勒索软件攻击指南：工作原理与防御技巧

了解勒索软件攻击、网络犯罪分子使用的常见方法，以及保护您的系统、数据和网络免遭劫持的实际步骤。

··25 分钟阅读

什么是勒索软件攻击？

勒索软件攻击发生在黑客部署恶意软件来锁定文件或阻止系统访问时。他们通常会要求以加密货币的形式支付来恢复系统。现代变种更进一步，采用双重勒索。攻击者先窃取数据，然后威胁如果受害者拒绝支付就泄露这些数据。一些组织现在采用三重勒索，增加了DDoS攻击或针对与受害者有关联的第三方的威胁。

核心要点: 勒索软件会锁定您的文件并索要赎金。现代变种会先窃取数据,即使解密之后,仍以此施压。Chainalysis 统计显示,2024 年勒索软件支付金额约为 8.1355 亿美元[1]。预防的成本远低于此:遵循 3-2-1-1-0 规则的强力备份、抗钓鱼的多因素认证、及时修补的系统以及网络分段,能够在攻击开始前消除大多数攻击路径。

如果您的文件、照片和业务记录突然消失在数字锁的后面怎么办？唯一的钥匙掌握在要求支付的犯罪分子手中。这就是勒索软件攻击的定义。这种网络犯罪不仅仅是阻止您访问数据。在许多情况下，黑客现在首先窃取数据，然后威胁如果不支付赎金就泄露这些数据。

风险急剧上升。勒索软件即服务(RaaS)使犯罪分子很容易发动攻击。即使是低技能的黑客也可以造成大规模损害。最近的案件扰乱了医院、食品供应商和政府服务。没有行业是安全的。

影响远不止赎金钱。受害者面临长时间停机、失去客户信任和永久数据丢失。曾经似乎罕见的情况现在已成为个人、小企业和大公司的日常风险。本指南解释了为什么这些攻击不断增加，并提供了保护您数据的实际步骤。

指标发现
勒索软件赎金支付总额根据 Chainalysis[1] 的数据,2024 年约为 8.1355 亿美元,较 2023 年创纪录的 12.5 亿美元下降 35%。已记录事件中,支付赎金的不到一半。
勒索趋势Verizon 2024 年报告显示,勒索软件出现在 23% 的数据泄露事件中;勒索软件加上其他勒索手段的比例达到 32%,表明数据窃取型勒索正在增长(Verizon DBIR[2])。
突破时间平均 29 分钟,最快仅 27 秒。 CrowdStrike 2026 年报告测算了 2025 年 eCrime 攻击者在初始访问后进行横向移动的速度(CrowdStrike[3])。

网络攻击以百万美元赎金、广泛数据盗窃和近乎即时的违规快速而狠烈地发动。强大的加密和主动防御已不再是可选项。

勒索软件攻击如何开始？

勒索软件通过利用日常数字使用中的薄弱点来传播。攻击者不需要高级技巧。他们依靠人为错误、过时系统和不安全的访问。

为什么这些攻击不断升级

勒索软件不再是一次性的网络犯罪。它作为一个不断增长的产业运作。攻击者结合自动化、社交工程和黑市服务来针对各种规模的目标。几个因素推动这种增长：

  • 远程办公风险: 员工通过个人设备或不安全的 Wi-Fi连接网络,使网络面临凭据被盗的威胁。
  • 安全薄弱与技能缺口: 许多组织缺乏严格的访问控制,也未能及时打补丁。网络安全人才短缺使企业准备不足。
  • 勒索软件即服务 (RaaS): 地下论坛上出售的攻击工具包让技术水平较低的攻击者也能发动破坏性攻击。这种模式使勒索软件易于规模化并有利可图。
  • 加密货币支付: 比特币和门罗币等匿名支付方式让犯罪分子更有信心。交易难以追踪,因此犯罪团伙视赎金收入为低风险、高回报。
  • 数据驱动型勒索: 攻击者在加密前窃取敏感数据。根据Verizon 2024 年分析报告[2],勒索软件及其他勒索手段占数据泄露事件的 32%。每一次成功的赎金支付都会鼓励更多效仿者发起攻击。

钓鱼电子邮件和恶意文档

大多数勒索软件攻击始于网络钓鱼。伪装成发票、送货通知或人力资源更新的电子邮件欺骗用户点击链接或下载附件。单击一次就可以下载恶意软件或窃取凭据。一旦进入，勒索软件通过共享驱动和网络传播，加密所有文件。

