如GameOverZeus僵尸网络,会使用MITB技术窃取银行凭证,通过该僵尸网络来分发钓鱼邮件,受害者非常容易相信。该僵尸网络被CrytoLocker等勒索软件利用来分发钓鱼邮件。
典型代表有:Locky、Cerber、GlobeImposter、CrytoLocker等。
水坑攻击勒索者利用有价值、有权威或访问量较大网站的缺陷植入恶意代码,当受害者访问该网址,或者下载相关文件时便会中招。 典型代表有:Cerber、GandCrab等。
软件供应链传播勒索软件制作者通过入侵软件开发、分发、升级服务等环节,在软件开发过程中,就会在产品组件中混入病毒,通过入侵、劫持软件下载站、升级服务器,当用户正常进行软件安装或升级服务时勒索病毒趁虚而入。这种传播方式利用了用户与软件供应商之间的信任关系,成功绕开了传统安全产品的围追堵截,传播方式上更加隐蔽,危害也更为严重。此前侵袭全球的Petya勒索病毒便是通过劫持Medoc软件更新服务进行传播。 典型代表有:Petya等。
暴力破解(定向攻击)针对服务器、个人用户或特定目标,通过使用弱口令、渗透、漏洞等方式获取相应权限。例如NotPetya会对口令进行暴力破解然后在局域网内传播。 典型代表有:NotPetya、Crysis、GlobeImposter等。
利用已知漏洞攻击利用系统或者第三方软件存在的漏洞实施攻击。例如WannaCry便利用了SMBV1的一组漏洞进行攻击和传播。 典型代表有:WannaCry、Satan等
利用高危端口攻击利用一些端口的业务机制,找到端口的漏洞,进行攻击。如WannaCry利用Windows操作系统445端口存在的漏洞进行传播,并具有自我复制、主动传播的特性。常见的高危端口有135、139、445、3389、5800/5900等。建议尽量关闭此类端口。 典型代表有:WannaCry等。
以上几种的组合联合攻击通常来说,勒索软件不会只采取一种方式来进行攻击和传播,通常会是几种的组合。
如何防御勒索软件
阻止勒索软件攻击最有效的办法是防止攻击进入组织内部。
主机侧防护
首先,推荐通过组织级的IT基础设施方案来统一设置主机。通过AD服务器的组策略、企业级杀毒软件的控制中心等,可以保证安全措施执行到位,而不必依赖员工个人的执行力。
其次是针对员工的信息安全教育。很多勒索软件使用电子邮件和社会工程手段,诱使员工下载恶意软件,或访问恶意网址。员工不为所动,就能避免激活携带的攻击媒介。通过信息安全宣传,培训员工养成良好的办公习惯,识别和防范典型的攻击手法,是避免勒索软件攻击的有效手段
以下列出了主要的主机侧防护措施,其中大部分可以通过IT基础设施方案来统一管理。对于没有完善IT系统的小微企业,可以把这些措施转化为信息安全教育的内容,指导员工自行配置。相关措施包括但不局限于:
开启系统防火墙,利用防火墙阻止特定端口的连接,或者禁用特定端口。
升级最新的杀毒软件,或者部署专杀工具。
更新补丁,修复勒索软件所利用的含漏洞软件。
各项登录、鉴权操作的用户名、密码复杂度要符合要求。
设置帐户锁定策略。
阻止宏自动运行,谨慎启用宏。
仅从指定位置下载软件。
不要打开来源不明邮件的附件和链接。
定期做好异地备份,这是系统被感染后数据尽快恢复的最好手段,以勒索软件的套路,即使交付赎金,也不一定保证本地数据会被解密。
在Windows文件夹中设置显示“文件扩展名”,可以更轻易地发现潜在的恶意文件。
详细的主机侧防护措施请参见勒索软件防护指南>主机侧防护。
网络侧防护
防御勒索软件攻击的关键在于预防,即在勒索软件进入组织并造成实质性损坏之前,拦截攻击。 最佳方法是设置以防火墙为基础的多层安全防御体系,避免攻击者突破一层防御之后长驱直入。严格的安全策略是最简单有效的防护手段;仅对外开放必需的服务,封堵高危端口,可以减小暴露面(攻击面)。阻断已知威胁,通常可以使攻击者放弃攻击,否则攻击者就需要创建新的勒索软件,或者利用新的漏洞,其成本必然增加。同时,启用文件过滤,可以限制高风险类型文件进入网络;利用URL过滤阻断恶意网站,可以避免用户无意中下载恶意软件。在安全性要求较高的网络中,还可以部署FireHunter沙箱、HiSec Insight、诱捕系统,全面感知安全态势。
针对勒索软件在网络侧的防护,华为通过如下分层防御体系进行防护:
通过在防护墙上部署严格的安全策略,限制用户对网络和应用的使用。
南北向安全策略:在网络边界处,设置严格的网络访问策略,仅对外开放必需的服务,且仅允许受信任IP地址/用户访问必要的服务。
东西向安全策略:把内部网络按照功能和风险等级划分到不同的安全区域,在不同功能网络间设置严格的安全策略。建议阻断高危端口(包括135、137、138、139、445、3389等)或限制可访问的用户,降低勒索软件横向扩散的可能性。在交换机和路由器等网络设备上,也可以利用流策略封堵高危端口。
通过IPS、AV、URL,发现和阻断已知威胁。
IPS入侵防御:在安全策略中引用IPS配置文件,确保如下暴力破解和漏洞利用签名的动作为阻断。如果签名的缺省动作不是阻断,可以设置例外签名,修改其动作为阻断。
AV反病毒:对于文件传输协议(HTTP、FTP)和共享协议(NFS、SMB),采用缺省动作。对于邮件协议,建议动作设置为宣告或删除附件。防火墙将在邮件中添加提示信息,提醒收件人附件中可能含有病毒。
URL过滤:推荐使用白名单机制,根据组织业务需求,圈定业务需求所需的网站类型。如果采用白名单机制有困难,则至少要阻断恶意网站、其他类。同时,启用恶意URL检测功能。
通过沙箱联动,发现未知威胁。防火墙将流量还原成文件,并将需要检测的文件发送到沙箱进行检测。防火墙定期到沙箱上查询检测结果,并根据检测结果更新设备缓存中的恶意文件和恶意URL列表。当具有相同特征的后续流量命中恶意文件或恶意URL列表时,防火墙将直接阻断。
通过HiSec Insight、诱捕,避免横向扩散。部署HiSec Insight和支持诱捕特性的交换机和防火墙。诱导勒索病毒入侵仿真业务并捕获其入侵行为,上报检测结果至HiSec Insight,HiSec Insight可全网下发策略阻断勒索病毒传播。诱捕系统有助于降低真实系统被攻击的概率,最大限度减少损失。
部署日志审计系统,用于调查取证和攻击溯源。日志审计系统可以集中存储和管理网络设备和服务器的日志信息,便于监控和事后分析。此外,攻击者还可能会加密或者删除主机日志,部署日志审计系统可以规避此问题。
关于详细的操作指导,请参见勒索软件防护指南>网络侧防护。
如何处置勒索软件
如果不幸被勒索,请按照如下建议处理。
不要急于为勒索软件支付赎金。支付赎金相当于鼓励网络犯罪,并且并不能保证能够恢复被加密的文件。
严格来说,加密型勒索软件不可破解。因勒索软件本身设计的问题,或者黑客组织公布了解密密钥(如Shade),存在一定的解密可能性。
如果被加密的数据相当重要或者极其敏感,且该勒索软件尚无解密方案,也请在确认网络犯罪分子确实可以解密后,再决定是否支付赎金。
常见的勒索软件处置建议,相关措施包括但不局限于:
隔离被勒索的设备拔掉网线或者修改网络连接设置,从网络中隔离所有被勒索的设备,防止勒索软件进一步传播,控制影响范围。同时排查受影响的主机数量,记录问题现象。 关闭其他未感染主机的高危端口。在局域网内其它未感染设备上,关闭常见的高危端口(包括135、139、445、3389等),或设置可访问此端口的用户/计算机。
清除勒索软件尝试使用杀毒软件扫描和清除勒索软件。请重启操作系统,进入安全模式,安装/杀毒软件并全盘扫描。 勒索软件搜索文件并加密需要一定的时间,及早清理勒索软件可以降低其危害程度,也能避免它重复锁定系统或加密文件。
解密保护现场。不要直接重新安装操作系统。如果被加密锁定数据比较重要,建议做好被加密文件的备份和环境的保护,防止因为环境破坏造成无法解密等。 访问“No More Ransom”网站,使用解码刑警(Crypto Sheriff)确定勒索软件的类型,并检查是否有可用的解密方案,有机会破解并恢复文件。
调查取证求助专业技术人员进行取证操作,以便分析勒索软件的攻击路径,对攻击路径进行溯源。 在操作系统的事件查看器中,查看安全日志,重点关注登录失败事件。在网络设备中查看安全日志、会话日志,重点关注暴力破解、SMB等重大漏洞攻击事件。 确定中毒原因,彻底修复系统中存在的安全问题,避免再次沦陷。
重装系统最后的最后,如果勒索软件无法移除、被加密数据不可恢复,请备份被加密数据(或许未来有恢复的可能),然后格式化硬盘驱动器,擦除所有数据(包括受感染的数据),重新安装操作系统和应用程序。
参考资源
1勒索软件防护指南
Your browser does not support the video tag.
相关词条
词条统计
作者:
金德胜
最近更新:
2022-12-26
浏览次数:
15030
平均得分:
页内导航
勒索软件的类型
勒索软件的入侵方式
如何防御勒索软件
如何处置勒索软件
问卷调研
帮助中心
在线客服
分享链接
意见反馈
分享链接到:
意见反馈
关注我们
关于华为
华为公司简介
关于企业业务
查找中国办事处
新闻中心
市场活动
信任中心
如何购买
售前在线咨询
提交项目需求
查找经销商
向经销商询价
合作伙伴
成为合作伙伴
合作伙伴培训
合作伙伴政策
资源
华为“懂行”体验店
e直播
博客
资料中心
视频中心
电子期刊
成功案例
快速链接
互动社区
华为云
华为智能光伏
华为商城
华为招聘
版权所有 © 华为技术有限公司 1998-2023。 保留一切权利。粤A2-20044005号
隐私保护
|
法律声明
|
网站地图
|
勒索病毒的防范处理措施-信息中心(网信办)
勒索病毒的防范处理措施-信息中心(网信办)
站内搜索
设为首页 |
学校主页 |
中心首页
首页
网络安全资讯
安全防护通报
安全法规
漏洞信息
网络安全知识
网络安全宣传周
网络安全知识
首页
网络安全资讯
安全防护通报
安全法规
漏洞信息
网络安全知识
网络安全宣传周
您当前所在的位置:
首页
->
网络安全知识
->
正文
勒索病毒的防范处理措施
发布日期:2021-09-10 来源: 点击量:
自2017年5月WannaCry(永恒之蓝勒索蠕虫)大规模暴发以来,勒索病毒对政企机构和网民的威胁极大:企业数据泄露风险不断上升,数百万甚至上亿赎金的勒索案件不断出现。
2021年3月,全球新增活跃勒索病毒:FancyBear、Hog、DearCry、Sarbloh、BadGopher、RunExeMemory、Phoenix CryptoLocker等。其中FancyBear还处于开发阶段,DearCry是本月最先被捕获使用Exchange漏洞投发勒索病毒的家族,新出现的PhoenixCryptoLocker可能与Evil黑客组织相关。
勒索病毒给企业和个人带来的影响范围越来越广,危害性也越来越大。本文介绍了一些勒索病毒的防范和处理措施,希望能够帮助读者免受勒索病毒侵害。
一、如何判断病情
如何判断计算机是否中了勒索病毒呢?勒索病毒有区别于其他病毒的明显特征:加密受害者主机的文档和数据,然后对受害者实施勒索,从中非法谋取私利。勒索病毒的主要目的是为了勒索,黑客在植入病毒完成加密后,会提示受害者您的文件已经被加密了无法再打开,需要支付赎金才能恢复文件。如果计算机出现了以下特征,可表明已经中了勒索病毒。
1、电脑桌面被篡改
服务器被感染勒索病毒后,最明显的特征是电脑桌面发生明显变化,即:桌面通常会出现新的文本文件或网页文件,这些文件用来说明如何解密的信息,同时桌面上显示勒索提示信息及解密联系方式。
下面为电脑感染勒索病毒后,几种典型的桌面发生变化的示意图。
2、文件后缀被篡改
服务器感染勒索病毒后,另外一个典型特征是:办公文档、照片、视频等文件的图标变为不可打开形式,或者文件扩展名被篡改。一般来说,文件扩展名会被改成勒索病毒家族的名称或其家族代表标志,如:GlobeImposter家族的扩展名为dream、TRUE、CHAK等;Satan家族的扩展名有satan、sicck;Crysis家族的扩展名有ARROW、arena等。
二、如何进行自救
1、正确处置方法
(一)隔离中招主机
处置方法
当确认服务器已经被感染勒索病毒后,应立即隔离被感染主机,隔离主要包括物理隔离和访问控制两种手段,物理隔离主要为断网或断电;访问控制主要是指对访问网络资源的权限进行严格的认证和控制。
1)物理隔离
物理隔离常用的操作方法是断网和关机。
断网主要操作步骤包括:拔掉网线、禁用网卡,如果是笔记本电脑还需关闭无线网络。
2)访问控制
访问控制常用的操作方法是加策略和修改登录密码。
加策略主要操作步骤为:在网络侧使用安全设备进行进一步隔离,如防火墙或终端安全监测系统;避免将远程桌面服务(RDP,默认端口为3389)暴露在公网上(如为了远程运维方便确有必要开启,则可通过VPN登录后才能访问),并关闭445、139、135等不必要的端口。
修改登录密码的主要操作为:立刻修改被感染服务器的登录密码;其次,修改同一局域网下的其他服务器密码;第三,修改最高级系统管理员账号的登录密码。修改的密码应为高强度的复杂密码,一般要求:采用大小写字母、数字、特殊符号混合的组合结构,口令位数足够长(15位、两种组合以上)。
处置原理
隔离的目的,一方面是为了防止感染主机自动通过连接的网络继续感染其他服务器;另一方面是为了防止黑客通过感染主机继续操控其他服务器。
有一类勒索病毒会通过系统漏洞或弱密码向其他主机进行传播,如WannaCry勒索病毒,一旦有一台主机感染,会迅速感染与其在同一网络的其他电脑,且每台电脑的感染时间约为1-2分钟左右。所以,如果不及时进行隔离,可能会导致整个局域网主机的瘫痪。
另外,近期也发现有黑客会以暴露在公网上的主机为跳板,再顺藤摸瓜找到核心业务服务器进行勒索病毒攻击,造成更大规模的破坏。
当确认服务器已经被感染勒索病毒后,应立即隔离被感染主机,防止病毒继续感染其他服务器,造成无法估计的损失。
(二)排查业务系统
处置方法
在已经隔离被感染主机后,应对局域网内的其他机器进行排查,检查核心业务系统是否受到影响,生产线是否受到影响,并检查备份系统是否被加密等,以确定感染的范围。
处置原理
业务系统的受影响程度直接关系着事件的风险等级。评估风险,及时采取对应的处置措施,避免更大的危害。
另外,备份系统如果是安全的,就可以避免支付赎金,顺利的恢复文件。
所以,当确认服务器已经被感染勒索病毒后,并确认已经隔离被感染主机的情况下,应立即对核心业务系统和备份系统进行排查。
(三)联系专业人员
在应急自救处置后,建议第一时间联系专业的技术人士或安全从业者,对事件的感染时间、传播方式,感染家族等问题进行排查。
2、错误处置方法
(一)使用移动存储设备
错误操作
当确认服务器已经被感染勒索病毒后,在中毒电脑上使用U盘、移动硬盘等移动存储设备。
错误原理
勒索病毒通常会对感染电脑上的所有文件进行加密,所以当插上U盘或移动硬盘时,也会立即对其存储的内容进行加密,从而造成损失扩大。从一般性原则来看,当电脑感染病毒时,病毒也可能通过U盘等移动存储介质进行传播。
所以,当确认服务器已经被感染勒索病毒后,切勿在中毒电脑上使用U盘、移动硬盘等设备。
(二)读写中招主机上的磁盘文件
错误操作
当确认服务器已经被感染勒索病毒后,轻信网上的各种解密方法或工具,自行操作。反复读取磁盘上的文件后反而降低数据正确恢复的概率。
错误原理
很多流行勒索病毒的基本加密过程为:
1)首先,将保存在磁盘上的文件读取到内存中;
2)其次,在内存中对文件进行加密;
3)最后,将修改后的文件重新写到磁盘中,并将原始文件删除。
也就是说,很多勒索病毒在生成加密文件的同时,会对原始文件采取删除操作。理论上说,使用某些专用的数据恢复软件,还是有可能部分或全部恢复被加密文件的。
而此时,如果用户对电脑磁盘进行反复的读写操作,有可能破坏磁盘空间上的原始文件,最终导致原本还有希望恢复的文件彻底无法恢复。
三、如何恢复系统
1、历史备份还原
如果事前已经对文件进行了备份,那么我们可以直接从云盘、硬盘或其他灾备系统中,恢复被加密的文件。值得注意的是,在文件恢复之前,应确保系统中的病毒已被清除,已经对磁盘进行格式化或是重装系统,以免插上移动硬盘的瞬间,或是网盘下载文件到本地后,备份文件也被加密。
事先进行备份,既是最有效也是成本最低的恢复文件的方式。
2、解密工具恢复
绝大多数勒索病毒使用的加密算法都是国际公认的标准算法,这种加密方式的特点是,只要加密密钥足够长,普通电脑可能需要数十万年才能够破解,破解成本是极高的。通常情况,如果不支付赎金是无法解密恢复文件的。
但是,对于以下三种情况,可以通过各大安全厂商提供的解密工具恢复感染文件:
1)勒索病毒的设计编码存在漏洞或并未正确实现加密算法;
2)勒索病毒的制造者主动发布了密钥或主密钥;
3)执法机构查获带有密钥的服务器,并进行了分享。
通过查询可靠安全厂商的网站,可以了解哪些勒索病毒可以被解密,同时采取相应措施。
3、重装系统
当文件无法解密,也觉得被加密的文件价值不大时,也可以采用重装系统的方法,恢复系统。但是,重装系统意味着文件再也无法被恢复。另外,重装系统后需更新系统补丁,并安装杀毒软件和更新杀毒软件的病毒库到最新版本,而且对于服务器也需要进行针对性的防黑加固。
