當我們看到上述三個現象的時候，說明伺服器已經遭到勒索病毒的攻擊，此時，如果我們倉促的進行不正確的處置，反而可能會進一步擴大自己的損失。

所以，請保持冷靜不要驚慌失措，現在我們需要做的是如何最大化的減少損失，並阻止黑客繼續去攻擊其他伺服器。具體操作步驟請見下一章。

第三章 如何進行自救

當我們已經確認感染勒索病毒後，應當及時採取必要的自救措施。之所以要進行自救，主要是因為：等待專業人員的救助往往需要一定的時間，採取必要的自救措施，可以減少等待過程中，損失的進一步擴大。例如：與被感染主機相連的其他伺服器也存在漏洞或是有缺陷，將有可能也被感染。所以，採取自救措施的目的是為了及時止損，將損失降到最低。

• 正確處置方法

(一) 隔離中招主機

處置方法

當確認伺服器已經被感染勒索病毒後，應立即隔離被感染主機，隔離主要包括物理隔離和訪問控制兩種手段，物理隔離主要為斷網或斷電；訪問控制主要是指對訪問網路資源的許可權進行嚴格的認證和控制。

1. 物理隔離

物理隔離常用的操作方法是斷網和關機。

斷網主要操作步驟包括：拔掉網線、禁用網卡，如果是筆記本電腦還需關閉無線網路。

1. 訪問控制

訪問控制常用的操作方法是加策略和修改登錄密碼。

加策略主要操作步驟為：在網路側使用安全設備進行進一步隔離，如防火牆或終端安全監測系統；避免將遠程桌面服務（RDP，默認埠為3389）暴露在公網上（如為了遠程運維方便確有必要開啟，則可通過VPN登錄後才能訪問），並關閉445、139、135等不必要的埠。

修改登錄密碼的主要操作為：立刻修改被感染伺服器的登錄密碼；其次，修改同一區域網下的其他伺服器密碼；第三，修改最高級系統管理員賬號的登錄密碼。修改的密碼應為高強度的複雜密碼，一般要求：採用大小寫字母、數字、特殊符號混合的組合結構，口令位數足夠長（15位、兩種組合以上）。

處置原理

隔離的目的，一方面是為了防止感染主機自動通過連接的網路繼續感染其他伺服器；另一方面是為了防止黑客通過感染主機繼續操控其他伺服器。

有一類勒索病毒會通過系統漏洞或弱密碼向其他主機進行傳播，如WannaCry勒索病毒，一旦有一臺主機感染，會迅速感染與其在同一網路的其他電腦，且每臺電腦的感染時間約為1-2分鐘左右。所以，如果不及時進行隔離，可能會導致整個區域網主機的癱瘓。

另外，近期也發現有黑客會以暴露在公網上的主機為跳板，再順藤摸瓜找到核心業務伺服器進行勒索病毒攻擊，造成更大規模的破壞。

當確認伺服器已經被感染勒索病毒後，應立即隔離被感染主機，防止病毒繼續感染其他伺服器，造成無法估計的損失。

(二) 排查業務系統

處置方法

在已經隔離被感染主機後，應對區域網內的其他機器進行排查，檢查覈心業務系統是否受到影響，生產線是否受到影響，並檢查備份系統是否被加密等，以確定感染的範圍。

處置原理

業務系統的受影響程度直接關係著事件的風險等級。評估風險，及時採取對應的處置措施，避免更大的危害。

另外，備份系統如果是安全的，就可以避免支付贖金，順利的恢復文件。

所以，當確認伺服器已經被感染勒索病毒後，並確認已經隔離被感染主機的情況下，應立即對核心業務系統和備份系統進行排查。

(三) 聯繫專業人員

在應急自救處置後，建議第一時間聯繫專業的技術人士或安全從業者，對事件的感染時間、傳播方式，感染家族等問題進行排查。

個人中招用戶可以：通過360安全衛士的反勒索服務，聯繫專業人士。用戶在進入「360安全衛士」-「反勒索服務」選項後，需要同時開啟360文檔保護和360反勒索服務。開啟這兩項服務後，若您被感染勒索病毒，點擊「申請服務」按鈕即可申請理賠。