有效凭据和MFA漏洞

弱密码或重复使用的密码给攻击者提供了快速进入的方式。他们使用凭据填充或暴力攻击来访问VPN、电子邮件账户和远程桌面。一旦登录，攻击者横向移动、禁用安全工具并发动勒索软件。禁用MFA或实施不当的单点登录等漏洞使入侵速度更快。

暴露的RDP和VPN设备

远程桌面协议(RDP)和VPN仍然是主要的初始访问点。攻击者使用暴力登录和凭据填充来获得未授权访问。一旦进入，他们建立持久化工具，使检测变得更难。

Verizon 2024 年报告指出，攻击者利用电子邮件和桌面共享软件获得入口（DBIR[2]）。CISA 的勒索软件指南则将面向互联网的漏洞和错误配置[4]（例如暴露在外的远程桌面协议，RDP）列为初始访问途径。许多犯罪团伙在暗网市场上购买和出售这些“即用型”入口点，从而加快攻击进程。

已知CVE与未修补的边缘设备

未修补的软件漏洞是第二大入侵途径。带有已知CVE的防火墙、邮件服务器和VPN网关全天候遭到勒索软件运营者的扫描。Fortinet、Citrix和Microsoft Exchange的漏洞被频繁利用。勒索软件团伙会迅速利用新披露的漏洞。访问代理现在会将漏洞利用工具与窃取的登录凭证打包出售给附属攻击者，从而降低了攻击者的技术门槛。

供应链和第三方访问

勒索软件不一定直接攻击。有时通过合作伙伴到达。被攻击的IT服务提供商、软件更新或具有薄弱防御的供应商充当踏脚石。高调攻击表明供应链妥协可以一次性将勒索软件传播给数百个客户。威胁组织也关注托管服务提供商(MSP)，因为一次违规可以在单个活动中提供数十个受害者。

勒索软件攻击通常从哪里开始

许多案例始于有人点击了虚假链接或打开了恶意附件;Verizon 发现 68% 的数据泄露[2]与人为因素有关。黑客还会利用未打补丁的软件、弱密码或不安全的远程访问来获得入口。一旦进入系统,恶意软件就会加密文件,并留下要求支付赎金的勒索信息。

犯罪分子现在使用勒索软件即服务（RaaS），任何人都能在线租用攻击工具。这降低了门槛，使技术较差的黑客也能发动大规模攻击。

回顾重大攻击

勒索软件发展迅速。

年份事件
1989首个案例是 AIDS 木马，它在重启 90 次后锁定文件，并通过邮寄方式索要赎金。
2013CryptoLocker 广泛传播，据美国司法部法庭文件称，到 2014 年 4 月已感染超过 234,000 台计算机[5]，并首次大规模要求以比特币支付赎金。
2017据 CISA 引用的开源报告，WannaCry 在150 多个国家[6]造成了数万台设备感染。
2017NotPetya[7] 伪装成勒索软件，实际上却是破坏性恶意软件；美国政府将其归因于俄罗斯军方，并认定其造成的损失高达数十亿美元[8]。
2019REvil 和 GandCrab 等 RaaS 平台降低了发动攻击的门槛，推动了网络勒索的增长。
2021Colonial Pipeline 遭到 DarkSide 勒索软件攻击，导致美国燃料供应中断，显示出勒索软件可以瞄准关键基础设施（CISA 公告[9]）。
2022哥斯达黎加在多个政府机构遭到 Conti 勒索软件攻击后，其总统宣布进入国家紧急状态[10]。
2023 至今LockBit 3.0 和 BlackCat 等团伙持续壮大；FBI 2023 年报告统计了 2,825 起勒索软件投诉，经调整的损失超过 5,960 万美元[11]，CISA 则追踪到美国境内约9,100 万美元的 LockBit 赎金被支付[12]。

勒索软件与其他威胁有何不同？

其他恶意软件可能对用户进行间谍活动、删除文件或减慢系统速度。勒索软件不同。它阻止访问并要求金钱，常常只给受害者两个选择：支付或丢失数据。

许多勒索软件攻击现在会在加密前先窃取数据。FBI [不鼓励支付赎金](https://www.ic3.gov/AnnualReport/Reports/2023_IC3Report.pdf)，而且即使付了钱，也无法保证数据不会外泄，因为攻击者仍可能将其公开。恢复依赖于干净且不可更改的备份，这些备份是勒索软件无法触及和破坏的。