4、如何加强防护
虽说部分勒索病毒目前已有解密工具,但勒索病毒制作成本低、利润高,新型勒索病毒层出不穷,并不是所有的勒索病毒都能进行解密。因此,加强勒索病毒的防护比中了勒索病毒之后再进行补救要有效得多。
对于高校师生,加强防护主要有以下相应措施:
养成良好的安全习惯
1)电脑应当安装具有云防护和主动防御功能的安全软件,不随意退出安全软件或关闭防护功能,对安全软件提示的各类风险行为不要轻易放行。
2)使用安全软件的第三方打补丁功能对系统进行漏洞管理,第一时间给操作系统和常用软件打好补丁,定期更新病毒库,以免病毒利用漏洞自动入侵电脑。
3)电脑设置的口令要足够复杂,包括数字、大小写字母、符号且长度至少应该有8位,不使用弱口令,以防攻击者破解。
4)重要文档数据应经常做备份,一旦文件损坏或丢失,也可以及时找回。
减少危险的上网操作
5)不要浏览来路不明的不良信息网站,这些网站经常被用于发动挂马、钓鱼攻击。
6)不要轻易打开陌生人发来的邮件附件或邮件正文中的网址链接。也不要轻易打开扩展名为js、vbs、wsf、bat、cmd、ps1等脚本文件和exe、scr、com等可执行程序,对于陌生人发来的压缩文件包,更应提高警惕,先使用安全软件进行检查后再打开。
7)电脑连接移动存储设备,如U盘、移动硬盘等,应首先使用安全软件检测其安全性。
8)对于安全性不确定的文件,可以选择在安全软件的沙箱功能中打开运行,从而避免木马对实际系统的破坏。
上一条:四格漫画丨网上冲浪第一步 个人隐私要保护
下一条:Incaseformat病毒简单处理方式
Copyright 2010-2021 Powered By 山西传媒学院
文华校区:山西省高校新区文华街125号(晋中市榆次区),邮编:030619
东华校区:山西省太原市五龙口街118号,邮编:030013 晋ICP备08101804号-1 晋公网安备 14070202000062号
勒索病毒的防范处理措施-信息中心(网信办)
勒索病毒的防范处理措施-信息中心(网信办)
站内搜索
设为首页 |
学校主页 |
中心首页
首页
网络安全资讯
安全防护通报
安全法规
漏洞信息
网络安全知识
网络安全宣传周
网络安全知识
首页
网络安全资讯
安全防护通报
安全法规
漏洞信息
网络安全知识
网络安全宣传周
您当前所在的位置:
首页
->
网络安全知识
->
正文
勒索病毒的防范处理措施
发布日期:2021-09-10 来源: 点击量:
自2017年5月WannaCry(永恒之蓝勒索蠕虫)大规模暴发以来,勒索病毒对政企机构和网民的威胁极大:企业数据泄露风险不断上升,数百万甚至上亿赎金的勒索案件不断出现。
2021年3月,全球新增活跃勒索病毒:FancyBear、Hog、DearCry、Sarbloh、BadGopher、RunExeMemory、Phoenix CryptoLocker等。其中FancyBear还处于开发阶段,DearCry是本月最先被捕获使用Exchange漏洞投发勒索病毒的家族,新出现的PhoenixCryptoLocker可能与Evil黑客组织相关。
勒索病毒给企业和个人带来的影响范围越来越广,危害性也越来越大。本文介绍了一些勒索病毒的防范和处理措施,希望能够帮助读者免受勒索病毒侵害。
一、如何判断病情
如何判断计算机是否中了勒索病毒呢?勒索病毒有区别于其他病毒的明显特征:加密受害者主机的文档和数据,然后对受害者实施勒索,从中非法谋取私利。勒索病毒的主要目的是为了勒索,黑客在植入病毒完成加密后,会提示受害者您的文件已经被加密了无法再打开,需要支付赎金才能恢复文件。如果计算机出现了以下特征,可表明已经中了勒索病毒。
1、电脑桌面被篡改
服务器被感染勒索病毒后,最明显的特征是电脑桌面发生明显变化,即:桌面通常会出现新的文本文件或网页文件,这些文件用来说明如何解密的信息,同时桌面上显示勒索提示信息及解密联系方式。
下面为电脑感染勒索病毒后,几种典型的桌面发生变化的示意图。
2、文件后缀被篡改
服务器感染勒索病毒后,另外一个典型特征是:办公文档、照片、视频等文件的图标变为不可打开形式,或者文件扩展名被篡改。一般来说,文件扩展名会被改成勒索病毒家族的名称或其家族代表标志,如:GlobeImposter家族的扩展名为dream、TRUE、CHAK等;Satan家族的扩展名有satan、sicck;Crysis家族的扩展名有ARROW、arena等。
二、如何进行自救
1、正确处置方法
(一)隔离中招主机
处置方法
当确认服务器已经被感染勒索病毒后,应立即隔离被感染主机,隔离主要包括物理隔离和访问控制两种手段,物理隔离主要为断网或断电;访问控制主要是指对访问网络资源的权限进行严格的认证和控制。
1)物理隔离
物理隔离常用的操作方法是断网和关机。
断网主要操作步骤包括:拔掉网线、禁用网卡,如果是笔记本电脑还需关闭无线网络。
2)访问控制
访问控制常用的操作方法是加策略和修改登录密码。
加策略主要操作步骤为:在网络侧使用安全设备进行进一步隔离,如防火墙或终端安全监测系统;避免将远程桌面服务(RDP,默认端口为3389)暴露在公网上(如为了远程运维方便确有必要开启,则可通过VPN登录后才能访问),并关闭445、139、135等不必要的端口。
修改登录密码的主要操作为:立刻修改被感染服务器的登录密码;其次,修改同一局域网下的其他服务器密码;第三,修改最高级系统管理员账号的登录密码。修改的密码应为高强度的复杂密码,一般要求:采用大小写字母、数字、特殊符号混合的组合结构,口令位数足够长(15位、两种组合以上)。
处置原理
隔离的目的,一方面是为了防止感染主机自动通过连接的网络继续感染其他服务器;另一方面是为了防止黑客通过感染主机继续操控其他服务器。
有一类勒索病毒会通过系统漏洞或弱密码向其他主机进行传播,如WannaCry勒索病毒,一旦有一台主机感染,会迅速感染与其在同一网络的其他电脑,且每台电脑的感染时间约为1-2分钟左右。所以,如果不及时进行隔离,可能会导致整个局域网主机的瘫痪。
另外,近期也发现有黑客会以暴露在公网上的主机为跳板,再顺藤摸瓜找到核心业务服务器进行勒索病毒攻击,造成更大规模的破坏。
当确认服务器已经被感染勒索病毒后,应立即隔离被感染主机,防止病毒继续感染其他服务器,造成无法估计的损失。
(二)排查业务系统
处置方法
在已经隔离被感染主机后,应对局域网内的其他机器进行排查,检查核心业务系统是否受到影响,生产线是否受到影响,并检查备份系统是否被加密等,以确定感染的范围。
处置原理
业务系统的受影响程度直接关系着事件的风险等级。评估风险,及时采取对应的处置措施,避免更大的危害。
另外,备份系统如果是安全的,就可以避免支付赎金,顺利的恢复文件。
所以,当确认服务器已经被感染勒索病毒后,并确认已经隔离被感染主机的情况下,应立即对核心业务系统和备份系统进行排查。
(三)联系专业人员
在应急自救处置后,建议第一时间联系专业的技术人士或安全从业者,对事件的感染时间、传播方式,感染家族等问题进行排查。
2、错误处置方法
(一)使用移动存储设备
错误操作
当确认服务器已经被感染勒索病毒后,在中毒电脑上使用U盘、移动硬盘等移动存储设备。
错误原理
勒索病毒通常会对感染电脑上的所有文件进行加密,所以当插上U盘或移动硬盘时,也会立即对其存储的内容进行加密,从而造成损失扩大。从一般性原则来看,当电脑感染病毒时,病毒也可能通过U盘等移动存储介质进行传播。
所以,当确认服务器已经被感染勒索病毒后,切勿在中毒电脑上使用U盘、移动硬盘等设备。
(二)读写中招主机上的磁盘文件
错误操作
当确认服务器已经被感染勒索病毒后,轻信网上的各种解密方法或工具,自行操作。反复读取磁盘上的文件后反而降低数据正确恢复的概率。
错误原理
很多流行勒索病毒的基本加密过程为:
1)首先,将保存在磁盘上的文件读取到内存中;
2)其次,在内存中对文件进行加密;
3)最后,将修改后的文件重新写到磁盘中,并将原始文件删除。
也就是说,很多勒索病毒在生成加密文件的同时,会对原始文件采取删除操作。理论上说,使用某些专用的数据恢复软件,还是有可能部分或全部恢复被加密文件的。
而此时,如果用户对电脑磁盘进行反复的读写操作,有可能破坏磁盘空间上的原始文件,最终导致原本还有希望恢复的文件彻底无法恢复。
三、如何恢复系统
1、历史备份还原
如果事前已经对文件进行了备份,那么我们可以直接从云盘、硬盘或其他灾备系统中,恢复被加密的文件。值得注意的是,在文件恢复之前,应确保系统中的病毒已被清除,已经对磁盘进行格式化或是重装系统,以免插上移动硬盘的瞬间,或是网盘下载文件到本地后,备份文件也被加密。
事先进行备份,既是最有效也是成本最低的恢复文件的方式。
2、解密工具恢复
绝大多数勒索病毒使用的加密算法都是国际公认的标准算法,这种加密方式的特点是,只要加密密钥足够长,普通电脑可能需要数十万年才能够破解,破解成本是极高的。通常情况,如果不支付赎金是无法解密恢复文件的。
但是,对于以下三种情况,可以通过各大安全厂商提供的解密工具恢复感染文件:
1)勒索病毒的设计编码存在漏洞或并未正确实现加密算法;
2)勒索病毒的制造者主动发布了密钥或主密钥;
3)执法机构查获带有密钥的服务器,并进行了分享。
通过查询可靠安全厂商的网站,可以了解哪些勒索病毒可以被解密,同时采取相应措施。
3、重装系统
当文件无法解密,也觉得被加密的文件价值不大时,也可以采用重装系统的方法,恢复系统。但是,重装系统意味着文件再也无法被恢复。另外,重装系统后需更新系统补丁,并安装杀毒软件和更新杀毒软件的病毒库到最新版本,而且对于服务器也需要进行针对性的防黑加固。
4、如何加强防护
虽说部分勒索病毒目前已有解密工具,但勒索病毒制作成本低、利润高,新型勒索病毒层出不穷,并不是所有的勒索病毒都能进行解密。因此,加强勒索病毒的防护比中了勒索病毒之后再进行补救要有效得多。
对于高校师生,加强防护主要有以下相应措施:
养成良好的安全习惯
1)电脑应当安装具有云防护和主动防御功能的安全软件,不随意退出安全软件或关闭防护功能,对安全软件提示的各类风险行为不要轻易放行。
2)使用安全软件的第三方打补丁功能对系统进行漏洞管理,第一时间给操作系统和常用软件打好补丁,定期更新病毒库,以免病毒利用漏洞自动入侵电脑。
3)电脑设置的口令要足够复杂,包括数字、大小写字母、符号且长度至少应该有8位,不使用弱口令,以防攻击者破解。
4)重要文档数据应经常做备份,一旦文件损坏或丢失,也可以及时找回。
减少危险的上网操作
5)不要浏览来路不明的不良信息网站,这些网站经常被用于发动挂马、钓鱼攻击。
6)不要轻易打开陌生人发来的邮件附件或邮件正文中的网址链接。也不要轻易打开扩展名为js、vbs、wsf、bat、cmd、ps1等脚本文件和exe、scr、com等可执行程序,对于陌生人发来的压缩文件包,更应提高警惕,先使用安全软件进行检查后再打开。
7)电脑连接移动存储设备,如U盘、移动硬盘等,应首先使用安全软件检测其安全性。
8)对于安全性不确定的文件,可以选择在安全软件的沙箱功能中打开运行,从而避免木马对实际系统的破坏。
上一条:四格漫画丨网上冲浪第一步 个人隐私要保护
下一条:Incaseformat病毒简单处理方式
Copyright 2010-2021 Powered By 山西传媒学院
文华校区:山西省高校新区文华街125号(晋中市榆次区),邮编:030619
东华校区:山西省太原市五龙口街118号,邮编:030013 晋ICP备08101804号-1 晋公网安备 14070202000062号
勒索病毒的原理和防范机制研究_勒索软件防护原理是什么-CSDN博客
>勒索病毒的原理和防范机制研究_勒索软件防护原理是什么-CSDN博客
勒索病毒的原理和防范机制研究
最新推荐文章于 2024-01-19 18:17:45 发布
图书馆415章若楠
最新推荐文章于 2024-01-19 18:17:45 发布
阅读量1.1w
收藏
77
点赞数
9
分类专栏:
学习笔记
文章标签:
web安全
网络安全
安全
版权声明:本文为博主原创文章,遵循 CC 4.0 BY-SA 版权协议,转载请附上原文出处链接和本声明。
本文链接:https://blog.csdn.net/yrhych123/article/details/120431915
版权
学习笔记
专栏收录该内容
2 篇文章
0 订阅
订阅专栏
勒索病毒的原理和防范机制研究
什么是勒索病毒?近几年爆发的勒索病毒概况勒索病毒特征及危害勒索病毒通过什么方式入侵我们的电脑?勒索病毒的原理是什么?技术特点?现实生活中,我们该如何防范?小结
什么是勒索病毒?
【定义及传播】勒索病毒,是一种新型电脑病毒,主要以邮件、程序木马、网页挂马的形式进行传播。关于勒索病毒,最通俗易懂的理解就是,黑客通过攻击你的系统,把你的重要文件用一把锁锁住,然后威胁你“一手交钱一手交货”。 【影响】该病毒性质恶劣、危害极大,一旦感染将给用户带来无法估量的损失。 【密码学技术】这种病毒利用各种加密算法对文件进行加密,被感染者一般无法解密,必须拿到解密的私钥才有可能破解。 【喜好攻击对象】这种病毒很精明,一般很少入侵个人电脑,主要针对的是企业用户,原因是成本低,回报高。由于这把锁的钥匙只有攻击你的人才拥有,所以很多被攻击的企业为了找回自己的数据资料不得不支付动辄千万的赎金。与其他机构相比,医院的信息系统也比较有特殊性,如其中的医学记录、数据、病患资料以及预约信息等,都属于需要紧急使用的信息,被加密后,会造成比较大的影响,所以势必会想尽办法以最快速度恢复数据,比如,马上交赎金。所以常常看到勒索病毒的优先攻击对象往往是一些医院、企业、政府、高校、银行。
什么是挂马? :挂马是木马的一种传播方式。话句话说,木马是一种恶意软件,而挂马是使该软件进入用户电脑的途径之一。其中网页挂马指的是把一个木马程序上传到一个网站里面然后用木马生成器生一个网马,再上到空间里面!再加代码使得木马在打开网页时运行!
近几年爆发的勒索病毒概况
1、2017年5月,一种名为“想哭”(WannaCry)的勒索病毒袭击全球150多个国家和地区,30万名用户,近百个国家的政府、高校、医院等机构及个人的计算机收到感染,恶意加密用户个人文件,以解密诉求为由索要赎金,引发了迄今为止网络世界最大的安全危机。 2、2017年6月,欧洲、北美地区多个国家遭到新型勒索病毒“Petya”攻击。乌克兰受害严重,其政府部门、国有企业相继“中招”,多国的政府、银行、电力系统、通讯系统等多个行业均受到不同程度的影响。 3、2017年10月,俄罗斯、乌克兰等国遭到勒索病毒“坏兔子”攻击。乌克兰敖德萨国际机场、首都基辅的地铁支付系统及俄罗斯三家媒体中招,德国、土耳其等国随后也发现此病毒。 4、2018年2月,多家互联网安全企业截获了“Mind Lost”勒索病毒。 5、2018年2月,中国内便再次发生多起勒索病毒攻击事件。经腾讯企业安全分析发现,此次出现的勒索病毒正是GlobeImposter家族的变种,该勒索病毒将加密后的文件重命为.GOTHAM、.Techno、.DOC、.CHAK、.FREEMAN、.TRUE、.TECHNO等扩展名,并通过邮件来告知受害者付款方式,使其获利更加容易方便。 6、2018年3月,有杀毒软件厂商表示,他们监测到了“麒麟2.1”的勒索病毒。 7、2018年3月,国家互联网应急中心通过自主监测和样本交换形式共发现23个锁屏勒索类恶意程序变种。该类病毒通过对用户手机锁屏,勒索用户付费解锁,对用户财产和手机安全均造成严重威胁。 8、从2018年初到9月中旬,勒索病毒总计对超过200万台终端发起过攻击,攻击次数高达1700万余次,且整体呈上升趋势。 9、2018年12月,火绒安全团队曝光了一个以微信为支付手段的勒索病毒在国内爆发。几日内,该勒索病毒至少感染了10万台电脑,通过加密受害者文件的手段,已达到勒索赎金的目的,而受害者必需通过微信扫一扫支付110元赎金才能解密。 10、2018年12月,平安东莞账号证实“12.05”特大新型勒索病毒案已被侦破,根据上级公安机关“净网安网2018”专项行动有关部署,近日,东莞网警在省公安厅网警总队的统筹指挥,24小时内火速侦破“12.05”特大新型勒索病毒破坏计算机信息系统案,抓获病毒研发制作者罗某某(男,22岁,广东茂名人),缴获木马程序和作案工具一批。 11、2019年3月,瑞星安全专家发现通过发送恐吓邮件,诱使用户下载附件,导致重要文件被加密且无法解密的GandCrab5.2勒索病毒。 12、近日,国内很多公司都感染了后缀.file勒索病毒,甚至国内某个软件Saas云服务器全部沦陷,91数据恢复团队已经接到很多公司的求助,这些公司的服务器都因中毒感染.file后缀勒索病毒而导致公司业务停摆或耽误
勒索病毒特征及危害
以勒索病毒WannaCry为例。它与以前的勒索软件有非常明显的区别,具有蠕虫性质,特点和危害: 1、传播速度更快、传播范围更广。 2、全程自动化、攻击行为更隐蔽。 3、感染无法补救、危害程度深 什么是蠕虫性质? :蠕虫是一种可以自我复制的代码,并且通过网络传播,通常无需人为干预就能传播。蠕虫病毒入侵并完全控制一台计算机之后,就会把这台机器作为宿主,进而扫描并感染其他计算机。具有感染更强传播更快的特点。
勒索病毒通过什么方式入侵我们的电脑?