政企機構中招客戶可以聯繫：360企業安全集團，全國400應急熱線：4008 136 360 轉2 轉4。

錯誤處置方法

(一) 使用移動存儲設備

錯誤操作

當確認伺服器已經被感染勒索病毒後，在中毒電腦上使用U盤、移動硬碟等移動存儲設備。

錯誤原理

勒索病毒通常會對感染電腦上的所有文件進行加密，所以當插上U 盤或移動硬碟時，也會立即對其存儲的內容進行加密，從而造成損失擴大。從一般性原則來看，當電腦感染病毒時，病毒也可能通過U盤等移動存儲介質進行傳播。

所以，當確認伺服器已經被感染勒索病毒後，切勿在中毒電腦上使用U盤、移動硬碟等設備。

(二) 讀寫中招主機上的磁碟文件

錯誤操作

當確認伺服器已經被感染勒索病毒後，輕信網上的各種解密方法或工具，自行操作。反覆讀取磁碟上的文件後反而降低數據正確恢復的概率。

錯誤原理

很多流行勒索病毒的基本加密過程為：

1. 首先，將保存在磁碟上的文件讀取到內存中；
2. 其次，在內存中對文件進行加密；
3. 最後，將修改後的文件重新寫到磁碟中，並將原始文件刪除。

也就是說，很多勒索病毒在生成加密文件的同時，會對原始文件採取刪除操作。理論上說，使用某些專用的數據恢復軟體，還是有可能部分或全部恢復被加密文件的。

而此時，如果用戶對電腦磁碟進行反覆的讀寫操作，有可能破壞磁碟空間上的原始文件，最終導致原本還有希望恢復的文件徹底無法恢復。

第四章 如何恢復系統

感染勒索病毒後，對於政企機構來說，最重要的就是怎麼恢復被加密的文件了。一般來說，可以通過歷史備份、解密工具或支付贖金來恢復被感染的系統。但是這三種操作都有一定的難度，因此，建議受害者不要自行操作。如果您想恢復系統，請聯繫專業的技術人員或安全廠商，確保贖金的支付和解密過程正確進行，避免其他不必要的損失。

歷史備份還原

如果事前已經對文件進行了備份，那麼我們將不會再擔憂和煩惱。可以直接從雲盤、硬碟或其他災備系統中，恢復被加密的文件。值得注意的是，在文件恢復之前，應確保系統中的病毒已被清除，已經對磁碟進行格式化或是重裝系統，以免插上移動硬碟的瞬間，或是網盤下載文件到本地後，備份文件也被加密。

事先進行備份，既是最有效也是成本最低的恢復文件的方式。

解密工具恢復

絕大多數勒索病毒使用的加密演算法都是國際公認的標準演算法，這種加密方式的特點是，只要加密密鑰足夠長，普通電腦可能需要數十萬年纔能夠破解，破解成本是極高的。通常情況，如果不支付贖金是無法解密恢復文件的。

但是，對於以下三種情況，可以通過360提供的解密工具恢復感染文件。

1. 勒索病毒的設計編碼存在漏洞或並未正確實現加密演算法
2. 勒索病毒的製造者主動發布了密鑰或主密鑰。
3. 執法機構查獲帶有密鑰的伺服器，並進行了分享。

可以通過網站（http://lesuobingdu.360.cn/）查詢哪些勒索病毒可以解密。例如：今年下半年大規模流行的GandCrab家族勒索病毒，GandCrabV5.0.3及以前的版本可以通過360解密大師進行解密。

需要注意的是：使用解密工具之前，務必要備份加密的文件，防止解密不成功導致無法恢複數據。

專業人員代付

勒索病毒的贖金一般為比特幣或其他數字貨幣，數字貨幣的購買和支付對一般用戶來說具有一定的難度和風險。具體主要體現在：

1. 統計顯示，95%以上的勒索病毒攻擊者來自境外，由於語言不通，容易在溝通中產生誤解，影響文件的解密。
2. 數字貨幣交付需要在特定的交易平臺下進行，不熟悉數字貨幣交易時，容易人才兩空。

所以，即使支付贖金可以解密，也不建議自行支付贖金。請聯繫專業的安全公司或數據恢復公司進行處理，以保證數據能成功恢復。

重裝系統

當文件無法解密，也覺得被加密的文件價值不大時，也可以採用重裝系統的方法，恢復系統。但是，重裝系統意味著文件再也無法被恢復。另外，重裝系統後需更新系統補丁，並安裝殺毒軟體和更新殺毒軟體的病毒庫到最新版本，而且對於伺服器也需要進行針對性的防黑加固。