这种勒索与破坏相结合的手法，使其成为当今最危险的网络犯罪形式之一。黑客会锁定文件或使系统瘫痪，索要赎金，并利用双重或三重勒索来最大限度地施压。

现代勒索软件的类型和策略

以下是最常见的活跃家族及其方法。

目前活跃的勒索软件家族

  • LockBit – 最活跃的组织，在全球拥有分支机构的RaaS。
  • Clop – 以利用MOVEit Transfer和大规模数据盗窃活动而闻名。
  • ALPHV (BlackCat) – 用Rust编写，灵活适应多种操作系统。
  • Royal/Black Basta – 对企业进行激进的双重勒索攻击。
  • Play Ransomware – 使用自定义工具绕过防御并快速传播。
  • Akira – 上升的组织针对中型企业进行数据泄露战术。

攻击链：从入口到赎金纸条

初始访问 → 权限获取 → 横向移动 → 数据外泄 → 加密 → 勒索

  • 平均突破时间: CrowdStrike《2026年全球威胁报告》发现，2025年电子犯罪（eCrime）行为体的平均突破时间降至29分钟[3]，观察到的最快突破仅需27秒。攻击者从最初入侵到内部扩散，可以在一小时内完成。
  • 影响速度: 恶意程序一旦部署，文件加密可能只需几分钟。防御方通常只有很短的检测窗口，系统就可能被锁死。

攻击阶段与 MITRE ATT&CK 技术编号

阶段技术编号
初始访问T1078（有效账户）
权限提升T1068（利用漏洞提升权限）
横向移动T1021（远程服务）
数据外泄T1041（通过 C2 通道外泄）
加密T1486（为造成影响而加密数据）
勒索T1657（经济利益窃取）

加密速度和检测窗口

勒索软件不需要很长时间就能造成损害。在许多情况下，加密在恶意软件执行后的几秒钟内开始。某些变种会在几分钟内锁定数千个文档。攻击者通常首先横向移动，在全面加密前传播到共享驱动和服务器。数据盗窃可能在这个阶段的之前或期间发生，启用双重勒索。

检测窗口很小。 许多组织仅在损害开始后才检测到活动。恢复时间取决于备份频率、网络分段和事件响应速度。快速隔离和干净备份限制伤害。缓慢的响应使攻击者能够最大化伤害并要求更大的赎金。

勒索软件如何影响您的业务

勒索软件攻击不仅仅锁定文件。它扰乱工作流程、耗尽资源并削弱信任。损害既是技术性的也是战略性的。优先考虑勒索软件保护的公司发现更容易遏制威胁并更快地恢复。

直接运营影响

  • 端点和服务器被加密。文件在几分钟内变得无法读取。
  • 生产线和服务停止。订单、工资和客户门户停滞。
  • 备份经常被作为目标或删除，使恢复缓慢或不可能。

结果： 工作陷入停顿，而团队急于寻找安全副本。

财务和法律影响

  • 赎金需求是一张账单。完整账单包括事件响应、取证时间、系统重建、失去的收入和保险争议。
  • 如果个人数据被暴露，监管罚款和违规通知会增加成本。
  • 诉讼和合规审计可能会跟随，即使系统完全恢复后。
  • 如果资金到达黑名单中的组织，支付赎金可能会触发制裁或法律后果。

信任、合同和市场损害

  • 客户在数据暴露后离开。合作伙伴暂停集成。
  • 供应商重新评估合同。投资者标记风险。
  • 小公司可能失去花费多年建立的投标和市场地位。

隐藏的长期成本

  • 失去的知识产权和分析。
  • 更高的保险费率和更严格的合同条款。
  • 员工倦怠和因重复危机处理而导致的人员流失。

这些成本缓慢而悄无声息地削弱价值。

勒索软件可以通过VPN传播吗？

可以。当凭据或设备被妥协时，虚拟专用网络(VPN)可能成为传递路径。使用具有强大加密和MFA执行的信誉良好的VPN服务可以显著降低此风险。

  • 从网络钓鱼中窃取的VPN登录
  • 易受攻击或过时的VPN设备
  • 受感染的家用设备将恶意软件桥接到办公室
  • 平面网络，其中VPN提供广泛的、不受限制的访问