勒索病毒文件一旦进入本地,就会自动运行,同时删除勒索软件样本,以躲避查杀和分析。接下来,勒索病毒利用本地的互联网访问权限连接至黑客的C&C服务器,进而上传本机信息并下载加密私钥与公钥,利用私钥和公钥对文件进行加密。除了病毒开发者本人,其他人是几乎不可能解密。加密完成后,还会修改壁纸,在桌面等明显位置生成勒索提示文件,指导用户去缴纳赎金。且变种类型非常快,对常规的杀毒软件都具有免疫性。攻击的样本以exe、js、wsf、vbe等类型为主,对常规依靠特征检测的安全产品是一个极大的挑战。
勒索病毒的原理是什么?技术特点?
勒索类病毒都利用了密码学中的公钥密码算法来加密文件。有的病毒使用RSA加密(比如WannaCry病毒),有的使用椭圆曲线加密(比如CTB Locker)。 WannaCry病毒利用前阵子泄漏的方程式工具包中的“永恒之蓝”漏洞工具,进行网络端口扫描攻击,目标机器被成功攻陷后会从攻击机下载WannaCry病毒进行感染,并作为攻击机再次扫描互联网和局域网其他机器,形成蠕虫感染,大范围超快速扩散。病毒母体为mssecsvc.exe,运行后会扫描随机ip的互联网机器,尝试感染,也会扫描局域网相同网段的机器进行感染传播。此外,会释放敲诈者程序tasksche.exe,对磁盘文件进行加密勒索。病毒加密使用AES加密文件,并使用非对称加密算法RSA 2048加密随机密钥,每个文件使用一个随机密钥,理论上不可破解。
攻击流程图:
加密流程图:
密钥及加密关系:
现实生活中,我们该如何防范?
【企业防范】 1、在省一级以上的医院,将配备安全人员或相关预算(安全服务外包),可以定期做安全检测,相当于每年体检一次,知道问题在哪里,根据自己的产品部署安全或配备安全。 2、更改服务器口令:复杂度最好采用大小写字母、数字、特殊符号混合的组合结构、口令位数足够长(15位、两种组合以上),并且定期更换登录口令;服务器密码使用高强度和不规则密码,多台机器不使用相同或相似的口令,要求每个服务器使用不同的密码管理。 3、建立内部访问控制,建立服务器和工作站内部访问的相应控制,不需要互连需求,避免服务器在连接外部网络后被攻击,作为跳板被企业服务器攻击。 4、为安全专业人员部署云服务。我们不熟悉终端和服务器上的专业和安全保护软件。服务器可以考虑诸如不熟悉的腾讯云和专业安全保护功能等云服务。 【个人防范】 1、安全加固,对服务器和终端安装专业的安全防护软件;定期检测系统漏洞并修复,及时更新Flash、Java、以及一系列Web服务程序,打齐安全补丁。 2、保护你自己的文档,勒索病毒最想加密的是你的重要文件,所以平时注意备份,或者加密;对重要的数据、文件进行实时或定期备份,而且是异地备份。 3、关闭不必要的端口,默认情况下,许多端口对Windows开放,非法黑客可以通过这些端口连接到您的计算机。尽可能关闭445, 135, 139和其他不需要的端口,3389端口可以是白名单配置,只允许白名单的IP连接登录。 4、关闭不必要的文件共享。文件共享也有风险。如有必要,请使用ACL和强密码保护来限制访问权限,并禁用对共享文件夹的匿名访问。 5、不要点击陌生链接、来源不明的邮件附件,打开前使用安全扫描,确认安全性,尽量从软件管家或官网等可信渠道下载软件;要养成上网的良好习惯。
小结
网络安全的威胁来源和攻击手段不断变化,不是依靠几个病毒防护软件就可永保网络安全,而是需要树立动态、综合的防护理念。新的网络攻击必须要有新的核心技术才能应对,可信计算技术体系及其产品具有主动免疫、动态防御、快速响应等特点,可有效应对非预知病毒木马,改变网络攻击被动挨打,受制于人的局面,是建立网络空间主动免疫的安全防御体系的有利支撑。
优惠劵
图书馆415章若楠
关注
关注
9
点赞
踩
77
收藏
觉得还不错?
一键收藏
知道了
0
评论
勒索病毒的原理和防范机制研究
勒索病毒的原理和防范机制研究什么是勒索病毒?近几年爆发的勒索病毒概况勒索病毒特征及危害勒索病毒通过什么方式入侵我们的电脑?5、勒索病毒的原理是什么?技术特点?现实生活中,我们该如何防范?小结什么是勒索病毒?【定义及传播】勒索病毒,是一种新型电脑病毒,主要以邮件、程序木马、网页挂马的形式进行传播。关于勒索病毒,最通俗易懂的理解就是,黑客通过攻击你的系统,把你的重要文件用一把锁锁住,然后威胁你“一手交钱一手交货”。【影响】该病毒性质恶劣、危害极大,一旦感染将给用户带来无法估量的损失。【密码学技术】这种病
复制链接
扫一扫
专栏目录
[图解] 勒索病毒加密原理
Qode
08-13
7894
示意图
原理
公开密钥密码体制 要求密钥成对出现,一个用于加密,另一个用于解密,并且且不可能从其中一个推导出另一个。
加密过程
病毒作者首先在自己电脑上生成的 私钥Q 和 公钥Q,算法可以基于RSA或者椭圆曲线。
病毒在目标电脑上随机生成 私钥Z 和 公钥Z
将用户电脑上的文件通过 公钥Z 加密
将用户电脑上的 私钥Z 通过 公钥Q 加密
删除用户电脑上的 私钥Z 、公钥Q、数据
解密过程
支付...
关于预防勒索病毒的应急防范措施.pdf
09-15
关于预防勒索病毒的应急防范措施。
参与评论
您还未登录,请先
登录
后发表或查看评论
勒索病毒:原理与防御
最新发布
m0_73734159的博客
01-19
622
保持操作系统和软件的更新、安装可靠的反病毒软件、不随意打开未知邮件和链接、定期备份重要文件和提高网络安全意识等措施都是预防勒索病毒的有效手段。勒索病毒,又称为Ransomware,是一种恶意软件,通过感染电脑系统、服务器或者手机等设备,使用户文件被加密,从而向用户索取赎金以解锁文件。提高网络安全意识:提高网络安全意识,不轻信陌生邮件、链接和附件,可以有效降低感染勒索病毒的风险。保持操作系统和软件的更新:及时更新操作系统、软件和安全补丁,可以有效防止勒索病毒的感染。
勒索病毒的原理和防御学习说明资料
08-28
勒索病毒的原理和防御
勒索病毒防范指南
m0_68649618的博客
04-10
1084
2017年4月中旬,"永恒之蓝"攻击工具在网络盛传,5月不法分子通过改造此工具制作了WannaCry勒索病毒,一时间全球众多医院、高校、企业、政府及个人PC接连不断中招,受害者被要求支付高额赎金才可解密恢复文件,这是勒索病毒第一次以如此"亲民"的方式大规模渗透进各类网络。
2017年12月13日,"勒索病毒"入选国家语言资源监测与研究中心发布的"2017年度中国媒体十大新词语"。由于近年来数字加密币的流行,勒索病毒感染正处于愈演愈烈的态势。
无法估量损失的新型电脑病毒
勒索病毒(英:Ra...
勒索软件工作原理
NewTyun的博客
06-06
825
新钛云服已累计为您分享646篇技术干货勒索软件的工作原理是通过非对称加密方法加密用户的文件。勒索软件是一种恶意软件,也称为恶意软件,勒索软件通过攻击用户的计算机或设备来工作,并通过加密来阻止他们访问其文件。然后,攻击者要求金钱以换取解密文件。勒索软件可以通过多种方式攻击和加密文件,这些方法具有不同程度的复杂性。勒索软件如何获得访问权限与所有恶意软件一样,勒索软件必须绕过设...
勒索软件的原理
m0_62063669的博客
08-04
1619
算法,将受害者本地生成的RSA私钥进行了加密。通过这两步,只有作者使用自己私钥解密受害者RSA私钥后,受害者才能还原到本地AES密钥,从而使用AES算法解密文件。2. 借杀毒软件之名,假称在用户系统发现了安全威胁,令用户感到恐慌,从而购买所谓。会伪装成反病毒软件,谎称在用户的系统中发现病毒,诱骗用户付款购买。勒索软件攻破企业网络之后,如果顺利获取重要数据,就会进入下一环节,但如果没有。3. 计算机屏幕弹出的提示消息,称用户文件被加密,要求支付赎金。用户文档,只有在用户支付赎金后,才提供解密文档的方法。...
勒索病毒的原理与防范
2302_76601220的博客
11-17
351
什么是勒索病毒?
【定义及传播】勒索病毒,是一种新型电脑病毒,主要以邮件、程序木马、网页挂马的形式进行传播。关于勒索病毒,最通俗易懂的理解就是,黑客通过攻击你的系统,把你的重要文件用一把锁锁住,然后威胁你“一手交钱一手交货”。
【影响】该病毒性质恶劣、危害极大,一旦感染将给用户带来无法估量的损失。
【密码学技术】这种病毒利用各种加密算法对文件进行加密,被感染者一般无法解密,必须拿到解密的私钥才有可能破解。
【喜好攻击对象】这种病毒很精明,一般很少入侵个人电脑,主要针对的是企业用户,原因是成本低,
应急响应二 - 后门分析&勒索病毒&攻击
acepanhuan的博客
04-01
851
应急响应二 - 后门分析&勒索病毒&攻击
Wannacry勒索病毒分析
热门推荐
qq_31507523的博客
06-17
1万+
Wannacry病毒分析
在15pb刚毕业,准备找活了,之前有幸听过奇安信的招聘会,大佬说,永恒之蓝病毒现在还在某些地方流行着,是经典的勒索病毒。这让我觉得分析这个病毒是刷经验的好机会,所以就在决定分析一下这个在2017年的纵横江湖无敌手的勒索之王,由于是新手入坑,不对之处还请多多指教(●ˇ∀ˇ●)
分析平台:win7虚拟机
分析工具:OD、IDA
辅助工具:LordPE、PEID、010Edi...
勒索病毒c语言源代码,勒索病毒原理解析
weixin_35355756的博客
05-22
5500
一、编程思路什么是勒索病毒:遍历你电脑上所有文件,并且用加密算法加密,然后把加密秘钥发送到自己邮箱里,弹出窗口。工具:操作系统API,加密算法思路:1.程序设计 思路规划清楚1.1 加密单个文件1.2 遍历文件系统并加密文件2.工程实现: 编程3.测试上线 :、测试欢迎加入学习群【892643663】,获取全套免费C/C++企业实战级课程资源(素材+源码+视频)和编译大礼包二、代码解析//文件遍...
五重防护 | 构建勒索病毒纵深防护体系
weixin_74412513的博客
11-07
312
通过事前防护、事中拦截、事后响应处置以及可信安全区等五重防护措施,组合应用,层层拦截,形成多层次的纵深防御能力,快速有效阻断勒索加密。让主机带毒运行拒绝被勒索,让数据不被窃取拒绝被威胁。
勒索软件Snatch攻击原理分析
m0_38103658的博客
04-24
918
勒索软件Snatch攻击原理分析
0x00 前言
近日有国外安全研究人员发现了一款名为“Snatch”的勒索软件,该勒索软件利用Windows的功能来绕过安装在PC上的安全软件,同时将本身的恶意程序作为服务自启项,从而对PC进行全盘加密,最后向受害者勒索比特币。
截止到10月中旬,Sophos安全公司已经收到了12例关于该勒索软件的反馈报告,要求比特币赎金在2900美元至51000美元之间。在安全...
挥之不去的幽灵:2023年勒索攻击盘点
lurenjia404的博客
12-22
206
2023年以来,尤其是近几个月,勒索软件的活动更为猖獗,在数量上再次创下历史新高。据Zscaler发布的《2023 年全球勒索软件报告》显示,截至2023年10月,全球勒索软件攻击数量同比增长37.75%,勒索软件的有效攻击载荷激增了 57.50%。
如何防勒索病毒
wenxiudaren的博客
12-17
1402
防勒索病毒,主机加固是关键
什么是勒索病毒?
勒索病毒并不是某一个病毒,而是一类病毒的统称,主要以邮件、程序、木马、网页挂马的形式进行传播,利用各种加密算法对文件进行加密,被感染者一般无法解密,必须拿到解密的私钥才有可能破解。
已知最早的勒索软件出现于 1989 年,名为“艾滋病信息木马”(Trojan/DOS.AidsInfo,亦称“PC Cyborg木马”),其作者为 Joseph Popp。早期的勒索病毒主要通过钓鱼邮件,挂马,社交网络方
从数据小偷到骗钱大王,黑客是如何用勒索攻击走上“人生癫疯”的?
xiangxueerfei的博客
03-02
444
你眼中的黑客还是靠高超技艺潜入别家电脑系统拿点数据就走的“小偷”吗?然鹅,在这个数据爆炸的时代,你的数据或许也不那么值钱了。正所谓人为财死,鸟为食亡。为了尽可能捞得金钱,黑客可是啥缺德手段都干得出来——比如勒索攻击。在成了黑客的“新宠”后,如今的勒索攻击不仅是个人和小型企业的噩梦,政府更是他们值得担点风险大捞特捞的主儿~近日,美国佛罗里达州RivieraCity和LakeCity两个城市接连遭到勒索软件攻击。黑客的举动导致两个城市的市政系统受到严重破坏,几乎全部计算机系统都感染了勒索软件。
勒索病毒是什么?防勒索病毒我们该怎么做?
cnsinda_sdc的博客
03-18
6944
什么是勒索病毒?
勒索病毒并不是某一个病毒,而是一类病毒的统称,主要以邮件、程序、木马、网页挂马的形式进行传播,利用各种加密算法对文件进行加密,被感染者一般无法解密,必须拿到解密的私钥才有可能破解。
已知最早的勒索软件出现于 1989 年,名为“艾滋病信息木马”(Trojan/DOS.AidsInfo,亦称“PC Cyborg木马”),其作者为 Joseph Popp。早期的勒索病毒主要通过钓鱼邮件,挂马,社交网络方式传播,使用转账等方式支付赎金,其攻击范畴和持续攻击能力相对有限,相对容易追查。..
遇到勒索病毒怎么办
super_m@n的博客
03-02
751
勒索病毒
文章目录勒索病毒@[toc]病毒特征所有的文件打开后都弹出一个文本,纯英文,原位大意是:需要联系某邮箱并支付一定数额的比特币才能解锁文件后缀为`Devos`,完整的文件名字为`[原文件名]+[随机字符]+[勒索邮箱].Devos`其他后缀 `.bip .dbger .ARROW .. ALCO .snake4444 .tiger4444 .rooster4444 .dog4444 .pig4444 .dragon4444 .crazy` 很多很多传播途径RDP爆破 + 人工投放邮件钓鱼 + 软
公有云防勒索病毒原理
08-25
公有云防勒索病毒的原理是通过配置安全组和云防火墙来过滤流量,从而提供对云主机的保护。安全组配置在云主机的虚拟网卡上,安全组规则对云主机的东西向和南北向流量生效。而云防火墙配置在VPC的流量统一出口处,对...
“相关推荐”对你有帮助么?