第五章 如何加強防護

終端用戶安全建議

對於普通終端用戶，我們給出以下建議，以幫助用戶免遭勒索病毒的攻擊：

養成良好的安全習慣

1. 電腦應當安裝具有雲防護和主動防禦功能的安全軟體，不隨意退出安全軟體或關閉防護功能，對安全軟體提示的各類風險行為不要輕易放行。
2. 使用安全軟體的第三方打補丁功能對系統進行漏洞管理，第一時間給操作系統和IE、Flash等常用軟體打好補丁，定期更新病毒庫，以免病毒利用漏洞自動入侵電腦。
3. 對系統用戶密碼及時進行更改，並使用LastPass等密碼管理器對相關密碼進行加密存儲，避免使用本地明文文本的方式進行存儲。系統相關用戶杜絕使用弱口令，同時，應該使用高複雜強度的密碼，8位以上盡量包含大小寫字母、數字、特殊符號等的混合密碼，加強運維人員安全意識，禁止密碼重用的情況出現，並定期對密碼進行更改。
4. 重要文檔數據應經常做備份，一旦文件損壞或丟失，也可以及時找回。

減少危險的上網操作

1. 不要瀏覽來路不明的色情、賭博等不良信息網站，這些網站經常被用於發動掛馬、釣魚攻擊。
2. 不要輕易打開陌生人發來的郵件附件或郵件正文中的網址鏈接。
3. 不要輕易打開後綴名為js、vbs、wsf、bat等腳本文件和exe、scr等可執行程序，對於陌生人發來的壓縮文件包，更應提高警惕，應先掃毒後打開。
4. 電腦連接移動存儲設備，如U盤、移動硬碟等，應首先使用安全軟體檢測其安全性。
5. 對於安全性不確定的文件，可以選擇在安全軟體的沙箱功能中打開運行，從而避免木馬對實際系統的破壞。

採取及時的補救措施

1. 安裝「360安全衛士」並開啟「反勒索服務」，一旦電腦被勒索病毒感染，可以通過360反勒索服務申請贖金賠付，以儘可能的減小自身經濟損失。

政企用戶安全建議

1. 如用戶處存在虛擬化環境，建議用戶安裝360網神虛擬化安全管理系統，進一步提升防惡意軟體、防暴力破解等安全防護能力。
2. 安裝天擎等終端安全軟體，及時給辦公終端打補丁修復漏洞，包括操作系統以及第三方應用的補丁。
3. 針對政企用戶的業務伺服器，除了安裝殺毒軟體還需要部署安全加固軟體，阻斷黑客攻擊。
4. 企業用戶應採用足夠複雜的登錄密碼登錄辦公系統或伺服器，並定期更換密碼，嚴格避免多臺伺服器共用同一個密碼。
5. 限制內網主機可進行訪問的網路、主機範圍。有效加強訪問控制ACL策略，細化策略粒度，按區域按業務嚴格限制各個網路區域以及伺服器之間的訪問，採用白名單機制只允許開放特定的業務必要埠，其他埠一律禁止訪問，僅管理員IP可對管理埠進行訪問，如FTP、資料庫服務、遠程桌面等管理埠。
6. 對重要數據和核心文件及時進行備份，並且備份系統與原系統隔離，分別保存。
7. 部署天眼等安全設備，增加全流量威脅檢測手段，實時監測威脅、事件。
8. 如果沒有使用的必要，盡量關閉3389、445、139、135等不用的高危埠，建議內網部署堡壘機類似的設備，並只允許堡壘機IP訪問伺服器的遠程管理埠（445、3389、22）。
9. 提高安全運維人員職業素養，除工作電腦需要定期進行木馬病毒查殺外，如有遠程家中辦公電腦也需要定期進行病毒木馬查殺。
10. 提升新興威脅對抗能力

通過對抗式演習，從安全的技術、管理和運營等多個維度出發，對企業的互聯網邊界、防禦體系及安全運營制度等多方面進行模擬檢驗，持續提升企業對抗新興威脅的能力。

第六章 附錄：勒索病毒已知被利用漏洞合集

原文鏈接：勒索病毒應急響應 自救手冊（第二版）

推薦閱讀：