快速修复： 启用MFA并修补VPN固件。加固： 实施零信任访问并减少VPN隧道授予的权限。

您面临勒索软件攻击的迹象

及早发现警告信号可以节省您的数据和金钱。黑客经常留下线索。以下是常见的迹象：

  • 文件突然被锁定 – 您无法打开之前工作正常的文件。
  • 系统减速或崩溃 – 计算机在没有原因的情况下冻结或重新启动。
  • 奇怪的支付通知 – 弹出消息要求金钱或比特币。
  • 奇怪的文件扩展名 – 文件改变名称或获得您不认识的新扩展名。
  • 加密的文件夹 – 重要文件夹显示为加密或无法读取。
  • 禁用的安全工具 – 防病毒或防火墙在没有警告的情况下停止工作。
  • 可疑的网络活动 – 您的系统上出现高流量或未知连接。
  • 不寻常的弹出窗口 – 即使没有程序运行，警报也会出现。

快速行动至关重要。如果忽视，攻击可以快速传播并造成永久性损害。单一事件可以中断业务、泄露私人数据并花费数千美元恢复。

勒索软件对公司的真实后果

勒索软件引发了一系列连锁反应，可以在数月甚至数年内瘫痪一个业务。后果远不止IT团队，触及组织的每一部分。

不断增长的财务损失

赎金需求往往只是开始。公司面临停机导致收入停止、紧急响应成本、取证调查和潜在的监管罚款。在医疗保健和金融领域，单一违规可能导致数百万美元的损失。对于小型公司，恢复费用本身可能威胁生存。

数据盗窃、合规和法律风险

随着双重勒索现在成为常态，攻击者在加密系统前窃取敏感文件。被盗的数据可能会在暗网上重新出现，为客户和员工造成长期身份盗窃风险。公司面临诉讼、合规违规和在银行、教育和政府等数据密集型行业中的监管审查。

信任和声誉侵蚀

声誉损害通常比攻击本身持续更久。客户质疑他们的信息是否安全。合作伙伴犹豫合作。投资者将公司视为高风险。企业可能花费多年重建信誉，即使系统完全恢复后。

运营和战略中断

勒索软件使整个运营停滞。制造停止、供应链中断和服务交付失败。恢复后，许多公司花费数月处理审计、诉讼和安全改进。对于一些小企业，中断如此严重以至于他们永远不会重新开门。