非常没帮助
没帮助
一般
有帮助
非常有帮助
提交
图书馆415章若楠
CSDN认证博客专家
CSDN认证企业博客
码龄5年
暂无认证
2
原创
117万+
周排名
40万+
总排名
1万+
访问
等级
31
积分
6
粉丝
10
获赞
1
评论
81
收藏
私信
关注
热门文章
勒索病毒的原理和防范机制研究
11574
Web安全学习记录(一)
1505
分类专栏
学习笔记
2篇
最新评论
Web安全学习记录(一)
我是榜样:
写的什么东西
最新文章
Web安全学习记录(一)
2021年2篇
目录
目录
分类专栏
学习笔记
2篇
目录
评论
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
查看更多评论
添加红包
祝福语
请填写红包祝福语或标题
红包数量
个
红包个数最小为10个
红包总金额
元
红包金额最低5元
余额支付
当前余额3.43元
前往充值 >
需支付:10.00元
取消
确定
下一步
知道了
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝
规则
hope_wisdom 发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额
0
抵扣说明:
1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。 2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。
余额充值
勒索病毒的防范处理措施-信息中心(网信办)
勒索病毒的防范处理措施-信息中心(网信办)
站内搜索
设为首页 |
学校主页 |
中心首页
首页
网络安全资讯
安全防护通报
安全法规
漏洞信息
网络安全知识
网络安全宣传周
网络安全知识
首页
网络安全资讯
安全防护通报
安全法规
漏洞信息
网络安全知识
网络安全宣传周
您当前所在的位置:
首页
->
网络安全知识
->
正文
勒索病毒的防范处理措施
发布日期:2021-09-10 来源: 点击量:
自2017年5月WannaCry(永恒之蓝勒索蠕虫)大规模暴发以来,勒索病毒对政企机构和网民的威胁极大:企业数据泄露风险不断上升,数百万甚至上亿赎金的勒索案件不断出现。
2021年3月,全球新增活跃勒索病毒:FancyBear、Hog、DearCry、Sarbloh、BadGopher、RunExeMemory、Phoenix CryptoLocker等。其中FancyBear还处于开发阶段,DearCry是本月最先被捕获使用Exchange漏洞投发勒索病毒的家族,新出现的PhoenixCryptoLocker可能与Evil黑客组织相关。
勒索病毒给企业和个人带来的影响范围越来越广,危害性也越来越大。本文介绍了一些勒索病毒的防范和处理措施,希望能够帮助读者免受勒索病毒侵害。
一、如何判断病情
如何判断计算机是否中了勒索病毒呢?勒索病毒有区别于其他病毒的明显特征:加密受害者主机的文档和数据,然后对受害者实施勒索,从中非法谋取私利。勒索病毒的主要目的是为了勒索,黑客在植入病毒完成加密后,会提示受害者您的文件已经被加密了无法再打开,需要支付赎金才能恢复文件。如果计算机出现了以下特征,可表明已经中了勒索病毒。
1、电脑桌面被篡改
服务器被感染勒索病毒后,最明显的特征是电脑桌面发生明显变化,即:桌面通常会出现新的文本文件或网页文件,这些文件用来说明如何解密的信息,同时桌面上显示勒索提示信息及解密联系方式。
下面为电脑感染勒索病毒后,几种典型的桌面发生变化的示意图。
2、文件后缀被篡改
服务器感染勒索病毒后,另外一个典型特征是:办公文档、照片、视频等文件的图标变为不可打开形式,或者文件扩展名被篡改。一般来说,文件扩展名会被改成勒索病毒家族的名称或其家族代表标志,如:GlobeImposter家族的扩展名为dream、TRUE、CHAK等;Satan家族的扩展名有satan、sicck;Crysis家族的扩展名有ARROW、arena等。
二、如何进行自救
1、正确处置方法
(一)隔离中招主机
处置方法
当确认服务器已经被感染勒索病毒后,应立即隔离被感染主机,隔离主要包括物理隔离和访问控制两种手段,物理隔离主要为断网或断电;访问控制主要是指对访问网络资源的权限进行严格的认证和控制。
1)物理隔离
物理隔离常用的操作方法是断网和关机。
断网主要操作步骤包括:拔掉网线、禁用网卡,如果是笔记本电脑还需关闭无线网络。
2)访问控制
访问控制常用的操作方法是加策略和修改登录密码。
加策略主要操作步骤为:在网络侧使用安全设备进行进一步隔离,如防火墙或终端安全监测系统;避免将远程桌面服务(RDP,默认端口为3389)暴露在公网上(如为了远程运维方便确有必要开启,则可通过VPN登录后才能访问),并关闭445、139、135等不必要的端口。
修改登录密码的主要操作为:立刻修改被感染服务器的登录密码;其次,修改同一局域网下的其他服务器密码;第三,修改最高级系统管理员账号的登录密码。修改的密码应为高强度的复杂密码,一般要求:采用大小写字母、数字、特殊符号混合的组合结构,口令位数足够长(15位、两种组合以上)。
处置原理
隔离的目的,一方面是为了防止感染主机自动通过连接的网络继续感染其他服务器;另一方面是为了防止黑客通过感染主机继续操控其他服务器。
有一类勒索病毒会通过系统漏洞或弱密码向其他主机进行传播,如WannaCry勒索病毒,一旦有一台主机感染,会迅速感染与其在同一网络的其他电脑,且每台电脑的感染时间约为1-2分钟左右。所以,如果不及时进行隔离,可能会导致整个局域网主机的瘫痪。
另外,近期也发现有黑客会以暴露在公网上的主机为跳板,再顺藤摸瓜找到核心业务服务器进行勒索病毒攻击,造成更大规模的破坏。
当确认服务器已经被感染勒索病毒后,应立即隔离被感染主机,防止病毒继续感染其他服务器,造成无法估计的损失。
(二)排查业务系统
处置方法
在已经隔离被感染主机后,应对局域网内的其他机器进行排查,检查核心业务系统是否受到影响,生产线是否受到影响,并检查备份系统是否被加密等,以确定感染的范围。
处置原理
业务系统的受影响程度直接关系着事件的风险等级。评估风险,及时采取对应的处置措施,避免更大的危害。
另外,备份系统如果是安全的,就可以避免支付赎金,顺利的恢复文件。
所以,当确认服务器已经被感染勒索病毒后,并确认已经隔离被感染主机的情况下,应立即对核心业务系统和备份系统进行排查。
(三)联系专业人员
在应急自救处置后,建议第一时间联系专业的技术人士或安全从业者,对事件的感染时间、传播方式,感染家族等问题进行排查。
2、错误处置方法
(一)使用移动存储设备
错误操作
当确认服务器已经被感染勒索病毒后,在中毒电脑上使用U盘、移动硬盘等移动存储设备。
错误原理
勒索病毒通常会对感染电脑上的所有文件进行加密,所以当插上U盘或移动硬盘时,也会立即对其存储的内容进行加密,从而造成损失扩大。从一般性原则来看,当电脑感染病毒时,病毒也可能通过U盘等移动存储介质进行传播。
所以,当确认服务器已经被感染勒索病毒后,切勿在中毒电脑上使用U盘、移动硬盘等设备。
(二)读写中招主机上的磁盘文件
错误操作
当确认服务器已经被感染勒索病毒后,轻信网上的各种解密方法或工具,自行操作。反复读取磁盘上的文件后反而降低数据正确恢复的概率。
错误原理
很多流行勒索病毒的基本加密过程为:
1)首先,将保存在磁盘上的文件读取到内存中;
2)其次,在内存中对文件进行加密;
3)最后,将修改后的文件重新写到磁盘中,并将原始文件删除。
也就是说,很多勒索病毒在生成加密文件的同时,会对原始文件采取删除操作。理论上说,使用某些专用的数据恢复软件,还是有可能部分或全部恢复被加密文件的。
而此时,如果用户对电脑磁盘进行反复的读写操作,有可能破坏磁盘空间上的原始文件,最终导致原本还有希望恢复的文件彻底无法恢复。
三、如何恢复系统
1、历史备份还原
如果事前已经对文件进行了备份,那么我们可以直接从云盘、硬盘或其他灾备系统中,恢复被加密的文件。值得注意的是,在文件恢复之前,应确保系统中的病毒已被清除,已经对磁盘进行格式化或是重装系统,以免插上移动硬盘的瞬间,或是网盘下载文件到本地后,备份文件也被加密。
事先进行备份,既是最有效也是成本最低的恢复文件的方式。
2、解密工具恢复
绝大多数勒索病毒使用的加密算法都是国际公认的标准算法,这种加密方式的特点是,只要加密密钥足够长,普通电脑可能需要数十万年才能够破解,破解成本是极高的。通常情况,如果不支付赎金是无法解密恢复文件的。
但是,对于以下三种情况,可以通过各大安全厂商提供的解密工具恢复感染文件:
1)勒索病毒的设计编码存在漏洞或并未正确实现加密算法;
2)勒索病毒的制造者主动发布了密钥或主密钥;
3)执法机构查获带有密钥的服务器,并进行了分享。
通过查询可靠安全厂商的网站,可以了解哪些勒索病毒可以被解密,同时采取相应措施。
3、重装系统
当文件无法解密,也觉得被加密的文件价值不大时,也可以采用重装系统的方法,恢复系统。但是,重装系统意味着文件再也无法被恢复。另外,重装系统后需更新系统补丁,并安装杀毒软件和更新杀毒软件的病毒库到最新版本,而且对于服务器也需要进行针对性的防黑加固。
4、如何加强防护
虽说部分勒索病毒目前已有解密工具,但勒索病毒制作成本低、利润高,新型勒索病毒层出不穷,并不是所有的勒索病毒都能进行解密。因此,加强勒索病毒的防护比中了勒索病毒之后再进行补救要有效得多。
对于高校师生,加强防护主要有以下相应措施:
养成良好的安全习惯
1)电脑应当安装具有云防护和主动防御功能的安全软件,不随意退出安全软件或关闭防护功能,对安全软件提示的各类风险行为不要轻易放行。
2)使用安全软件的第三方打补丁功能对系统进行漏洞管理,第一时间给操作系统和常用软件打好补丁,定期更新病毒库,以免病毒利用漏洞自动入侵电脑。
3)电脑设置的口令要足够复杂,包括数字、大小写字母、符号且长度至少应该有8位,不使用弱口令,以防攻击者破解。
4)重要文档数据应经常做备份,一旦文件损坏或丢失,也可以及时找回。
减少危险的上网操作
5)不要浏览来路不明的不良信息网站,这些网站经常被用于发动挂马、钓鱼攻击。
6)不要轻易打开陌生人发来的邮件附件或邮件正文中的网址链接。也不要轻易打开扩展名为js、vbs、wsf、bat、cmd、ps1等脚本文件和exe、scr、com等可执行程序,对于陌生人发来的压缩文件包,更应提高警惕,先使用安全软件进行检查后再打开。
7)电脑连接移动存储设备,如U盘、移动硬盘等,应首先使用安全软件检测其安全性。
8)对于安全性不确定的文件,可以选择在安全软件的沙箱功能中打开运行,从而避免木马对实际系统的破坏。
上一条:四格漫画丨网上冲浪第一步 个人隐私要保护
下一条:Incaseformat病毒简单处理方式
Copyright 2010-2021 Powered By 山西传媒学院
文华校区:山西省高校新区文华街125号(晋中市榆次区),邮编:030619
东华校区:山西省太原市五龙口街118号,邮编:030013 晋ICP备08101804号-1 晋公网安备 14070202000062号
勒索病毒防范措施与应急响应指南 - FreeBuf网络安全行业门户
勒索病毒防范措施与应急响应指南 - FreeBuf网络安全行业门户
主站 分类
漏洞
工具
极客
Web安全
系统安全
网络安全
无线安全
设备/客户端安全
数据安全
安全管理
企业安全
工控安全
特色
头条
人物志
活动
视频
观点
招聘
报告
资讯
区块链安全
标准与合规
容器安全
公开课
报告 专辑 ···公开课···商城···
用户服务
··· 行业服务
政 府
CNCERT
CNNVD
会员体系(甲方)
会员体系(厂商)
产品名录
企业空间
知识大陆 搜索 创作中心 登录注册 官方公众号企业安全新浪微博 FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。 FreeBuf+小程序把安全装进口袋 勒索病毒防范措施与应急响应指南
关注
终端安全企业安全 勒索病毒防范措施与应急响应指南
2019-08-30 08:00:09
所属地 广东省 此前我写过一篇文章《企业中了勒索病毒该怎么办?可以解密吗?》,里面介绍了很多解密的网站,并教了大家如何快速识别企业中了哪个勒索病毒家族,以及此勒索病毒是否有解密工具,也包含一些简单的勒索病毒应急处理方法,这篇我将重点讲解一下,作为一名安全应急响应人员,该如何去处理勒索病毒,可以给客户提供哪些勒索病毒防范措施和应急响应指导等。 关于勒索病毒,很多朋友在后台留言常常会问我这两个问题: 1.企业还没有中勒索,但领导很害怕,该如何防范呢?有哪些建议和指导 2.企业已经中了勒索,该如何快速进行应急响应?有哪些建议和指导 企业应该如何做好安全防护,主要从以下几个方面入手: 1.部署可靠高质量的防火墙、安装防病毒终端安全软件,检测应用程序、拦截可疑流量,使防病毒软件保持最新,设置为高强度安全防护级别,还可以使用软件限制策略防止未经授权的应用程序运行 2.关注最新的漏洞,及时更新电脑上的终端安全软件,修复最新的漏洞 3.关闭不必要的端口,目前发现的大部分勒索病毒通过开放的RDP端口进行传播,如果业务上无需使用RDP,建议关闭RDP,以防止黑客通过RDP爆破攻击 4.培养员工的安全意识,这点非常重要,如果企业员工不重视安全,迟早会出现安全问题,安全防护的重点永远在于人,人也是最大的安全漏洞,企业需要不定期给员工进行安全教育的培训,与员工一起开展安全意识培训、检查和讨论: 1)设置高强度的密码,而且要不定期进行密码的更新,避免使用统一的密码,统一的密码会导致企业多台电脑被感染的风险,此前我就遇到过一个企业内网的密码都使用同一个的情况,导致企业内部多台电脑被勒索加密 2)企业内部应用程序的管控与设置,所有的软件都由IT部门统一从正规的网站进行下载,进行安全检测之后,然后再分发给企业内部员工,禁止员工自己从非正规的网站下载安装软件 3)企业内部使用的office等软件,要进行安全设置,禁止宏运行,避免一些恶意软件通过宏病毒的方式感染主机 4)从来历不明的网站下载的一些文档,要经过安全检测才能打开使用,切不可直接双击运行 5)谨慎打开来历不明的邮件,防止被邮件钓鱼攻击和垃圾邮件攻击,不要随便点击邮件中的不明附件或快捷方式,网站链接等,防止网页挂马,利用漏洞攻击等 6)可以不定期进行安全攻防演练,模拟攻击等,让员工了解黑客有哪些攻击手法 7)可以给员工进行勒索病毒感染实例讲解,用真实的勒索病毒样本,进行模拟感染攻击,让员工了解勒索病毒的危害 5.养成良好的备份习惯,对重要的数据和文档进行定期非本地备份,可使用移动存储设置保存关键数据,同时要定期测试保存的备份数据是否完整可用 勒索病毒的特征一般都很明显,会加密磁盘的文件,并在磁盘相应的目录生成勒索提示信息文档或弹出相应的勒索界面,如果你发现你的文档和程序无法打开,磁盘中的文件被修改,桌面壁纸被替换,提示相应的勒索信息,要求支付一定的赎金才能解密,说明你的电脑中了勒索病毒。 企业中了勒索,该如何应急,主要从以下几个方面入手: 1.隔离被感染的服务器主机 拔掉中毒主机网线,断开主机与网络的连接,关闭主机的无线网络WIFI、蓝牙连接等,并拔掉主机上的所有外部存储设备 2.确定被感染的范围 查看主机中的所有文件夹、网络共享文件目录、外置硬盘、USB驱动器,以及主机上云存储中的文件等,是否已经全部加密了 3.确定是被哪个勒索病毒家族感染的,在主机上进行溯源分析,查看日志信息等 主机被勒索病毒加密之后,会在主机上留上一些勒索提示信息,我们可以先去加密后的磁盘目录找到勒索提示信息,有些勒索提示信息上就有这款勒索病毒的标识,显示是哪一种勒索病毒,比方GandCrab的勒索提示信息,最开始都标明了是哪一个版本的GandCrab勒索病毒版本,可以先找勒索提示信息,再进行溯源分析 溯源分析一般通过查看主机上保留的日志信息,以及主机上保留的样本信息,通过日志可以判断此勒索病毒可能是通过哪种方式进来的,比方发现文件被加密前某个时间段有大量的RDP爆破日志,并成功通过远程登录过主机,然后在主机的相应目录发现了病毒样本,可能猜测这款勒索病毒可能是通过RDP进来的,如果日志被删除了,就只能去主机上找相关的病毒样本或可疑文件,通过这些可疑的文件来猜测可能是通过哪种方式进来的,比方有些是能过银行类木马下载传播的,有些是通过远控程序下载传播的,有些是通过网页挂马方式传播的,还可以去主机的浏览器历史记录中去找相关的信息等等 4.找到病毒样本,提取主机日志,进行溯源分析之后,关闭相应的端口、网络共享、打上相应的漏洞补丁,修改主机密码,安装高强度防火墙,防病毒软件等措施,防止被二次感染勒索 5.