中国信通院-勒索病毒安全防护手册_39页_1mb_39页_1mb

勒索病毒安全防护手册总结

核心内容概述

勒索病毒是一种具有高度破坏性和传播性的恶意软件，主要通过加密用户数据并索要赎金的方式实施攻击。近年来，勒索病毒攻击事件数量持续上升，对能源、金融、医疗等关键行业造成严重影响，攻击方式也日趋复杂，攻击者甚至构建了勒索病毒黑产链条。为应对勒索病毒威胁，本手册由中国信息通信研究院联合多家单位编制，提出事前预防、事中应急、事后加固的防护框架，并提供具体实操建议。

主要观点

• 勒索病毒攻击呈上升趋势：2021年上半年全球勒索病毒攻击事件数量与2020年全年持平，国内恶意域名访问量同比增长超10倍。
• 攻击目标更精准：攻击者瞄准高价值信息系统，采用定向攻击策略，实施更复杂的攻击链。
• 攻击手段多样化：包括漏洞利用、钓鱼邮件、网站挂马、移动介质、软件供应链、远程桌面入侵等。
• 攻击类型丰富：涵盖文件加密、数据窃取、系统加密、屏幕锁定等，其中文件加密类最为常见。
• 安全防护需分阶段实施：包括事前预防、事中应急、事后加固三个阶段，分别对应不同的防护措施。

关键信息

一、勒索病毒主要类型

1. 文件加密类：利用RSA、AES等算法加密文件，如WannaCry。
2. 数据窃取类：在加密前窃取数据并威胁公开，如Conti。
3. 系统加密类：加密磁盘引导记录，影响系统启动，如Petya。
4. 屏幕锁定类：锁定用户屏幕，如WinLock。

二、勒索病毒典型传播方式

1. 利用安全漏洞：如远程代码执行、弱口令。
2. 钓鱼邮件：通过附件或链接传播勒索病毒。
3. 网站挂马：诱导用户访问恶意网站，植入病毒。
4. 移动介质：利用隐藏U盘或移动硬盘传播。
5. 软件供应链：通过供应商系统漏洞传播，如Kaseya事件。
6. 远程桌面入侵：利用RDP或SSH协议获取控制权。

三、勒索病毒攻击特点

1. 精准攻击：针对高价值目标，如能源、医疗系统。
2. 伪装攻击：通过数据加密掩盖真实攻击意图。
3. 工控系统攻击：专门针对工业控制系统，如Cring、EKANS。
4. 漏洞利用为主：攻击者利用已知漏洞进行传播，如5400余个高危漏洞。
5. 虚拟化环境渗透：通过虚拟机、云服务器进行双向渗透。
6. 黑产链条形成：出现“勒索病毒即服务”（RaaS），攻击团伙分工协作。

四、安全防护框架

附录信息

附录一：近期勒索病毒攻击事件

1. 起亚美国：遭DoppelPayer攻击，IT系统中断，要求支付2000万美元赎金。
2. CNA保险公司：遭Phoenix攻击，支付4000万美元赎金。
3. 宏碁：遭REvil攻击，索要5000万美元赎金。
4. 科洛尼尔管道运营商：遭Darkside攻击，导致成品油供应中断。
5. JBS肉类企业：遭REvil攻击，澳大利亚工厂全面停产。
6. 安盛保险集团：遭Avaddon攻击，窃取3TB敏感数据。
7. SolOriens核武器分包商：遭REvil攻击，员工信息泄露。
8. 北约“北极星”计划供应商：遭勒索病毒攻击，威胁泄露数据至俄罗斯情报部门。
9. MasMovil Ibercom：遭REvil攻击，大量敏感信息被窃取。
10. Kaseya软件供应商：遭REvil攻击，导致800余家商店关闭。

附录二：典型勒索病毒

1. REvil/Sodinokibi：2019年首次发现，采用RSA和AES加密，具有RaaS模式。
2. DarkSide：2020年首次发现，使用RSA1024和Salsa20算法，具有双重勒索策略。
3. Conti：2019年首次出现，2020年发展为RaaS，采用并发线程技术。
4. Avaddon：2020年首次发现，采用RSA2048和AES256加密，2021年关闭业务。
5. DoppelPayment：2019年首次发现，与BitPayment代码相似，由INDRIK SPIDER组织运营。
6. Ryuk：2018年首次发现，由GRIM SPIDER运营，主要攻击科技、医疗、能源等领域。
7. RansomLock：2013年首次发现，通过互联网传播，锁定屏幕显示蓝屏错误。
8. Lucy：2018年首次出现，针对安卓设备，通过社交媒体传播。
9. Babuk Locker：2021年发现，具有数据提取功能，用于窃取高价值信息。

总结

本手册系统梳理了勒索病毒的类型、传播方式、攻击特点及应对措施，强调了在事前、事中、事后三个阶段采取不同层级的防护策略，包括数据备份、安全意识、网络隔离、漏洞修补、权限管理、安全产品部署等。同时，手册附录提供了多个近期勒索病毒攻击案例和典型勒索病毒信息，有助于读者全面了解当前勒索病毒威胁的严重性与多样性。