隐藏的长期成本

即使幸存的公司也常常面临增加的保险费率、更严格的合规要求和竞争力降低。这些隐藏成本缓慢地侵蚀盈利性。

如果您的公司遭到攻击该怎么办

前一个小时至关重要。您接下来所做的决定了多少伤害会传播以及恢复速度。

前一小时核对清单

将此用作立即行动的指南。

隔离威胁

  • 从网络断开受感染的端点。
  • 禁用SMB文件共享并阻止已知的C2指标。
  • 锁定或禁用显示可疑活动的账户。

激活事件响应团队

  • 引入IT、安全、法律、通信和执行领导。
  • 建立安全的通信渠道（如果遭到妥协，请避免使用公司电子邮件）。

保留证据

  • 保存赎金纸条、可疑日志、系统内存转储和恶意软件样本。
  • 记录事件的时间表以供取证调查。

确定损害范围

  • 确定哪些系统被加密。
  • 确认数据是否被外泄。
  • 检查备份的可用性和完整性。

联系专家支持

  • 联系您的IR合作伙伴或网络安全供应商。
  • 向执法部门报告。
  • 检查NoMoreRansom.org以获取免费解密工具。

进行透明通信

  • 向员工和利益相关者发送简明扼要的更新。
  • 在避免猜测的同时放心客户。

决定恢复路径

  • 优先从干净备份恢复。
  • 如果需要，考虑使用黄金镜像重建。
  • 仅在经过审查后才考虑解密。

不要

  • 不要仓促支付赎金。这不保证恢复。
  • 不要删除日志或证据。您会失去重要的线索。
  • 不要太早重新连接USB或离线备份。它们可能被加密。

实际有效的恢复

使系统恢复在线不仅仅是恢复文件。这是关于重建信任和确保攻击不会重复。结构化的恢复计划在确保利益相关者看到安全很重要的同时保持组织稳定。

备份：3-2-1-1-0规则

  • 3个数据副本
  • 2种不同的媒体类型
  • 1个离线副本
  • 1个不可变副本（一次写入）
  • 0个测试恢复错误

干净恢复

  • 重新部署前验证黄金镜像。
  • 重新生成所有凭据、API令牌和证书。
  • 轮换特权账户。

通知

  • 如果监管数据被暴露，准备强制性的违规通知。
  • 用简短、事实性的陈述通知客户。避免猜测。

解密密钥

  • 在支付前始终检查NoMoreRansom。
  • 成功率各不相同。验证后再尝试。

将攻击作为硬化防御、改进员工意识和现代化备份的转折点的公司会变得更强大，对重复事件的易受伤害程度远低。

如何预防勒索软件攻击

勒索软件预防不是关于一个工具。这是关于持续的习惯、强大的身份控制、分层防御和测试的恢复策略。构建安全到日常运营中的公司远不太可能最终支付赎金或失去信任。

防范措施长效机制

防御层行动重要性
身份安全抗钓鱼多因素认证[13]（FIDO2）、最小权限访问阻止基于凭据的入侵；在Verizon 2024年数据中，被盗凭据是最主要的初始攻击手段
邮件与网页过滤对风险附件进行沙箱检测，阻止不安全的宏减少钓鱼攻击，而钓鱼是头号投递方式
终端防护所有设备部署带防篡改功能的EDR/XDR在加密完成前实时检测勒索软件
网络控制划分网络分段，限制SMB，默认拒绝规则攻击者入侵后限制其横向移动
补丁管理实时资产清单，优先处理面向互联网的CVE漏洞缩短漏洞披露与被利用之间的时间窗口
备份韧性3-2-1-1-0规则：不可篡改、经过测试、异地副本无需支付赎金即可恢复；CISA建议将备份保持离线[4]
远程访问安全禁用暴露的RDP，采用按应用划分的VPN，统一设备安全标准消除最常被滥用的入口之一
备战与演练每季度开展桌面推演，维护实时应急手册缩短响应时间；攻击者横向移动最快可在27秒内完成
  • 身份安全： 使用FIDO2或身份验证应用程序等抗钓鱼MFA。停用旧登录名并在所有账户上执行最小权限访问。
  • 电子邮件和网络过滤： 对可疑附件使用沙箱化、阻止不安全的宏，并应用域过滤来阻止网络钓鱼或恶意软件网站。
  • 端点保护： 在所有设备和服务器上部署EDR/XDR。启用篡改保护并持续监控警报。
  • 网络控制： 分段网络、限制SMB，采用”默认拒绝”流量规则。使用出口过滤来阻止与命令和控制服务器的通信。
  • 修补和资产管理： 保持系统更新并维护实时资产清单。优先处理关键的、面向互联网的漏洞补丁。
  • 备份弹性： 至少维护一个不可变的、经测试的备份以确保勒索软件罢工时的恢复。
  • 远程访问安全： 禁用开放的RDP会话，用按应用VPN替换广泛的VPN访问，并对远程设备执行相等的安全标准。
  • 准备就绪和响应： 进行季度性的台面演习并保持实时可访问的剧本，以便在攻击期间快速、协调的响应。

强大的防御不是一夜建成的。持续的实践和纪律使勒索软件成功的可能性远低。将安全视为正在进行的过程的企业恢复速度更快，长期伤害更少。

按行业的勒索软件防御：针对性剧本

攻击者知道不同的行业有不同的薄弱点。每个行业都需要一个重点剧本。以下是针对最常见目标进行定制的实际说明：

医疗保健

医院和诊所运行着无法承受停机的旧系统。应优先在医疗设备与管理系统之间进行网络分段。落实符合 HIPAA 合规计划要求的备份，并每季度开展一次桌面推演。由于攻击者经常针对计费和排班部门，应对临床人员进行钓鱼邮件识别培训。

金融服务

银行和保险公司面临严格的PCI DSS和SOX要求。在每个交易终端和客户面向系统上部署端点检测。维护恢复时间目标为4小时以内的不可变备份。对支付处理系统的特权访问要求硬件令牌MFA。

教育

学校和大学管理拥有数千个端点的大型开放网络。将学生Wi-Fi与行政系统分段。对学生面向的门户进行积极的补丁，因为它们是凭据盗窃的常见目标。维护学生记录和研究数据的离线备份。