进行数据和业务的恢复,如果主机上的数据存在备份,则可以还原备份数据,恢复业务,如果主机上的数据没有备份,可以在确定是哪种勒索病毒家族之后,查找相应的解密工具,解密工具网站可以看我上一篇文章中提到的,事实上现在大部分流行勒索病毒并没有解密工具,如果数据比较重要,业务又急需恢复,可以考虑使用下面方式尝试恢复数据和业务: 1)可以通过一些磁盘数据恢复手段,恢复被删除的文件 2)可以跟一些第三方解密中介或直接通过邮件的方式联系黑客进行协商解密(但不推荐),可能就是因为现在交钱解密的企业越来越多,导致勒索病毒家族变种越来越多,攻击越来越频繁,还有很多企业中了勒索病毒暗地里就交钱解密了 现在很多勒索病毒都使用邮件或解密网站,要求受害者通过这些网站进行解密操作,而且都是使用BTC进行交易,而且功能非常完善,下面我们就来分析一下最近很流行的Sodinokibi勒索病毒的解密网站,如下所示: 网站的主机提示你被加密了,需要支持0.24790254的BTC(=2500美元),如果超过了时间限制,则可能需要支付0.49580508的BTC(=5000美元) 黑客还担心受害者不知道BTC是啥,事实上国内有些企业中了勒索,想交赎金,但不知道BTC从哪里来,于时黑客就给出了详细的步骤教受害者如何进行解密,以及如果购买BTC操作等,如下所示: 黑客还建议了受害者通过https://www.blockchain.com/explorer这个网站注册BTC钱包,然后购买相应的BTC,再将BTC转入黑客的BTC钱包帐户,同时黑客还提示了使用多种方式可以购买BTC的链接,如下所示: 还贴出来了相应的链接,指导受害者如何购买BTC的详细教程等等,如下所示: 同时黑客还怕受害者不相信可以解密,可以帮受害者免费解密几个文件,但不包含大的数据文件,只能是10MB以下的,如下所示: BTC注册网站: https://www.blockchain.com BTC购买链接: https://www.coinmama.com/ https://www.korbit.co.kr/ https://www.coinfloor.co.uk/ https://coinfinity.co/ https://www.bitpanda.com/en https://btcdirect.eu/ https://www.paymium.com/ https://bity.com/ https://www.coincorner.com/ https://www.happycoins.com https://www.bitfinex.com/ https://poloniex.com/ https://cex.io/ https://www.huobi.com/ https://bittylicious.com/ https://coincafe.com/ https://www.coinhouse.com https://safello.com/ https://localbitcoins.com/ https://www.virwox.com/ https://www.bitquick.co/ https://wallofcoins.com https://libertyx.com https://bitit.io/ https://coinatmradar.com/ BTC如何购买: https://howtobuybitcoins.info/ https://bittybot.co/eu/ https://www.buybitcoinworldwide.com/ http://bitcoin-net.com/ 黑客还开通了聊天窗口,可以跟黑客进行沟通协商,讨价还价等等,如下所示: 从上面可以看出黑客为了让受害者能交付赎金,做了一个专门的网站进行指导,可以看出这款勒索病毒背后一定是有一支强大的运营团队 最后友善提醒: 不建议企业向黑客支付BTC,也不建议企业找第三方中介解密,因为这样会促长这个行业的不断增加,现在大部分勒索病毒无法解密,请各企业做好相应的防范措施,按上面的一些指导方法和建议进行勒索病毒的防御,勒索病毒的重点在于防御! *本文作者:熊猫正正,转载须注明来自FreeBuf.COM 本文作者:,
转载请注明来自FreeBuf.COM # 应急响应 # 勒索病毒 # 防范
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
展开更多
相关推荐
关 注 0 文章数 0 关注者 本站由阿里云 提供计算与安全服务 用户服务 有奖投稿 提交漏洞 参与众测 商城 企业服务 安全咨询 产业全景图 企业SRC 安全众测 合作信息 斗象官网 广告投放 联系我们 友情链接 关于我们 关于我们 加入我们 微信公众号 新浪微博 战略伙伴 FreeBuf+小程序 扫码把安全装进口袋 斗象科技 FreeBuf 漏洞盒子 斗象智能安全平台 免责条款 协议条款
Copyright © 2020 WWW.FREEBUF.COM All Rights Reserved
沪ICP备13033796号
|
沪公安网备
什么是勒索软件?如何防御勒索软件? - 华为
什么是勒索软件?如何防御勒索软件? - 华为
本站点使用Cookies,继续浏览表示您同意我们使用Cookies。
Cookies和隐私政策>
技术支持
运营商入口
公告
中文
English
首页
信息速查
IP知识百科
在线课堂
产品智能选型
首页
信息速查
产品智能选型
IP知识百科
中文
English
登录
提示
确定
取消
IP知识百科
IP知识百科
>
勒索软件
什么是勒索软件
勒索软件又称勒索病毒,是一种特殊的恶意软件,又被归类为“阻断访问式攻击”(denial-of-access attack),与其他病毒最大的不同在于攻击手法以及中毒方式。勒索软件的攻击方式是将受害者的电脑锁起来或者系统性地加密受害者硬盘上的文件,以此来达到勒索的目的。所有的勒索软件都会要求受害者缴纳赎金以取回对电脑的控制权,或是取回受害者根本无从自行获取的解密密钥以便解密文件。勒索软件一般通过木马病毒的形式传播,将自身掩盖为看似无害的文件,通常假冒普通电子邮件等社会工程学方法欺骗受害者点击链接下载,但也有可能与许多其他蠕虫病毒一样利用软件的漏洞在互联网的电脑间传播。
目录
勒索软件的类型
勒索软件的入侵方式
如何防御勒索软件
如何处置勒索软件
更多
收起
勒索软件的类型
根据勒索软件对受害者系统采取的措施,主要可以分为以下几类:
绑架用户数据使用加密算法(如AES、RSA等)将用户的文件进行加密,用户在没有秘钥的情况下无法操作自己的文件。用户可以访问设备,但是对设备内的数据无法操作。 典型勒索软件有:WannaCry、GlobeImposter、CryptoLocker,TeslaCrypt等。
锁定用户设备不加密用户的文件,但是通过修改一些配置或者系统文件,使得用户无法进入设备。 典型勒索软件有:NotPetya等。
锁定用户设备和绑架数据既加密用户文件,又锁住用户设备。是1和2的结合体。 典型勒索软件有:BadRabbit等。
勒索软件的入侵方式
勒索软件常用的入侵方式如图1所示。
勒索软件的入侵方式
网络共享文件一些小范围传播的敲诈勒索病毒会通过共享文件的方式进行传播,黑客会将病毒上传到网络共享空间、云盘、QQ群、BBS论坛等,以分享的方式发送给特定人群,进而诱骗其下载安装。 此外,不法黑客还常会编造出“杀毒软件会产生误报,运行之前需要退出杀毒软件”之类的理由,诱骗受害者关闭杀毒软件后运行。 典型代表有:暂时主要为国产勒索类病毒通过外挂辅助,“绿色”软件类工具携带。
捆绑传播勒索软件与正常合法软件一起捆绑发布在各大下载网站或者论坛,当用户下载该软件后便会中招。
垃圾邮件这是勒索软件最为广泛的攻击方式。
利用社会工程学方法,发送假冒的电子邮件,将恶意脚本/程序掩盖为普通的文件,欺骗受害者下载、运行。
利用一些僵尸网络,更能增加欺骗的概率。如GameOverZeus僵尸网络,会使用MITB技术窃取银行凭证,通过该僵尸网络来分发钓鱼邮件,受害者非常容易相信。该僵尸网络被CrytoLocker等勒索软件利用来分发钓鱼邮件。
典型代表有:Locky、Cerber、GlobeImposter、CrytoLocker等。
水坑攻击勒索者利用有价值、有权威或访问量较大网站的缺陷植入恶意代码,当受害者访问该网址,或者下载相关文件时便会中招。 典型代表有:Cerber、GandCrab等。
软件供应链传播勒索软件制作者通过入侵软件开发、分发、升级服务等环节,在软件开发过程中,就会在产品组件中混入病毒,通过入侵、劫持软件下载站、升级服务器,当用户正常进行软件安装或升级服务时勒索病毒趁虚而入。这种传播方式利用了用户与软件供应商之间的信任关系,成功绕开了传统安全产品的围追堵截,传播方式上更加隐蔽,危害也更为严重。此前侵袭全球的Petya勒索病毒便是通过劫持Medoc软件更新服务进行传播。 典型代表有:Petya等。
暴力破解(定向攻击)针对服务器、个人用户或特定目标,通过使用弱口令、渗透、漏洞等方式获取相应权限。例如NotPetya会对口令进行暴力破解然后在局域网内传播。 典型代表有:NotPetya、Crysis、GlobeImposter等。
利用已知漏洞攻击利用系统或者第三方软件存在的漏洞实施攻击。例如WannaCry便利用了SMBV1的一组漏洞进行攻击和传播。 典型代表有:WannaCry、Satan等
利用高危端口攻击利用一些端口的业务机制,找到端口的漏洞,进行攻击。如WannaCry利用Windows操作系统445端口存在的漏洞进行传播,并具有自我复制、主动传播的特性。常见的高危端口有135、139、445、3389、5800/5900等。建议尽量关闭此类端口。 典型代表有:WannaCry等。
以上几种的组合联合攻击通常来说,勒索软件不会只采取一种方式来进行攻击和传播,通常会是几种的组合。
如何防御勒索软件
阻止勒索软件攻击最有效的办法是防止攻击进入组织内部。
主机侧防护
首先,推荐通过组织级的IT基础设施方案来统一设置主机。通过AD服务器的组策略、企业级杀毒软件的控制中心等,可以保证安全措施执行到位,而不必依赖员工个人的执行力。
其次是针对员工的信息安全教育。很多勒索软件使用电子邮件和社会工程手段,诱使员工下载恶意软件,或访问恶意网址。员工不为所动,就能避免激活携带的攻击媒介。通过信息安全宣传,培训员工养成良好的办公习惯,识别和防范典型的攻击手法,是避免勒索软件攻击的有效手段
以下列出了主要的主机侧防护措施,其中大部分可以通过IT基础设施方案来统一管理。对于没有完善IT系统的小微企业,可以把这些措施转化为信息安全教育的内容,指导员工自行配置。相关措施包括但不局限于:
开启系统防火墙,利用防火墙阻止特定端口的连接,或者禁用特定端口。
升级最新的杀毒软件,或者部署专杀工具。
更新补丁,修复勒索软件所利用的含漏洞软件。
各项登录、鉴权操作的用户名、密码复杂度要符合要求。
设置帐户锁定策略。
阻止宏自动运行,谨慎启用宏。
仅从指定位置下载软件。
不要打开来源不明邮件的附件和链接。
定期做好异地备份,这是系统被感染后数据尽快恢复的最好手段,以勒索软件的套路,即使交付赎金,也不一定保证本地数据会被解密。
在Windows文件夹中设置显示“文件扩展名”,可以更轻易地发现潜在的恶意文件。
详细的主机侧防护措施请参见勒索软件防护指南>主机侧防护。
网络侧防护
防御勒索软件攻击的关键在于预防,即在勒索软件进入组织并造成实质性损坏之前,拦截攻击。 最佳方法是设置以防火墙为基础的多层安全防御体系,避免攻击者突破一层防御之后长驱直入。严格的安全策略是最简单有效的防护手段;仅对外开放必需的服务,封堵高危端口,可以减小暴露面(攻击面)。阻断已知威胁,通常可以使攻击者放弃攻击,否则攻击者就需要创建新的勒索软件,或者利用新的漏洞,其成本必然增加。同时,启用文件过滤,可以限制高风险类型文件进入网络;利用URL过滤阻断恶意网站,可以避免用户无意中下载恶意软件。在安全性要求较高的网络中,还可以部署FireHunter沙箱、HiSec Insight、诱捕系统,全面感知安全态势。
针对勒索软件在网络侧的防护,华为通过如下分层防御体系进行防护:
通过在防护墙上部署严格的安全策略,限制用户对网络和应用的使用。
南北向安全策略:在网络边界处,设置严格的网络访问策略,仅对外开放必需的服务,且仅允许受信任IP地址/用户访问必要的服务。
东西向安全策略:把内部网络按照功能和风险等级划分到不同的安全区域,在不同功能网络间设置严格的安全策略。建议阻断高危端口(包括135、137、138、139、445、3389等)或限制可访问的用户,降低勒索软件横向扩散的可能性。在交换机和路由器等网络设备上,也可以利用流策略封堵高危端口。
通过IPS、AV、URL,发现和阻断已知威胁。
IPS入侵防御:在安全策略中引用IPS配置文件,确保如下暴力破解和漏洞利用签名的动作为阻断。如果签名的缺省动作不是阻断,可以设置例外签名,修改其动作为阻断。
AV反病毒:对于文件传输协议(HTTP、FTP)和共享协议(NFS、SMB),采用缺省动作。对于邮件协议,建议动作设置为宣告或删除附件。防火墙将在邮件中添加提示信息,提醒收件人附件中可能含有病毒。
URL过滤:推荐使用白名单机制,根据组织业务需求,圈定业务需求所需的网站类型。如果采用白名单机制有困难,则至少要阻断恶意网站、其他类。同时,启用恶意URL检测功能。
通过沙箱联动,发现未知威胁。防火墙将流量还原成文件,并将需要检测的文件发送到沙箱进行检测。防火墙定期到沙箱上查询检测结果,并根据检测结果更新设备缓存中的恶意文件和恶意URL列表。当具有相同特征的后续流量命中恶意文件或恶意URL列表时,防火墙将直接阻断。
通过HiSec Insight、诱捕,避免横向扩散。部署HiSec Insight和支持诱捕特性的交换机和防火墙。诱导勒索病毒入侵仿真业务并捕获其入侵行为,上报检测结果至HiSec Insight,HiSec Insight可全网下发策略阻断勒索病毒传播。诱捕系统有助于降低真实系统被攻击的概率,最大限度减少损失。
部署日志审计系统,用于调查取证和攻击溯源。日志审计系统可以集中存储和管理网络设备和服务器的日志信息,便于监控和事后分析。此外,攻击者还可能会加密或者删除主机日志,部署日志审计系统可以规避此问题。
关于详细的操作指导,请参见勒索软件防护指南>网络侧防护。
如何处置勒索软件
如果不幸被勒索,请按照如下建议处理。
不要急于为勒索软件支付赎金。支付赎金相当于鼓励网络犯罪,并且并不能保证能够恢复被加密的文件。
严格来说,加密型勒索软件不可破解。因勒索软件本身设计的问题,或者黑客组织公布了解密密钥(如Shade),存在一定的解密可能性。
如果被加密的数据相当重要或者极其敏感,且该勒索软件尚无解密方案,也请在确认网络犯罪分子确实可以解密后,再决定是否支付赎金。
常见的勒索软件处置建议,相关措施包括但不局限于:
隔离被勒索的设备拔掉网线或者修改网络连接设置,从网络中隔离所有被勒索的设备,防止勒索软件进一步传播,控制影响范围。同时排查受影响的主机数量,记录问题现象。 关闭其他未感染主机的高危端口。在局域网内其它未感染设备上,关闭常见的高危端口(包括135、139、445、3389等),或设置可访问此端口的用户/计算机。
清除勒索软件尝试使用杀毒软件扫描和清除勒索软件。请重启操作系统,进入安全模式,安装/杀毒软件并全盘扫描。 勒索软件搜索文件并加密需要一定的时间,及早清理勒索软件可以降低其危害程度,也能避免它重复锁定系统或加密文件。
解密保护现场。不要直接重新安装操作系统。如果被加密锁定数据比较重要,建议做好被加密文件的备份和环境的保护,防止因为环境破坏造成无法解密等。 访问“No More Ransom”网站,使用解码刑警(Crypto Sheriff)确定勒索软件的类型,并检查是否有可用的解密方案,有机会破解并恢复文件。
调查取证求助专业技术人员进行取证操作,以便分析勒索软件的攻击路径,对攻击路径进行溯源。 在操作系统的事件查看器中,查看安全日志,重点关注登录失败事件。在网络设备中查看安全日志、会话日志,重点关注暴力破解、SMB等重大漏洞攻击事件。 确定中毒原因,彻底修复系统中存在的安全问题,避免再次沦陷。
重装系统最后的最后,如果勒索软件无法移除、被加密数据不可恢复,请备份被加密数据(或许未来有恢复的可能),然后格式化硬盘驱动器,擦除所有数据(包括受感染的数据),重新安装操作系统和应用程序。
参考资源
1勒索软件防护指南
Your browser does not support the video tag.
