360-勒索病毒应急响应自救手册（网络安全）-2019.3-12页_2mb

勒索病毒应急响应自救手册总结

核心内容

勒索病毒是一种通过加密用户数据并要求支付赎金的恶意软件，自2017年WannaCry大规模爆发以来，已成为政企机构面临的主要网络安全威胁之一。攻击者常利用系统漏洞、弱密码等方式传播病毒，导致业务系统无法访问、桌面被篡改、文件后缀被更改等现象，严重影响企业正常运营。

主要观点

• 勒索病毒的典型特征包括：业务系统无法访问、桌面出现勒索提示、文件后缀被更改。
• 在确认感染后，应采取正确措施进行自救，以防止病毒进一步扩散和损失扩大。
• 错误操作如使用移动存储设备、反复读写磁盘文件等，可能导致数据无法恢复。
• 恢复系统的方式包括历史备份还原、使用解密工具、专业人员代付赎金以及重装系统。
• 为防止勒索病毒攻击，政企机构和终端用户应加强安全防护，包括定期备份、使用强密码、关闭不必要的端口、安装安全软件等。

关键信息

第一章 如何判断病情

• 业务系统无法访问：可能是勒索病毒攻击，也可能是DDoS或其他病毒攻击。
• 电脑桌面被篡改：常见于勒索病毒攻击，桌面通常出现勒索提示和联系方式。
• 文件后缀被篡改：如.dream、.satan、.arena等，是勒索病毒的典型表现。

第二章 如何进行自救

• 隔离中招主机：立即断网、断电或使用访问控制策略隔离感染主机。
• 排查业务系统：检查其他设备是否被感染，确认备份系统是否安全。
• 联系专业人员：建议通过360企业安全集团或反勒索服务进行专业处置。

第三章 如何恢复系统

• 历史备份还原：是最有效、成本最低的恢复方式，但需确保病毒已被清除。
• 解密工具恢复：适用于部分勒索病毒家族，如GandCrab早期版本，需提前备份。
• 专业人员代付：支付赎金需谨慎，建议由专业公司代为处理，以确保安全和有效性。
• 重装系统：适用于无法解密或文件价值不高的情况，但会导致数据永久丢失。

第四章 如何加强防护

• 终端用户建议：
  • 安装安全软件并开启防护功能。
  • 使用强密码，定期更新系统和软件补丁。
  • 避免打开不明链接、附件和脚本文件。
  • 使用安全软件检测移动存储设备，必要时在沙箱中运行。
  • 安装“360安全卫士”并开启“反勒索服务”。
• 政企用户建议：
  • 安装天擎等终端安全软件，及时打补丁。
  • 部署安全加固软件，关闭不必要的网络端口。
  • 定期进行安全演练和攻防对抗，提升安全运维人员能力。
  • 对重要数据进行隔离备份，确保数据安全。

360天擎敲诈先赔服务

• 360企业安全为天擎政企用户提供“敲诈先赔”服务，若感染勒索病毒，可申请赔付赎金。
• 该服务基于安全大数据、QVM机器学习引擎、行为识别等技术，有效防御勒索病毒攻击。

360安服团队

• 360安服团队拥有丰富的网络安全应急响应经验，参与多项国家级安全保障工作。
• 提供包括咨询规划、数据分析、预警检测、持续响应、安全运营等在内的全周期安全服务。

360安全监测与响应中心

• 提供网络安全事件的实时监测、预警、通告、处置建议和技术支持。
• 在WannaCry事件中，72小时内发布多份安全预警和修复指南，帮助政企机构应对危机。
• 联系方式：cert@360.net

总结

勒索病毒对政企机构构成严重威胁，需及时识别、隔离、排查并联系专业人员处理。预防和备份是减少损失的关键，而360企业安全提供的多种服务和工具，可有效帮助用户应对勒索病毒攻击，保障数据安全。