政府和市政服务

州和地方机构的 IT 部门往往资金不足。应重点关闭 RDP 暴露面，对所有远程访问强制启用 MFA，并保留市民数据库的离线副本。与 CISA 协调合作，该机构提供免费的漏洞扫描[14]和事件响应支持。

制造和关键基础设施

运营技术(OT)网络需要空隙隔离的备份。永远不要将SCADA系统直接连接到互联网。监控IT和OT分段之间的网络流量是否出现异常。每年至少测试两次生产线控制器的恢复程序。

政府、执法部门和国际合作

随着勒索软件越来越多地影响关键基础设施和大公司，政府和执法部门在打击中发挥着越来越大的作用。

网络安全法规

  • GDPR(《通用数据保护条例》): 欧洲核心的数据保护规则。未能妥善保护个人数据的企业可能面临最高2000万欧元或全球年营业额4%的罚款[15]。
  • CCPA(《加州消费者隐私法》)[16]: 为加州居民提供类似的保护,对数据处理不当的行为采取执法行动。
  • NIST网络安全框架: 一份自愿性指南,帮助组织建立结构化的防御体系,在美国各行业被广泛采用。
  • 行业专项法规: 医疗保健(HIPAA)和金融行业(PCI DSS)各自设有强制性的安全标准。
  • 强制报告: 许多司法辖区现在要求企业在规定时限内向主管部门报告勒索软件事件。

这些规则推动组织朝着更强大的安全基线和更快的事件披露发展。

对勒索软件的国际合作

  • 信息共享： 国家交换有关活跃勒索软件组织的威胁情报。这有助于防御者更快地准备。
  • 联合行动： 来自多个国家的执法机构合作以破坏勒索软件基础设施并逮捕运营者。
  • 外交努力： 一些国家使用外交渠道向窝藏网络犯罪集团的国家施压。
  • 全球倡议： 国际刑警组织和欧洲警察组织协调针对勒索软件网络的跨界调查。
  • 公私伙伴关系： 政府与网络安全公司合作以共享妥协指标并开发免费解密工具。

协调的全球响应使勒索软件组织更难以肆无忌惮地运作，尽管跨边界执法仍然存在挑战。

未来前景：勒索软件会变得更糟吗？

网络安全专家预测勒索软件在不久的将来不会放缓。攻击者变得更有组织，通常像企业一样运营，拥有客户支持、分支机构和利润分享模式。

AI和自动化在攻击中的作用预计会增长。 机器学习工具可能使犯罪分子能够更快地扫描漏洞、定制网络钓鱼消息，并实时调整勒索软件变种。

主动防御仍然是唯一可靠的前进道路。更强大的备份、零信任安全模型、持续监控和员工意识培训对于最小化伤害和防止未来威胁传播至关重要。

关键要点：勒索软件攻击预防

勒索软件攻击的风险是企业和个人的日常威胁。攻击变得越来越聪明、更快速、伤害更大。预防仍然是最有效的防御。强大的备份、更新的系统、抗钓鱼MFA和清晰的响应计划可以减少事件的影响和可能性。将网络安全视为持续的优先事项可以确保更强大的保护和对数字勒索浪潮不断增长的恢复力。