相关词条
词条统计
作者:
金德胜
最近更新:
2022-12-26
浏览次数:
15029
平均得分:
页内导航
勒索软件的类型
勒索软件的入侵方式
如何防御勒索软件
如何处置勒索软件
问卷调研
帮助中心
在线客服
分享链接
意见反馈
分享链接到:
意见反馈
关注我们
关于华为
华为公司简介
关于企业业务
查找中国办事处
新闻中心
市场活动
信任中心
如何购买
售前在线咨询
提交项目需求
查找经销商
向经销商询价
合作伙伴
成为合作伙伴
合作伙伴培训
合作伙伴政策
资源
华为“懂行”体验店
e直播
博客
资料中心
视频中心
电子期刊
成功案例
快速链接
互动社区
华为云
华为智能光伏
华为商城
华为招聘
版权所有 © 华为技术有限公司 1998-2023。 保留一切权利。粤A2-20044005号
隐私保护
|
法律声明
|
网站地图
|
勒索病毒的防范处理措施-东南大学网络与信息中心
勒索病毒的防范处理措施-东南大学网络与信息中心
部门概况+
部门简介
机构设置
大事记
联系我们
服务指南+
校园网账户
电子邮件
VPN
东大云盘
智慧校园
软件正版化
IPv6
移动服务
eduroam
校园卡
网络管理+
校园网拓扑图
校内IP管理
网络安全+
网络安全预警信息
网络安全实用知识
网络安全新闻资讯
规章制度+
互联网法规
校园网规章制度
中心管理制度
部门党建
成果展示
公示信息
下载专区
网络安全
Network Security
当前位置:
首页
>
网络安全
>
网络安全实用知识
>
正文
勒索病毒的防范处理措施
日期:2021-04-23阅读: 次
自2017年5月WannaCry(永恒之蓝勒索蠕虫)大规模爆发以来,勒索病毒对政企机构和网民的威胁极大:企业数据泄露风险不断上升,数百万甚至上亿赎金的勒索案件不断出现。
2021年3月,全球新增活跃勒索病毒:FancyBear、Hog、DearCry、Sarbloh、BadGopher、RunExeMemory、Phoenix CryptoLocker等。其中FancyBear还处于开发阶段,DearCry是本月最先被捕获使用Exchange漏洞投发勒索病毒的家族,新出现的PhoenixCryptoLocker可能与Evil黑客组织相关。
勒索病毒给企业和个人带来的影响范围越来越广,危害性也越来越大。本文介绍了一些勒索病毒的防范和处理措施,希望能够帮助读者免受勒索病毒侵害。
一、如何判断病情
如何判断计算机是否中了勒索病毒呢?勒索病毒有区别于其他病毒的明显特征:加密受害者主机的文档和数据,然后对受害者实施勒索,从中非法谋取私利。勒索病毒的主要目的是为了勒索,黑客在植入病毒完成加密后,会提示受害者您的文件已经被加密了无法再打开,需要支付赎金才能恢复文件。如果计算机出现了以下特征,可表明已经中了勒索病毒。
1、电脑桌面被篡改
服务器被感染勒索病毒后,最明显的特征是电脑桌面发生明显变化,即:桌面通常会出现新的文本文件或网页文件,这些文件用来说明如何解密的信息,同时桌面上显示勒索提示信息及解密联系方式。
下面为电脑感染勒索病毒后,几种典型的桌面发生变化的示意图。
2、文件后缀被篡改
服务器感染勒索病毒后,另外一个典型特征是:办公文档、照片、视频等文件的图标变为不可打开形式,或者文件扩展名被篡改。一般来说,文件扩展名会被改成勒索病毒家族的名称或其家族代表标志,如:GlobeImposter家族的扩展名为dream、TRUE、CHAK等;Satan家族的扩展名有satan、sicck;Crysis家族的扩展名有ARROW、arena等。
二、如何进行自救
1、正确处置方法
(一)隔离中招主机
处置方法
当确认服务器已经被感染勒索病毒后,应立即隔离被感染主机,隔离主要包括物理隔离和访问控制两种手段,物理隔离主要为断网或断电;访问控制主要是指对访问网络资源的权限进行严格的认证和控制。
1)物理隔离
物理隔离常用的操作方法是断网和关机。
断网主要操作步骤包括:拔掉网线、禁用网卡,如果是笔记本电脑还需关闭无线网络。
2)访问控制
访问控制常用的操作方法是加策略和修改登录密码。
加策略主要操作步骤为:在网络侧使用安全设备进行进一步隔离,如防火墙或终端安全监测系统;避免将远程桌面服务(RDP,默认端口为3389)暴露在公网上(如为了远程运维方便确有必要开启,则可通过VPN登录后才能访问),并关闭445、139、135等不必要的端口。
修改登录密码的主要操作为:立刻修改被感染服务器的登录密码;其次,修改同一局域网下的其他服务器密码;第三,修改最高级系统管理员账号的登录密码。修改的密码应为高强度的复杂密码,一般要求:采用大小写字母、数字、特殊符号混合的组合结构,口令位数足够长(15位、两种组合以上)。
处置原理
隔离的目的,一方面是为了防止感染主机自动通过连接的网络继续感染其他服务器;另一方面是为了防止黑客通过感染主机继续操控其他服务器。
有一类勒索病毒会通过系统漏洞或弱密码向其他主机进行传播,如WannaCry勒索病毒,一旦有一台主机感染,会迅速感染与其在同一网络的其他电脑,且每台电脑的感染时间约为1-2分钟左右。所以,如果不及时进行隔离,可能会导致整个局域网主机的瘫痪。
另外,近期也发现有黑客会以暴露在公网上的主机为跳板,再顺藤摸瓜找到核心业务服务器进行勒索病毒攻击,造成更大规模的破坏。
当确认服务器已经被感染勒索病毒后,应立即隔离被感染主机,防止病毒继续感染其他服务器,造成无法估计的损失。
(二)排查业务系统
处置方法
在已经隔离被感染主机后,应对局域网内的其他机器进行排查,检查核心业务系统是否受到影响,生产线是否受到影响,并检查备份系统是否被加密等,以确定感染的范围。
处置原理
业务系统的受影响程度直接关系着事件的风险等级。评估风险,及时采取对应的处置措施,避免更大的危害。
另外,备份系统如果是安全的,就可以避免支付赎金,顺利的恢复文件。
所以,当确认服务器已经被感染勒索病毒后,并确认已经隔离被感染主机的情况下,应立即对核心业务系统和备份系统进行排查。
(三)联系专业人员
在应急自救处置后,建议第一时间联系专业的技术人士或安全从业者,对事件的感染时间、传播方式,感染家族等问题进行排查。
2、错误处置方法
(一)使用移动存储设备
错误操作
当确认服务器已经被感染勒索病毒后,在中毒电脑上使用U盘、移动硬盘等移动存储设备。
错误原理
勒索病毒通常会对感染电脑上的所有文件进行加密,所以当插上U盘或移动硬盘时,也会立即对其存储的内容进行加密,从而造成损失扩大。从一般性原则来看,当电脑感染病毒时,病毒也可能通过U盘等移动存储介质进行传播。
所以,当确认服务器已经被感染勒索病毒后,切勿在中毒电脑上使用U盘、移动硬盘等设备。
(二)读写中招主机上的磁盘文件
错误操作
当确认服务器已经被感染勒索病毒后,轻信网上的各种解密方法或工具,自行操作。反复读取磁盘上的文件后反而降低数据正确恢复的概率。
错误原理
很多流行勒索病毒的基本加密过程为:
1)首先,将保存在磁盘上的文件读取到内存中;
2)其次,在内存中对文件进行加密;
3)最后,将修改后的文件重新写到磁盘中,并将原始文件删除。
也就是说,很多勒索病毒在生成加密文件的同时,会对原始文件采取删除操作。理论上说,使用某些专用的数据恢复软件,还是有可能部分或全部恢复被加密文件的。
而此时,如果用户对电脑磁盘进行反复的读写操作,有可能破坏磁盘空间上的原始文件,最终导致原本还有希望恢复的文件彻底无法恢复。
三、如何恢复系统
1、历史备份还原
如果事前已经对文件进行了备份,那么我们可以直接从云盘、硬盘或其他灾备系统中,恢复被加密的文件。值得注意的是,在文件恢复之前,应确保系统中的病毒已被清除,已经对磁盘进行格式化或是重装系统,以免插上移动硬盘的瞬间,或是网盘下载文件到本地后,备份文件也被加密。
事先进行备份,既是最有效也是成本最低的恢复文件的方式。
2、解密工具恢复
绝大多数勒索病毒使用的加密算法都是国际公认的标准算法,这种加密方式的特点是,只要加密密钥足够长,普通电脑可能需要数十万年才能够破解,破解成本是极高的。通常情况,如果不支付赎金是无法解密恢复文件的。
但是,对于以下三种情况,可以通过各大安全厂商提供的解密工具恢复感染文件:
1)勒索病毒的设计编码存在漏洞或并未正确实现加密算法;
2)勒索病毒的制造者主动发布了密钥或主密钥;
3)执法机构查获带有密钥的服务器,并进行了分享。
通过查询可靠安全厂商的网站,可以了解哪些勒索病毒可以被解密,同时采取相应措施。
3、重装系统
当文件无法解密,也觉得被加密的文件价值不大时,也可以采用重装系统的方法,恢复系统。但是,重装系统意味着文件再也无法被恢复。另外,重装系统后需更新系统补丁,并安装杀毒软件和更新杀毒软件的病毒库到最新版本,而且对于服务器也需要进行针对性的防黑加固。
4、如何加强防护
虽说部分勒索病毒目前已有解密工具,但勒索病毒制作成本低、利润高,新型勒索病毒层出不穷,并不是所有的勒索病毒都能进行解密。因此,加强勒索病毒的防护比中了勒索病毒之后再进行补救要有效得多。
对于高校师生,加强防护主要有以下相应措施:
养成良好的安全习惯
1)电脑应当安装具有云防护和主动防御功能的安全软件,不随意退出安全软件或关闭防护功能,对安全软件提示的各类风险行为不要轻易放行。
2)使用安全软件的第三方打补丁功能对系统进行漏洞管理,第一时间给操作系统和常用软件打好补丁,定期更新病毒库,以免病毒利用漏洞自动入侵电脑。
3)电脑设置的口令要足够复杂,包括数字、大小写字母、符号且长度至少应该有8位,不使用弱口令,以防攻击者破解。
4)重要文档数据应经常做备份,一旦文件损坏或丢失,也可以及时找回。
减少危险的上网操作
5)不要浏览来路不明的不良信息网站,这些网站经常被用于发动挂马、钓鱼攻击。
6)不要轻易打开陌生人发来的邮件附件或邮件正文中的网址链接。也不要轻易打开扩展名为js、vbs、wsf、bat、cmd、ps1等脚本文件和exe、scr、com等可执行程序,对于陌生人发来的压缩文件包,更应提高警惕,先使用安全软件进行检查后再打开。
7)电脑连接移动存储设备,如U盘、移动硬盘等,应首先使用安全软件检测其安全性。
8)对于安全性不确定的文件,可以选择在安全软件的沙箱功能中打开运行,从而避免木马对实际系统的破坏。
网络安全预警信息
网络安全实用知识
网络安全新闻资讯
国内资讯
国外资讯
部门概况
服务指南
网络管理
网络安全
规章制度
部门党建
成果展示
公示信息
下载专区
"东大信息化"微信公众号
"东大信息化"APP
通信地址1:南京江宁开发区东南大学路2号东南大学网络与信息中心
邮政编码:211189
办公地点:九龙湖校区金智楼北楼二楼
通信地址1:南京四牌楼2号东南大学网络与信息中心
邮政编码:210096
办公地点:进香河校区综合楼二楼
025-83790808
80808@seu.edu.cn
Copyright © 东南大学网络与信息中心 版权所有 苏ICP备10088665号 公安备案号:32010202010062
我是盾盾
勒索病毒的防范处理措施-信息中心(网信办)
勒索病毒的防范处理措施-信息中心(网信办)
站内搜索
设为首页 |
学校主页 |
中心首页
首页
网络安全资讯
安全防护通报
安全法规
漏洞信息
网络安全知识
网络安全宣传周
网络安全知识
首页
网络安全资讯
安全防护通报
安全法规
漏洞信息
网络安全知识
网络安全宣传周
您当前所在的位置:
首页
->
网络安全知识
->
正文
勒索病毒的防范处理措施
发布日期:2021-09-10 来源: 点击量:
自2017年5月WannaCry(永恒之蓝勒索蠕虫)大规模暴发以来,勒索病毒对政企机构和网民的威胁极大:企业数据泄露风险不断上升,数百万甚至上亿赎金的勒索案件不断出现。
2021年3月,全球新增活跃勒索病毒:FancyBear、Hog、DearCry、Sarbloh、BadGopher、RunExeMemory、Phoenix CryptoLocker等。其中FancyBear还处于开发阶段,DearCry是本月最先被捕获使用Exchange漏洞投发勒索病毒的家族,新出现的PhoenixCryptoLocker可能与Evil黑客组织相关。
勒索病毒给企业和个人带来的影响范围越来越广,危害性也越来越大。本文介绍了一些勒索病毒的防范和处理措施,希望能够帮助读者免受勒索病毒侵害。
一、如何判断病情
如何判断计算机是否中了勒索病毒呢?勒索病毒有区别于其他病毒的明显特征:加密受害者主机的文档和数据,然后对受害者实施勒索,从中非法谋取私利。勒索病毒的主要目的是为了勒索,黑客在植入病毒完成加密后,会提示受害者您的文件已经被加密了无法再打开,需要支付赎金才能恢复文件。如果计算机出现了以下特征,可表明已经中了勒索病毒。
1、电脑桌面被篡改
服务器被感染勒索病毒后,最明显的特征是电脑桌面发生明显变化,即:桌面通常会出现新的文本文件或网页文件,这些文件用来说明如何解密的信息,同时桌面上显示勒索提示信息及解密联系方式。
下面为电脑感染勒索病毒后,几种典型的桌面发生变化的示意图。
2、文件后缀被篡改
服务器感染勒索病毒后,另外一个典型特征是:办公文档、照片、视频等文件的图标变为不可打开形式,或者文件扩展名被篡改。一般来说,文件扩展名会被改成勒索病毒家族的名称或其家族代表标志,如:GlobeImposter家族的扩展名为dream、TRUE、CHAK等;Satan家族的扩展名有satan、sicck;Crysis家族的扩展名有ARROW、arena等。
二、如何进行自救
1、正确处置方法
(一)隔离中招主机
处置方法
当确认服务器已经被感染勒索病毒后,应立即隔离被感染主机,隔离主要包括物理隔离和访问控制两种手段,物理隔离主要为断网或断电;访问控制主要是指对访问网络资源的权限进行严格的认证和控制。
1)物理隔离
物理隔离常用的操作方法是断网和关机。
断网主要操作步骤包括:拔掉网线、禁用网卡,如果是笔记本电脑还需关闭无线网络。
2)访问控制
访问控制常用的操作方法是加策略和修改登录密码。
加策略主要操作步骤为:在网络侧使用安全设备进行进一步隔离,如防火墙或终端安全监测系统;避免将远程桌面服务(RDP,默认端口为3389)暴露在公网上(如为了远程运维方便确有必要开启,则可通过VPN登录后才能访问),并关闭445、139、135等不必要的端口。
修改登录密码的主要操作为:立刻修改被感染服务器的登录密码;其次,修改同一局域网下的其他服务器密码;第三,修改最高级系统管理员账号的登录密码。修改的密码应为高强度的复杂密码,一般要求:采用大小写字母、数字、特殊符号混合的组合结构,口令位数足够长(15位、两种组合以上)。
处置原理
隔离的目的,一方面是为了防止感染主机自动通过连接的网络继续感染其他服务器;另一方面是为了防止黑客通过感染主机继续操控其他服务器。
有一类勒索病毒会通过系统漏洞或弱密码向其他主机进行传播,如WannaCry勒索病毒,一旦有一台主机感染,会迅速感染与其在同一网络的其他电脑,且每台电脑的感染时间约为1-2分钟左右。所以,如果不及时进行隔离,可能会导致整个局域网主机的瘫痪。
另外,近期也发现有黑客会以暴露在公网上的主机为跳板,再顺藤摸瓜找到核心业务服务器进行勒索病毒攻击,造成更大规模的破坏。
当确认服务器已经被感染勒索病毒后,应立即隔离被感染主机,防止病毒继续感染其他服务器,造成无法估计的损失。
(二)排查业务系统
处置方法
在已经隔离被感染主机后,应对局域网内的其他机器进行排查,检查核心业务系统是否受到影响,生产线是否受到影响,并检查备份系统是否被加密等,以确定感染的范围。
处置原理
业务系统的受影响程度直接关系着事件的风险等级。评估风险,及时采取对应的处置措施,避免更大的危害。
另外,备份系统如果是安全的,就可以避免支付赎金,顺利的恢复文件。
所以,当确认服务器已经被感染勒索病毒后,并确认已经隔离被感染主机的情况下,应立即对核心业务系统和备份系统进行排查。
(三)联系专业人员
在应急自救处置后,建议第一时间联系专业的技术人士或安全从业者,对事件的感染时间、传播方式,感染家族等问题进行排查。
2、错误处置方法
(一)使用移动存储设备
错误操作
当确认服务器已经被感染勒索病毒后,在中毒电脑上使用U盘、移动硬盘等移动存储设备。
错误原理
勒索病毒通常会对感染电脑上的所有文件进行加密,所以当插上U盘或移动硬盘时,也会立即对其存储的内容进行加密,从而造成损失扩大。从一般性原则来看,当电脑感染病毒时,病毒也可能通过U盘等移动存储介质进行传播。
所以,当确认服务器已经被感染勒索病毒后,切勿在中毒电脑上使用U盘、移动硬盘等设备。
(二)读写中招主机上的磁盘文件
错误操作
当确认服务器已经被感染勒索病毒后,轻信网上的各种解密方法或工具,自行操作。反复读取磁盘上的文件后反而降低数据正确恢复的概率。
错误原理
很多流行勒索病毒的基本加密过程为:
1)首先,将保存在磁盘上的文件读取到内存中;
2)其次,在内存中对文件进行加密;
3)最后,将修改后的文件重新写到磁盘中,并将原始文件删除。
也就是说,很多勒索病毒在生成加密文件的同时,会对原始文件采取删除操作。理论上说,使用某些专用的数据恢复软件,还是有可能部分或全部恢复被加密文件的。
而此时,如果用户对电脑磁盘进行反复的读写操作,有可能破坏磁盘空间上的原始文件,最终导致原本还有希望恢复的文件彻底无法恢复。
三、如何恢复系统
1、历史备份还原
如果事前已经对文件进行了备份,那么我们可以直接从云盘、硬盘或其他灾备系统中,恢复被加密的文件。值得注意的是,在文件恢复之前,应确保系统中的病毒已被清除,已经对磁盘进行格式化或是重装系统,以免插上移动硬盘的瞬间,或是网盘下载文件到本地后,备份文件也被加密。
事先进行备份,既是最有效也是成本最低的恢复文件的方式。
2、解密工具恢复
绝大多数勒索病毒使用的加密算法都是国际公认的标准算法,这种加密方式的特点是,只要加密密钥足够长,普通电脑可能需要数十万年才能够破解,破解成本是极高的。通常情况,如果不支付赎金是无法解密恢复文件的。
但是,对于以下三种情况,可以通过各大安全厂商提供的解密工具恢复感染文件:
1)勒索病毒的设计编码存在漏洞或并未正确实现加密算法;
2)勒索病毒的制造者主动发布了密钥或主密钥;
3)执法机构查获带有密钥的服务器,并进行了分享。
通过查询可靠安全厂商的网站,可以了解哪些勒索病毒可以被解密,同时采取相应措施。
3、重装系统
当文件无法解密,也觉得被加密的文件价值不大时,也可以采用重装系统的方法,恢复系统。但是,重装系统意味着文件再也无法被恢复。另外,重装系统后需更新系统补丁,并安装杀毒软件和更新杀毒软件的病毒库到最新版本,而且对于服务器也需要进行针对性的防黑加固。
4、如何加强防护
虽说部分勒索病毒目前已有解密工具,但勒索病毒制作成本低、利润高,新型勒索病毒层出不穷,并不是所有的勒索病毒都能进行解密。因此,加强勒索病毒的防护比中了勒索病毒之后再进行补救要有效得多。
对于高校师生,加强防护主要有以下相应措施:
养成良好的安全习惯
1)电脑应当安装具有云防护和主动防御功能的安全软件,不随意退出安全软件或关闭防护功能,对安全软件提示的各类风险行为不要轻易放行。
2)使用安全软件的第三方打补丁功能对系统进行漏洞管理,第一时间给操作系统和常用软件打好补丁,定期更新病毒库,以免病毒利用漏洞自动入侵电脑。
3)电脑设置的口令要足够复杂,包括数字、大小写字母、符号且长度至少应该有8位,不使用弱口令,以防攻击者破解。
4)重要文档数据应经常做备份,一旦文件损坏或丢失,也可以及时找回。
减少危险的上网操作
5)不要浏览来路不明的不良信息网站,这些网站经常被用于发动挂马、钓鱼攻击。
6)不要轻易打开陌生人发来的邮件附件或邮件正文中的网址链接。也不要轻易打开扩展名为js、vbs、wsf、bat、cmd、ps1等脚本文件和exe、scr、com等可执行程序,对于陌生人发来的压缩文件包,更应提高警惕,先使用安全软件进行检查后再打开。
7)电脑连接移动存储设备,如U盘、移动硬盘等,应首先使用安全软件检测其安全性。
8)对于安全性不确定的文件,可以选择在安全软件的沙箱功能中打开运行,从而避免木马对实际系统的破坏。
上一条:四格漫画丨网上冲浪第一步 个人隐私要保护
下一条:Incaseformat病毒简单处理方式
Copyright 2010-2021 Powered By 山西传媒学院
文华校区:山西省高校新区文华街125号(晋中市榆次区),邮编:030619
东华校区:山西省太原市五龙口街118号,邮编:030013 晋ICP备08101804号-1 晋公网安备 14070202000062号
勒索病毒的原理、危害与防护 - FreeBuf网络安全行业门户
勒索病毒的原理、危害与防护 - FreeBuf网络安全行业门户
主站 分类
漏洞
工具
极客
Web安全
系统安全
网络安全
无线安全
设备/客户端安全
数据安全
安全管理
企业安全
工控安全
特色
头条
人物志
活动
视频
观点
招聘
报告
资讯
区块链安全
标准与合规
容器安全
公开课
报告 专辑 ···公开课···商城···
用户服务
··· 行业服务
政 府
CNCERT
CNNVD
会员体系(甲方)
会员体系(厂商)
产品名录
企业空间
知识大陆 搜索 创作中心 登录注册 官方公众号企业安全新浪微博 FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。 FreeBuf+小程序把安全装进口袋 勒索病毒的原理、危害与防护
关注
终端安全 勒索病毒的原理、危害与防护
2023-01-08 18:57:30
所属地 广东省 勒索病毒会导致严重的数据安全问题,让企业、个人的核心数据资产被完全加密,从而影响正常的生产、或者让一些业务系统完全不可用,间接造成了严重的经济损失。2017年,勒索病毒借助永恒之蓝漏洞,席卷全球,造成全球超过550亿元以上的损失,让无数企业闻风丧胆。很多安全厂商都马上推出各种针对勒索病毒的专杀工具、防护工具、解密工具,但时至今日,勒索病毒仍然经久不衰。一些人可能会问,勒索病毒这么厉害,是因为它很复杂,安全厂商没有研究透它吗?不,事实刚好相反,勒索病毒太过于简单了,简单到谁都可以轻易的实现一个勒索病毒。勒索病毒完全没有固定的特征,可以使用任何的开发语言实现(最新很多采用了Go、Rust这样的语言开发),或者直接基于PowerShell脚本就可以实现勒索病毒的效果。更甚者,直接通过压缩文件,压缩后删除源文件,也可以实现勒索病毒效果。勒索病毒大部分使用了非对称加密,即使把源码完全公开,也没有办法还原被加密的文件。正因为如此,网上甚至出现了很多开源勒索病毒,勒索病毒 as Service的概念,勒索病毒完全产业化,在利益驱动下,使得勒索病毒层出不穷。甚至有一些缺乏法律意识的人直接下载开源的勒索病毒,然后采用微信收款来实现勒索病毒的收款。勒索病毒的防护在目前的安全市场上,针对勒索病毒主要是两个方向的防护:针对勒索病毒的感染渠道来做防护及时安装补丁添加防火墙策略使用零信任网络增强边界防御针对勒索病毒本身的特点来做防护杀毒云引擎依赖海量数据采集能力,可以短时间内捕获到新型的勒索病毒,然后将特征同步给杀毒软件文档守护者在用户修改文件的时候,智能备份,在出现数据被加密后,可以通过备份恢复行为智能提醒在发现某些程序频繁操作文件后,弹框提醒让用户确认添加可信区域将计算机隔离成可信、不可信两个区域,保证数据只被可信区域的程序访问冰盾 · 主动防御系统为解决勒索病毒的问题,基于行为防御的冰盾专门针对勒索病毒添加了两个规则模板:文档保护可以保护匹配规则的文件只被信任的进程操作隐私保护可以保护匹配规则的文件只被信任的进程读取只需要简单添加需要保护的文件路径,然后添加允许操作这些文件的进程路径,就可以得到文档保护的目的。用户可以非常灵活的制定自己针对勒索病毒的防护解决方案,同时不会占用大量系统资源。特别是一些没法实时更新杀毒软件的内网环境、或者是需要长期运行的服务器环境。冰盾 · 主动防御系统【专业不流氓】是一款为专业人士打造的终端、主机主动防御系统,可以帮助您对抗流氓软件、保护电脑安全、提高工作效率。除了文档保护、隐私保护,冰盾 · 主动防御系统还有更多不同类型的规则模板,比如进程保护、注册表拦截、网络防护等等。有需要的可以通过 https://imonitorsdk.com/idefender 下载了解更多。对于企业希望集成防御能力到自己的产品里面的,也可以通过接入iMonitorSDK来实现。 本文作者:,
转载请注明来自FreeBuf.COM # 网络安全 # 数据泄露 # 系统安全 # 数据安全 # 企业安全
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
展开更多
相关推荐
关 注 0 文章数 0 关注者
文章目录
勒索病毒的防护 冰盾 · 主动防御系统 本站由阿里云 提供计算与安全服务 用户服务 有奖投稿 提交漏洞 参与众测 商城 企业服务 安全咨询 产业全景图 企业SRC 安全众测 合作信息 斗象官网 广告投放 联系我们 友情链接 关于我们 关于我们 加入我们 微信公众号 新浪微博 战略伙伴 FreeBuf+小程序 扫码把安全装进口袋 斗象科技 FreeBuf 漏洞盒子 斗象智能安全平台 免责条款 协议条款
Copyright © 2020 WWW.FREEBUF.COM All Rights Reserved
沪ICP备13033796号
|
沪公安网备
勒索病毒防护方案 - 从安全运营视角讲起 - FreeBuf网络安全行业门户
勒索病毒防护方案 - 从安全运营视角讲起 - FreeBuf网络安全行业门户
主站 分类
漏洞
工具
极客
Web安全
系统安全
网络安全
无线安全
设备/客户端安全
数据安全
安全管理
企业安全
工控安全
特色
头条
人物志
活动
视频
观点
招聘
报告
资讯
区块链安全
标准与合规
容器安全
公开课
报告 专辑 ···公开课···商城···
用户服务
··· 行业服务
政 府
CNCERT
CNNVD
会员体系(甲方)
会员体系(厂商)
产品名录
企业空间
知识大陆 搜索 创作中心 登录注册 官方公众号企业安全新浪微博 FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。 FreeBuf+小程序把安全装进口袋 勒索病毒防护方案 - 从安全运营视角讲起
关注
Web安全 勒索病毒防护方案 - 从安全运营视角讲起
2023-05-19 16:41:44
所属地 北京 0x00 前言在当前新的背景下,国家政策层面上对企业的网络安全、数据安全和个人信息保护提出了更高的要求。在勒索防护领域,勒索软件除了在本地加密重要文件外,还具备了信息泄露的特性。其攻击团伙开始使用更加复杂的技术手段,发展成了自闭环产业链。攻击对象从一般民众,开始转向国家政企机关以及相关从业人员。为了防御复杂的勒索攻击,企业必须结合多种防御手段来降低被勒索的风险。本文介绍了勒索病毒的现状,列举了时下流行的勒索病毒家族,重点分析了当下典型的勒索病毒,归纳勒索病毒发展的背后逻辑。随后,结合浪潮云的基建、勒索病毒的流行趋势、主流安全厂商的勒索防护方案,以及针对这些厂商进行勒索防护能力进行的测试结果,提出勒索防护的解决方案。0x01 勒索病毒现状(一)现状2022年度勒索软件整体传播趋势相对平稳,虽然每月都有新增的勒索病毒家族,各个家族也在不断迭代,但是全年并没有出现特别大规模的勒索事件。纵观近5年的发展过程,勒索病毒形成了一条供销分明的完整产业链。勒索病毒的功能、入侵手段开始多样化,基于虚拟货币的匿名性和隐私性,以虚拟货币作为交易的方式依旧是主流。并且,勒索软件的传播手段出现了蹭热点,获利形式从单纯的经济利益,出现了表达政治主张,在地缘政治冲突中偏袒一方。可以预见,将来勒索病毒,出于某些目的,对于国家机关和政府部门的攻击将会逐渐增加。(二)勒索病毒攻击简介2022年的勒索病毒没有爆发性增长,整体相对平稳。RDP口令爆破依然是最常见的勒索病毒入侵传播方式,但是各种其他传播方式出现了爆发式增长,国内新出现的coffee勒索病毒体则现出了很鲜明的本土特色。(三)勒索病毒攻击趋势从公开数据统计来看,总体有一定波动,但是并没有出现较大的爆发现象。但是勒索病毒并没有消减的趋势,根据相关数据,2022年度,每个月份均有新勒索病毒出现。月份新增传统勒索家族新增双重/多重勒索家族1月Coffee、DeadBolt、Koxic、Trap、EvilNominatusNightSky2月Sutur、D3adCrypt、Sojusz、Unlock、IIMxT3月FarAttack、Venus、Sojusz、KalajaTomorr、GoodWill、AntiWar、IceFire、AcepyPandora4月Pipikaki、BlockZ、Phantom、BlazeOnyx、Industrial Spy、BlackBasta5月7Locker、EAF、QuickBubck、PSRansomCheers、RansomHouse、Mindware6月BlueSky、Agenda、Kawaii、DamaCrypt、RedTeamCrimson Walrus、SiegedSec7月Stop247、RoBaj、Checkmate、LunaRedAlert、Lilith、BianLian、0mega8月Moishsa、Filerec、iceFire、CryptOnD0N#T (Donut Leaks)、iceFire、CryptOn、Bl00dy、DAIXIN、VSOP9月Ballacks、BlackBit、DoyUKz6wkg、Sparta10月Prestige、Ransom CartelSexyPhotos、Azov11月PCOK、SomniaRoyal、Play12月Seoul、Lucknite、Blocky、HentaiLocker图表 2 2022年月度新增勒索家族尽管没有出现大面积爆发,但是勒索病毒的勒索金呈现逐年上升的趋势,但是2022年度的勒索收益有些许下降,但是依然高于2020年度,疑似受到大经济环境影响。双重/多重勒索家族,以及出现的勒索团伙介入地区热点事件,也可以理解为勒索团伙开始探索新的盈利模式。(四)重点勒索病毒家族分析2022年度的勒索病毒除了传统的RDP口令爆破来实现病毒突破和扩散外,还具有一些新的特性。这些勒索团伙出现本土化,组织专业化,并且开始针对国家政企和介入地缘政治,表达政治诉求,站队,站边。下面将依次对值得单独分析的病毒进行一些细节分析。(1)本土Coffee病毒分析该病毒以其加密后的文件后缀修改为coffee.xxxx(x为随机数)因此命名。如图表 2 2022年月度新增勒索家族 所示,该病毒出现与2022年1月。为国内新出现的勒索家族。该病毒具备蠕虫性质的勒索软件,出现时并不是以主流的RDP口令爆破来实现初始突破,而是通过软件捆绑和QQ群钓鱼传播,具备非常明显的国内特色。在维持阶段会感染系统中的常用软件,在横向移动阶段会将自己发到其他QQ群中进行传播,在影响阶段,则会向玩家所要ZEC(零币)还附上了全中文教程。在2月份的时候,该病毒出现了新的变化,开始针对高校教师和科研人员发起勒索攻击。在保留先前特性外,还会通过以《2021年度本单位职工个税补缴名单》的钓鱼邮件进行传播,目标主要是《国家自然科学基金》项目的高校教师和科研人员。2022年12月,该勒索家族又出现新的变种。该变种对加密触发方式,加密格式,等进行了更新调整。在原有76种会被加密的文件外,新增了SQL辅助数据库文件加密;加密触发方式从原有的主动触发,变成了锁屏时,或者伪装成系统更新,在关机注销时进行加密;潜伏期最多可长达15天;使用DNS隧道技术获取C2信息;综上所述,该病毒通过版本迭代,具备了更强的隐蔽性,提高了自身的免杀能力。(2)国家进入紧急状态Conti病毒首次被发现与2019年。在2022年5月8日,哥斯达黎加宣布国家进入紧急状态,理由是多个政府机构正遭到Conti勒索软件攻击。先前Conti组织就宣称对哥斯达黎加政府进行了攻击。截止2022年5月20日,该组织已经发布了大约672GB的数据,其中包含了属于哥斯达黎加政府机构的数据。Conti勒索病毒从2019年发展至今,已经具备了一定的规模,组织团队也已经演变成一个专业化团队。在俄乌冲突中,公开支持俄罗斯。从Conti勒索样本的二进制分析中可以看到,其工作流程在启动之后,首先会关闭一系列影响文件操作的系统服务,尽可能释放计算机文件加密的性能。然后会删除本机一切备份数据,包括但不限于SQL备份,windows磁盘备份卷。然后使用IOCP技术,对文件进行异步加密,实现高吞吐,高效率的文件加密。最后创建勒索文档。根据乌克兰安全人员透露的信息归纳,其组织架构顶层是大老板Stern。下面分别是HR管理层,技术团队,谈判专家,有极强的专业分工。HR团队负责新鲜血液的招募和人力资源提效,逆向工程师和攻击团队的引入,体现了该团队非常专业的攻防突破能力。谈判专家的出现,也体现了其对价值回收环节的重视,作为黑客团伙具备极强的持续化运营能力,已经形成了完整的产业链闭环。(3)介入地缘冲突从病毒发展历史来看,恶意软件总会借用热点事件来扩大自己的传播范围和影响力。自Covid-19开始流行以来,到俄乌冲突至今一直未变。其总是通过热点事件中的某一个点,来进行钓鱼,达到传播自身的目的。但是俄乌冲突热点中,出现了不同的现象,勒索团伙会利用自己的攻击载荷,或者勒索文档实现或者表达自己的政治立场。除了勒索软件外,还出现了针对俄罗斯和乌克兰国家的数据擦除软件。本质上讲,勒索团队,尤其是具备高度组织化的勒索团伙表现出自己的政治诉求时,其攻击目标的选择就会出现倾向性,并且会让整个勒索事件的链条引入其他因素,变得复杂化,对于政企是值得关注的变化。(五)流行核心逻辑分析安全本质就是攻击成本和防御成本之间的成本博弈。在恶意软件的发展历史中,前期的恶意软件很少注重成本回收,只是开发成本和目标的损失之间的博弈。随后随着信息泄露等各种恶意软件的出现,开始出现了提高成本回收的手段。现今,勒索软件成为了恶意软件当下费效比最高的恶意软件类别之一。由于其完整的生态闭环尚未被有效打破,且参与的团伙还在不断挖掘成本回收的手段,在可见的未来,勒索软件还会继续发展迭代下去。从ATT&CK的角度来看勒索软件。我们隐去无法探明和没有使用的手段,常见的手段如下表所示。常见的手段如上图所示。除此之外,勒索目标的发现,合法的攻击凭证,横向移动资源发现等内容,就不在此详细罗列。勒索软件的攻击方式和攻击手段正在逐步走向多元化,这种快速的发展形势也是近年发展出来的恶意软件中所拥有的共性特点。勒索团伙也出现了让人惊讶的变化。LockBit在今年6月完成了其3.0版本的迭代和发布。为病毒运营,病毒投放者提供技术支持,建立了其自身的ASRC系统,发出了1000美金到100万美金的悬赏。除此之外,还为其服务器增加了抗D能力(应对Entrust的DDoS攻击)。很难想象这是一个非法团伙做的事情。从另外一个角度来说,也可以体现该团伙的高度组织化,产业链条的完整性。结合前文对Conti团伙的分析,我们不难发现,勒索团伙已经开始主动的完善自己的组织架构,出现了非常专业而且自洽的产业链。如果没有一个良好的费效比,显然是无法支撑这种发展趋势的。2022年度,仅公开资料统计,2861次勒索,平均每次勒索既可以有490美金入账。在如此有效的费效比支撑下,勒索团伙依然在寻找更多的盈利空间和盈利模式。LockBit3.0已经开始提供“阶梯赎回”方案。本次俄乌冲突勒索团伙对自己政治立场的表达也体现了这种趋势。其攻击面从普通用户,普通企业,开始向政企蔓延,在局部冲突的大背景下,政企面临勒索团伙的攻击,其回旋空间被压缩,面临的社会舆论风险激增,极大的提高了政企的对抗成本,在攻防成本博弈之中天然处于劣势。成为这些有技术实力,高组织度团伙的攻击目标。勒索团伙也有机会引入外部政治势力的投资。综上所述,勒索病毒能长期流行的核心逻辑是:勒索病毒具有很高的费效比,在安全攻防成本博弈中处于优势地位,且勒索团伙还在不断寻求新的盈利空间,属于上升发展的总体趋势。对于我们防守方来讲,我们将面临更加严峻的挑战,而且在地区热点阶段,政企和机关将面临更加频繁和更加具有针对性的勒索攻击。0x02 勒索病毒防护方案通过图表 12 勒索软件的ATT&CK杀伤链统计 的展示和分析,我们可以将勒索防护分成下面4块内容,分别对应不同的攻击阶段:事前阶段:安全意识教育/培训边界防护事中阶段:主机查杀事后阶段:勒索止损(一)防护方案概要(二)安全意识教育/培训无论任何安全平台,安全软件,使用者都是人。人们常说科技以人为本。安全也是如此,安全以人为本。再好的安全防护体系,不提高使用者的素质,依然会成为一个千疮百孔的体系。所以安全意识教育和安全培训需要放在首位。需要制定《软件使用规范》禁止使用盗版软件,规范正版软件的下载路径和下载方式,杜绝从三方平台下载软件的行为。提高员工邮件安全意识,做到非加密邮件和陌生邮件的附件,链接,二维码绝不下载,不点击,不扫描。由于二维码可以隐藏链接,需要尽量杜绝在邮件中使用二维码。对于陌生的外接设备要加强管理,强化陌生USB设备的管理。由此做到ATT&CK杀伤链中钓鱼环节的入侵防护。(三)边界防护边界防护的目标是针对 图表 12 勒索软件的ATT&CK杀伤链统计 中的部署、入侵、横向移动和窃取阶段构建的检测和防护手段。其包含整体网络边界的WAF,子网内的态势感知系统,主机边界的防火墙,HIPS,以及对横向移动行为进行检测和处置的EDR等多款安全产品。以WAF和态势感知来应对部署和入侵阶段的钓鱼邮件,钓鱼网站访问,RDP口令爆破,服务器层面的漏洞利用。主机边界的防火墙,HIPS,EDR等多款产品用来应对在主机测的入侵、横向移动、窃取阶段的RDP口令爆破,主机漏洞利用,聊天工具横向移动和窃取阶段的数据上传防护。(四)主机查杀主机查杀阶段是针对 图表 12 勒索软件的ATT&CK杀伤链统计 中的执行、维持、规避和影响阶段。其包含主机终端的攻击载荷落盘查杀,执行查杀。查杀引擎会持续和勒索病毒进行对抗,应对勒索病毒的规避手段,同时更新病毒库引擎,针对勒索软件进行持续化清理。其核心能力指标是针对勒索病毒的覆盖率和阻断能力。(五)勒索止损当所有防线都被突破之后,我们需要进行止损,防止损失扩大。主要为两个方面:使用定期的数据备份恢复被勒索的数据。对于无法恢复的数据部分,以及在恢复期间产生的经济损失,可以引入勒索保险,来实现一定的经济损失补偿。根据sophos的勒索白皮书中对5400家外国企业的调研,在勒索场景下,只有46%的厂家会支付勒索金,在这些支付勒索金到厂家中,只有61%的厂家的数据能找回。而只有4%的厂商能找回完整的数据。如此低下的数据恢复率,充分证明数据找回是不能指望勒索恢复。2022年度勒索保险的赔付率已经从2021年的77%,上升到了98%。可以成为对勒索损失的一种补偿。勒索止损主要分成两个方案:经济补偿和数据恢复。经济补偿主要依靠商业保险。当前国际上勒索保险也是处在刚刚起步的发展阶段,国内勒索保险领域也处在摸索阶段,尚不成熟。数据恢复部分主要依赖数据备份产品。浪潮云拥有国内领先的数据备份产品。在勒索场景下,面对不同的客户需求可以分别采用优备或者CDP来进行数据备份。优备具备成本较低,备份策略灵活的特点。当采用异地备份方案的时候可以防止勒索病毒造成的用户数据永久损失。而CDP的备份周期短,但是相对的存储成本较高,可以用来保护实时性较高的高价值数据。0x03 结论勒索病毒开始出现本土化,攻击手段复杂化,加密手段复杂化的趋势。让防御成本逐渐上升。同时,勒索病毒开始把攻击目标从普通企业和普通个人,逐渐转向了政企和国家机关,以此谋求更大的利益。我们结合浪潮云的基建,按照主机安全厂商测试结果和勒索防护方案的设计,给出如下的勒索防护解决方案。加强安全意识教育和培训。防止不当操作导致的安全事故。在边界防护和主机防护方面,需要搭建WAF、HIPS和EDR系统,覆盖不同的边界防护阶段需求。在勒索止损方面,根据用户自身数据的价值,可以使用浪潮云的优备或者CDP来实现数据异地备份和数据的快速恢复,最大化降低勒索带来的数据损失。 本文作者:,
转载请注明来自FreeBuf.COM # 资讯 # web安全 # 数据安全 # 企业安全 # 网络安全技术
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
+ 加入我的收藏
展开更多
相关推荐
关 注 0 文章数 0 关注者
文章目录
0x00 前言 0x01 勒索病毒现状 (一)现状(二)勒索病毒攻击简介(三)勒索病毒攻击趋势(四)重点勒索病毒家族分析0x02 勒索病毒防护方案(一)防护方案概要(二)安全意识教育/培训(三)边界防护0x03 结论 本站由阿里云 提供计算与安全服务 用户服务 有奖投稿 提交漏洞 参与众测 商城 企业服务 安全咨询 产业全景图 企业SRC 安全众测 合作信息 斗象官网 广告投放 联系我们 友情链接 关于我们 关于我们 加入我们 微信公众号 新浪微博 战略伙伴 FreeBuf+小程序 扫码把安全装进口袋 斗象科技 FreeBuf 漏洞盒子 斗象智能安全平台 免责条款 协议条款
Copyright © 2020 WWW.FREEBUF.COM All Rights Reserved
沪ICP备13033796号
|
沪公安网备
勒索软件防护 | 让您的数据在2024年安全
防护 | 让您的数据在2024年安全跳到主体内容解决方案适用于:家用产品1-50 名员工的小型企业51-999 名员工的中型企业1000 名员工以上的大型企业解决方案适用于:家用产品1-50 名员工的小型企业51-999 名员工的中型企业1000 名员工以上的大型企业卡巴斯基徽标我的卡巴斯基产品产品卡巴斯基全方位安全软件为您和您的孩子提供终极安全和反病毒套件 - 在 PC、Mac 和移动设备上了解详情30 天免费试用卡巴斯基安全软件为您的隐私和资金提供高级安全和反病毒套件 - 在 PC、Mac 和移动设备上了解详情30 天免费试用卡巴斯基反病毒软件适用于 Windows 的核心反病毒软件 - 拦截病毒和加密货币挖掘恶意软件了解详情30 天免费试用卡巴斯基安全软件- Mac 版针对身份窃贼和欺诈者的高级安全保护了解详情30 天免费试用卡巴斯基免费版为您的 PC 提供免费、基本的反病毒保护了解详情免费试用免费工具卡巴斯基二维码扫描器查看更多续订下载支持资源中心BlogHomeHome SecurityResource CenterThreats勒索软件防护:如何让您的数据在2024年安全进一步了解如何在2024年防御勒索软件的话题但是,究竟什么是勒索软件?如果勒索软件或者加密木马进入您的计算机,它将加密您的数据或者锁定您的操作系统。一旦勒索软件抓住一个“数字人质”,它就会要求赎金才释放它。为了减少发现自己面对锁定笔记本电脑或者加密数据的可能性,做好准备很重要。感染几率可以通过使用安全软件和足够小心大幅减少。通过使用防勒索软件,您可以避免必须支付一大笔钱才可能释放数据的情况。勒索软件感染可以各种方式发生,比如通过不安全的网站和诈骗网站、软件下载和通过垃圾邮件。勒索软件的对象可以是个人,也可以是各种规模的公司。安全漏洞 — 您是勒索软件攻击的潜在目标吗?