参考资料

  1. Chainalysis Team. 2025. Crypto Ransomware 2025: 35.82% YoY Decrease in Ransomware Payments. 检索于 2026年10月16日，来源：https://www.chainalysis.com/blog/crypto-crime-ransomware-victim-extortion-2025/.已归档：Wayback Machine 快照
  2. Verizon. 日期不详. 2024 Dbir Data Breach Investigations Report. 检索于 2026年10月16日，来源：https://www.verizon.com/business/resources/reports/2024-dbir-data-breach-investigations-report.pdf.已归档：Wayback Machine 快照
  3. A. Meyers. 日期不详. CrowdStrike 2026 Global Threat Report: Evasive Adversary Wields AI. CrowdStrike. 检索于 2026年10月16日，来源：https://www.crowdstrike.com/en-us/blog/crowdstrike-2026-global-threat-report-findings/.已归档：Wayback Machine 快照
  4. Cybersecurity and Infrastructure Security Agency CISA. 日期不详. #StopRansomware Guide. 检索于 2026年10月16日，来源：https://www.cisa.gov/stopransomware/ransomware-guide.已归档：Wayback Machine 快照
  5. Justice. 日期不详. Memorandum of Law. 检索于 2026年10月16日，来源：https://www.justice.gov/sites/default/files/opa/legacy/2014/05/30/memorandum-of-law.pdf.已归档：Wayback Machine 快照
  6. Cybersecurity and Infrastructure Security Agency CISA. 日期不详. Indicators Associated With WannaCry Ransomware. 检索于 2026年10月16日，来源：https://www.cisa.gov/news-events/alerts/2017/05/12/indicators-associated-wannacry-ransomware.已归档：Wayback Machine 快照
  7. Cybersecurity and Infrastructure Security Agency CISA. 日期不详. Petya Ransomware. 检索于 2026年10月16日，来源：https://www.cisa.gov/news-events/alerts/2017/07/01/petya-ransomware.已归档：Wayback Machine 快照
  8. The White House. 日期不详. Statement from the Press Secretary. 检索于 2026年10月16日，来源：https://trumpwhitehouse.archives.gov/briefings-statements/statement-press-secretary-25/.已归档：Wayback Machine 快照
  9. Cybersecurity and Infrastructure Security Agency CISA. 日期不详. DarkSide Ransomware: Best Practices for Preventing Business Disruption from Ransomware Attacks. 检索于 2026年10月16日，来源：https://www.cisa.gov/news-events/cybersecurity-advisories/aa21-131a.已归档：Wayback Machine 快照
  10. A. Sharma. 2022. Costa Rica declares national emergency after Conti ransomware attacks. BleepingComputer (2022年5月9日). 检索于 2026年10月16日，来源：https://www.bleepingcomputer.com/news/security/costa-rica-declares-national-emergency-after-conti-ransomware-attacks/.已归档：Wayback Machine 快照
  11. IC3. 2024. 2023 IC3Report. 检索于 2026年10月16日，来源：https://www.ic3.gov/AnnualReport/Reports/2023_IC3Report.pdf.已归档：Wayback Machine 快照
  12. Cybersecurity and Infrastructure Security Agency CISA. 日期不详. Understanding Ransomware Threat Actors: LockBit. 检索于 2026年10月16日，来源：https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-165a.已归档：Wayback Machine 快照
  13. CISA. 日期不详. Fact Sheet Implementing Phishing Resistant Mfa 508c. 检索于 2026年10月16日，来源：https://www.cisa.gov/sites/default/files/publications/fact-sheet-implementing-phishing-resistant-mfa-508c.pdf.已归档：Wayback Machine 快照
  14. Cybersecurity and Infrastructure Security Agency CISA. 日期不详. Cyber Hygiene Services. 检索于 2026年10月16日，来源：https://www.cisa.gov/cyber-hygiene-services.已归档：Wayback Machine 快照
  15. European Commission. 日期不详. Enforcement and sanctions. 检索于 2026年10月16日，来源：https://commission.europa.eu/law/law-topic/data-protection/information-business-and-organisations/enforcement-and-sanctions_en.已归档：Wayback Machine 快照
  16. State of California - Department of Justice - Office of the Attorney General. 2018. California Consumer Privacy Act (CCPA). 检索于 2026年10月16日，来源：https://oag.ca.gov/privacy/ccpa.已归档：Wayback Machine 快照

本页资源

来自我们研究的图表和参考图片，可免费查看和分享。

  • 勒索软件使业务系统瘫痪，而独立的干净备份已准备好用于检查和恢复。
    当勒索软件导致业务系统停止运行时，独立的经验证备份是最安全的恢复途径。

常见问题

目前最活跃的勒索软件家族有哪些，它们有何区别？

LockBit目前是最活跃的组织，在全球运营基于分支机构的RaaS。Clop专门利用文件传输缺陷（如MOVEit Transfer）进行大规模数据盗窃，而ALPHV（BlackCat）用Rust编写，具有跨平台的灵活性。Royal/Black Basta和Play使用激进的双重勒索战术，而Akira越来越多地针对拥有数据泄露压力的中型企业。

勒索软件在攻击者获得初始访问权限后,传播速度有多快?