有许多因素可以使您成为勒索软件攻击的目标。
使用的设备不再是最先进
设备上有过时软件
浏览器和/或者操作系统不再有补丁
不存在合适的备份计划
对网络安全的关注不够,没有制定具体计划
如果这些中的一点或多点适用于设备,则您有成为勒索软件攻击受害者的风险。由卡巴斯基安全软件执行的漏洞扫描可以弥补这点。软件会扫描设备以查找操作系统或者计算机上安装的程序中可能存在的安全漏洞。这些漏洞可以让恶意软件潜入,检测这些漏洞可以防止计算机被感染。您可以在此处了解具体如何执行扫描。
防御勒索软件 — 如何防止感染
永远不要单击不安全的链接:避免单击垃圾邮件或者未知网站上的链接。单击恶意链接可能会启动自动下载,会导致计算机感染。
避免透露个人信息:如果收到不信任来源的电话、短信或者电子邮件,要求您提供个人信息,不要回复。正在计划进行勒索软件攻击的网络犯罪分子可能会尝试提前收集个人信息,然后用这些信息制作专门针对您的钓鱼消息。如果对于消息是否合法有任何疑问,请直接联系发送者。
不要打开可疑的电子邮件附件:勒索软件也可以通过电子邮件附件到您的设备。避免打开任何看起来可疑的附件。为了确保电子邮件可信,请注意发件人并检查地址是否正确。永远不要打开提醒您运行宏指令进行查看的附件。如果附件被感染,打开它将会运行恶意宏指令,让恶意软件控制您的计算机。
永远不要使用未知U盘:永远不要把不知道来源的U盘或者其它存储媒体连接到您的计算机。网络犯罪分子可能感染了存储媒体,然后把它放在公众地方引诱人使用它。
保持您的程序和操作系统最新:定期更新程序和操作系统有助于您防御恶意软件。执行更新时,请确保获得最新安全补丁的益处。这会让网络犯罪分子更难利用您的程序中的漏洞。
只使用已知的下载来源:为了最小化下载勒索软件的风险,永远不要从未知站点下载软件或者媒体文件。从经过验证的和信任网站进行下载。这种网站可以通过信任印章进行识别。请确保您正在使用的页面的浏览器地址栏用的是 "https" 而不是 "http"。地址栏中如果有一个盾牌或者锁头符号,也可以表明页面安全。下载任何东西到移动设备时也请注意。取决于设备,您也可以信任 Google Play Store 或者 Apple App Store。
在公共 Wi-Fi 网络上使用 VPN 服务:谨慎使用公共 Wi-Fi 网络是防御勒索软件的明智保护措施。使用公共 Wi-Fi 网络时,您的计算机更容易受到攻击。为了受到保护,请避免使用公共 Wi-Fi 进行敏感交易,或者使用安全的 VPN 服务。
反勒索软件软件 — 有什么益处?
除了这些感染防御措施外,使用合适的软件防御勒索软件也至关重要。例如,在邮件服务器上使用病毒扫描程序和内容筛选器是防御勒索软件的聪明方式。这些程序可以降低带有恶意附件的垃圾邮件或者感染链接到达邮箱的风险。
诸如 Kaspersky Internet Security 的互联网安全解决方案也应该安装。这款软件可以在下载或播放东西时阻止感染文件,从而提供实时保护。这可以防止勒索软件感染您的计算机,让网络犯罪分子束手无策。卡巴斯基还提供一款可以提供额外帮助的特殊反勒索软件工具。这款工具可以通过执行扫描来检测和阻止勒索软件,保护您的数据抵御本地和远程勒索软件攻击。
如果安装了正确软件,您已经在正确的方向上迈了一大步。定期更新互联网安全解决方案以利用其提供的最佳最新保护。每个更新包含最新的安全补丁,可改进对勒索软件的防护。
数据保护 — 消除最差情况下的威胁
创建备份时该注意什么
请确保您的数据始终受备份保护,以防您的计算机被勒索软件感染,无法进行解密。使用外部硬盘,确保创建备份后将其从计算机断开连接。如果勒索软件启动时您的硬盘连接着,硬盘上的数据也会被加密。您应该定期用这种方式备份数据。
备份数据 — 保护还是威胁?
如果不想手动保护数据,您可以使用所谓的备份软件。不过在这里您也需要小心。这是因为有些“安全工具”也可能其实是木马。创建备份副本是备份软件的首要任务,这意味着它可以访问所有文件,有无数权限。
软件通常和提供商有直接联系,所以网络犯罪分子要加入其它功能和命令很容易。这些可能有害,而用户不可能识别。为了避免此类情况,您应该在搜索合适的备份软件时非常小心。有些安全解决方案,比如卡巴斯基全方位安全软件,已经提供了可以创建备份的插件。使用这种插件可以避免搜索第三方提供商。
防御勒索软件 — 什么公司应该注意
勒索软件绝不只是对个人的威胁。恰恰相反,公司也频繁成为目标。不仅赚钱的大公司是勒索软件的受害者,中小型公司 (SME) 也经常成为目标。它们的安全系统通常很糟,因此对于攻击者特别有吸引力。以下是想要避免勒索软件感染的公司应该考虑的一个因素清单。
永远使用最新的操作软件,公司环境中也一样。过去的经验显示(例如,WannaCry 2017)忽略了这一领域的公司尤其面临勒索软件攻击的风险。
提高员工意识— 知道要找什么的人会更有效率。部署一项让员工可以评估附件、链接或者电子邮件是否值得信任的安全协议。
有备无患 — 确保万一发生勒索软件感染时有计划。
考虑云技术,如果您还没有这样做的话。云架构对于本地系统的优势是它的漏洞更难被侵入。此外,云存储解决方案可以让您恢复更早版本的文件。这意味着如果文件被勒索软件加密,您应该可以使用云存储返回到未加密的版本。
备份 — 即使在商业环境中,始终将关键业务数据备份到外部设备也很重要。对于这一至关重要的任务的责任应该得到清楚声明和沟通。
如今的勒索软件 — 恶意软件开发
尽管勒索软件攻击的基本概念(数据加密和赎金勒索)基本没变,网络犯罪分子会定期更改操作方式。
从 PayPal 到比特币 – 因为更难追踪,网络犯罪分子现在用比特币要求赎金。过去,他们主要用 PayPal 达到这一目的。
分发 — 起初,垃圾邮件被认为是主要的攻击点。虽然这些今天已经不相关,但是 VPN 漏洞和通过僵尸网络分发如今还是普遍选项。
就如网络犯罪分子驱动勒索软件的开发一样,反勒索软件保护也在演化,变得更加有效和高效。
结论
和对付其它形式的恶意软件一样,当涉及勒索软件时,谨慎行事和使用优秀安全软件是在正确方向上的优秀步骤。对这种类型的恶意软件来说,创建备份特别重要,这可以让您即使在最差的情况下也有备无患。如果采取了这些优秀的防范和保护措施后仍然成为勒索软件的受害者,您可以在这里了解如何去除不速之客的更多信息。勒索软件防护:如何让您的数据在2024年安全Kaspersky勒索软件能做什么,会如何伤害我?了解如何用勒索软件扫描仪和保持警惕来保护您的计算机精选文章我是网络钓鱼受害者!现在该怎么办?数字钱包有多安全?如何保护电子钱包黑色星期五在线威胁: 如何安全在线购物 什么是暗网扫描?规模最大的加密货币交易所黑客行动:如何确保您的加密货币免受黑客入侵为您提供保护的产品我们的创新型产品将帮助您保护最重要的事项。了解有关我们屡获殊荣的安全解决方案的更多信息。免费工具我们的免费安全工具以及其他工具可以帮助您检查以确保 PC、Mac 或移动设备上所有数据的安全。联系我们的团队保证您的设备安全是我们的使命 - 如果您需要联系我们、获取常见问题的答案或者访问我们的技术支持团队。
关于我们了解我们的品牌、我们的工作方式以及我们为何致力于为每个人营造更加安全的在线和移动世界。获取免费试用版购买前试用。只需单击几次鼠标,即可获取我们任一款产品的免费试用版 - 以便您可试用我们的技术。
联系我们
家用产品
卡巴斯基 反病毒软件
卡巴斯基 安全软件
卡巴斯基 全方位安全软件
所有产品
免费反病毒软件
1-50 名员工的小型企业
卡巴斯基 中小企业安全解决方案
所有产品
51-999 名员工的中型企业
标准版 网络安全解决方案
高级版 网络安全解决方案
所有产品
1000 名员工以上的大型企业
网络安全服务
卡巴斯基威胁管理和防御
卡巴斯基网络安全
Hybrid Cloud Security
Cybersecurity Training
Threat Intelligence
所有解决方案
© 2024 AO Kaspersky Lab 自适应安全技术基于专利 CN201821502 “信息设备的自适应安全性”及其在美国、俄罗斯和欧盟地区的同类专利。 隐私策略 • Cookies • 反腐败政策 • 许可协议 B2C • 许可协议 B2B • 京ICP备12053225号 京公网安备 11010102001169 号联系我们关于我们合作伙伴资源中心新闻稿网站导航选择您的国家中国 (China)
美洲
América Latina
Brasil
United States
Canada
非洲
Afrique Francophone
Algérie
Maroc
South Africa
Tunisie
中东
Middle East
الشرق الأوسط
西欧
Belgique & Luxembourg
Danmark
Deutschland & Schweiz
España
France
Italia & Svizzera
Nederland & België
Norge
Österreich
Portugal
Sverige
Suomi
United Kingdom
东欧
Česká republika
Magyarország
Polska
România
Srbija
Türkiye
Ελλάδα (Greece)
България (Bulgaria)
Россия и Белару́сь (Russia & Belarus)
Україна (Ukraine)
亚太地区
Australia
India
New Zealand
Việt Nam
ไทย (Thailand)
한국 (Korea)
中国 (China)
中国香港 (Hong Kong)
中国台灣 (Taiwan)
日本語 (Japan)
其他地区
全球网站
信通院发布《勒索病毒安全防护手册》(附下载) - 安全内参 | 决策者的网络安全知识库
信通院发布《勒索病毒安全防护手册》(附下载) - 安全内参 | 决策者的网络安全知识库
Toggle navigation
首页
产业趋势
专家观察
CISO洞察
决策研究
登录
APP下载
信通院发布《勒索病毒安全防护手册》(附下载)
安全运营
中国信通院CAICT
2021-09-08
手册梳理了勒索病毒主要类型、传播方式,分析勒索病毒攻击特点和典型勒索病毒攻击阶段,聚焦事前预防,事中应急、事后加固三个环节,研提勒索病毒攻击防范应对框架和实操参考。
勒索病毒是一种极具传播性、破坏性的恶意软件,主要利用多种密码算法加密用户数据,恐吓、胁迫、勒索用户高额赎金。近期,勒索病毒攻击形势更加严峻,已经对全球能源、金融等领域重要企业造成严重影响。由于勒索病毒加密信息难以恢复、攻击来源难以溯源,勒索病毒对现实世界威胁加剧,已成为全球广泛关注的网络安全难题。为加强勒索病毒攻击防范应对,在工业和信息化部网络安全管理局指导下,中国信息通信研究院(以下简称“中国信通院”)联合行业七家单位共同编制《勒索病毒安全防护手册》(以下简称“《手册》”),梳理勒索病毒主要类型、传播方式,分析勒索病毒攻击特点和典型勒索病毒攻击阶段,聚焦事前预防,事中应急、事后加固三个环节,研提勒索病毒攻击防范应对框架和实操参考,以期与公众分享,共同防范化解攻击风险。下一步,中国信通院将深刻落实总体国家安全观,立足底线思维,聚焦勒索病毒等重大网络攻击风险防范应对,加强风险研究前瞻布局和应对指导,增强国家网络安全综合实力,筑牢适应新时代的网络安全防线,为数字经济健康、有序、安全发展保驾护航。手册目录一、相关背景(一)勒索病毒攻击事件数量保持高位(二)勒索病毒攻击风险传导趋势明显二、勒索病毒概述(一)勒索病毒主要类型(二)勒索病毒典型传播方式三、勒索病毒攻击现状(一)近期勒索病毒攻击特点(二)典型勒索病毒攻击流程四、勒索病毒攻击安全防护举措(一)勒索病毒攻击安全防护框架(二)勒索病毒攻击安全防护实操参考更多精彩,敬请阅读解读PPT。123456789101112下载手册:http://www.caict.ac.cn/kxyj/qwfb/ztbg/202109/P020210908503958931090.pdf
声明:本文来自中国信通院CAICT,版权归作者所有。文章内容仅代表作者独立观点,不代表安全内参立场,转载目的在于传递更多信息。如有侵权,请联系 anquanneican@163.com。
安全运营
勒索软件
相关资讯
安全团队需要重点演练的四大威胁
安全运营
GoUpSec
2024-03-11
面对日益增长的漏洞和威胁,企业安全团队应该优先选择哪些威胁进行测试?
零信任:不断演进中创新
安全运营
ZenMind
2024-03-10
零信任的思想内涵在不断演进,在数字化进程中越发重要,但零信任的成果难以依赖理念的先进,更需要技术创新来弥合安全和业务之间的冲突。
生成式人工智能服务安全基本要求实务解析
安全运营
金杜研究院
2024-03-09
本文尝试明晰《基本要求》的出台背景与实践定位,梳理《基本要求》所涉的各类安全要求,以便为相关企业遵循执行《基本要求》提供抓手。
关于我们
联系我们
用户协议
隐私政策
移动客户端
安全内参 © 2024 沪ICP备19008222号-1
微信公众号
回到顶部
-1.7%³��
1 0 obj <> /Outlines 5 0 R /Pages 2 0 R /Type /Catalog>> endobj 3 0 obj <> endobj 13 0 obj <> endobj 15 0 obj <>
stream
x�흻��:��;��C!0�@sL7 Zc+kM[cӼ���gK"H�D�)��q�>�Q ����h��.j 2p�Oε �4��o�Z�, ����7��. ���:� �ʩ��[��. D!������� h+� ���"�!k Y�h��e �N������v� �G���]> ���a2�.! x"���� ���a�8�.&