CrowdStrike 的《2026 年全球威胁报告》显示,2025 年 eCrime 攻击者的平均突破时间为 29 分钟,观测到的最快突破仅需 27 秒,即从初始入侵到横向移动。加密本身可能在执行后数秒内开始,几分钟内就能锁定数千个文件,这也是为什么检测速度比事后反应更为关键。

双重勒索和三重勒索有什么区别？

双重勒索是指攻击者既加密文件，又威胁如果不支付赎金就泄露窃取的数据。Verizon 2024 年 DBIR 显示，这类手段帮助勒软件及其他勒索行为占到了 32% 的数据泄露事件。三重勒索则增加了第三重压力：对受害者的客户、合作伙伴或其他与此次入侵相关的第三方发动 DDoS 攻击或直接施压。

勒索软件攻击者最常见的入侵途径有哪些?

Verizon 的 DBIR 报告显示,攻击者利用电子邮件和桌面共享软件获得入侵途径,被盗凭证是违规事件中最常见的初始行动(占 24%)。通过暴力破解或凭证填充滥用 RDP 或 VPN 访问也很常见,而未修补的 CVE 一旦公开披露,很快就会被利用(DBIR)。

什么是3-2-1-1-0备份规则，为什么它很重要？

这是一个为直接针对备份的勒索软件而构建的备份结构：3个数据副本在2种不同的媒体类型上，1个副本离线，1个副本不可变（只写一次），测试恢复中0个错误。不可变、经测试的备份让公司无需支付赎金即可恢复，因为妥协的活跃系统无法到达它无法到达的内容。

网络分段如何减少勒索软件伤害？

分段限制攻击者一旦进入的移动范围，因为勒索软件经常通过共享驱动和平面网络在初始访问后的几秒到几分钟内传播。推荐的控制包括限制SMB流量、应用拒绝默认规则，以及根据行业分离医疗设备、OT/SCADA系统或学生Wi-Fi与行政网络。

为什么推荐按应用VPN访问而不是标准的广泛VPN访问？

标准VPN隧道通常提供广泛的、不受限制的网络访问，因此单一被盗凭据或受感染的家用设备可以直接将恶意软件桥接到办公室网络。按应用VPN访问结合MFA执行和修补的VPN固件限制了妥协的登录可以到达的内容，关闭了勒索软件最滥用的入口点之一。

组织应该部署哪些工具来在加密完成前捕获勒索软件？

具有所有端点和服务器上配备篡改保护的EDR/XDR平台在加密完成前实时检测勒索软件行为，因为攻击者可以在一小时内从访问转移到加密。对网络钓鱼进行沙箱化附件和阻止不安全宏的电子邮件和网络过滤解决了最常见的交付方法。

NoMoreRansom.org是什么，何时应该使用它？

NoMoreRansom.org是一个免费资源，通过政府和网络安全公司之间的公私伙伴关系提供经审查的解密工具。应在攻击后立即检查，在考虑任何赎金支付之前，因为成功率因勒索软件变种而异，工作的免费解密器可以消除与攻击者谈判的必要性。

在发现勒索软件后的第一个小时应该发生什么？

前一个小时应该专注于将受感染的端点与网络隔离、禁用SMB共享，并激活一个由IT、安全、法律和执行领导组成的事件响应团队。保留赎金纸条、日志和内存转储以进行取证，然后确定哪些系统被加密以及备份是否完整，然后再选择恢复路径。

公司应该支付赎金需求吗？

支付风险很高，绝不保证。许多支付的组织仍然没有收到正常的解密密钥，一些攻击者会再次要求更多。支付也为犯罪网络提供资金，可能会将公司标记为重复目标。恢复应在考虑支付之前优先考虑不可变或离线备份以及NoMoreRansom.org的经审查解密工具。

勒索软件防御方案在不同行业中有何不同?

医疗行业应将医疗设备与管理系统分段隔离,并按季度测试备份,以符合《健康保险流通与责任法案》(HIPAA)合规要求。金融服务需要不超过4小时的恢复时间目标,并为支付系统启用硬件令牌多因素认证。教育机构应将学生Wi-Fi与管理网络分开,而政府机构则应关闭RDP暴露面,并协调CISA提供的免费漏洞扫描支持。

如果攻击者在攻击期间删除或加密备份怎么办？

这是一个常见的勒索软件策略，因此恢复取决于维护不可变或离线备份，即使攻击者获得管理员访问权限也无法更改。3-2-1-1-0规则、3个副本、2种媒体类型、1个离线、1个不可变、0个恢复错误，确保至少一个干净副本在攻击者在活跃网络上销毁的任何内容的存活中幸存。