勒索病毒防护指引

本文提供云主机ECS勒索病毒防护的全流程解决方案

一、勒索病毒背景

勒索病毒已成为对政企机构和网民直接威胁最大的一类木马病毒，勒索病毒的质量和数量的不断攀升，已经成为政企机构面临的最大的网络威胁之一。

二、勒索病毒的来源

通过对云上用户的调查分析，大部分用户未按照最佳的安全使用方式来使用云服务器资源，主要问题有：

1. 关键账号存在弱口令或无认证机制

服务器关键账号（root、administrator）密码简单或无密码。

数据库（Redis、MongoDB、MySQL、MSsql Server）等重要业务使用弱密码或无密码。

2. 无访问控制策略，业务暴露在互联网上

RDP、SSH、Redis、MongoDB、MySQL、MSsql Server 等高危服务可以通过互联网直接访问。

3. 服务器操作系统和软件存在高危漏洞

恶意攻击者可以利用服务器操作系统和应用服务软件存在的高危漏洞，上传加密勒索软件或执行勒索操作，实现远程攻击。

三、如何判断是否中了勒索病毒

1. 主机桌面被篡改

主机感染勒索病毒后，最明显的特征是电脑桌面发生明显变化，即：桌面通常会出现新的文本文件或网页文件，这些文件用来说明如何解密的信息，同时桌面上显示勒索提示信息及解密联系方式，通常提示信息英文较多，中文提示信息较少。

下面为感染勒索病毒后，几种典型的桌面发生变化的示意图。

2. 文件后缀被篡改

服务器感染勒索病毒后，另外一个典型特征是：办公文档、照片、视频等文件的图标变为不可打开形式，或者文件后缀名被篡改。一般来说，文件后缀名会被改成勒索病毒家族的名称或其家族代表标志，如：GlobeImposter家族的后缀为.dream、.TRUE、.CHAK等；Satan家族的后缀.satan、.sicck；Crysis家族的后缀有.ARROW、.arena等。

下面为电脑感染勒索病毒后，几种典型的文件后缀名被篡改或文件图标篡改的示意图。

四、移动云安全产品选择

【云主机备份】帮助用户建立完备的备份恢复体系

安全防护的核心是确保核心数据的可用，只有建立完备的备份机制才能确保在遭受攻击时能够全身而退。移动云【云服务器备份】、【云硬盘备份】服务可利用多种备份机制和策略周期性的帮助客户进行备份，为应对勒索病毒的发生打好基础。

【态势感知】建立全局威胁情报感知能力

有效的识别和监测是安全防护的关键。移动云【态势感知平台】通过采集系统的网络安全数据信息，帮助用户对所有安全数据进行统一处理分析，实现对网络攻击行为、安全威胁事件、日志、流量等网络安全问题的发现和告警，形成安全可监控、攻击可防护、威胁可感知、事件可控制的安全闭环。

【Web全栈防护】让Web防护更放心更安心

Web服务会存在各种各样的漏洞，攻击者会利用Web漏洞上传勒索病毒，对用户资产造成破坏。移动云【Web全栈防护】可以快速评估网站(群)，帮助用户及时发现网站的风险隐患，指导用户及时修复漏洞。如果用户的Web站点同时配置Web应用防护服务，便可以对Web流量进行解码和分析，有效应对SQL注入、XSS注入、CSRF等一系列Web攻击。

【云安全中心】统一的安全运营平台

【云安全中心】通过在服务器安装轻量Agent方式，提供资产管理、漏洞管理、防勒索、防病毒、防暴力破解、合规基线检查、云平台配置检测和安全可视化等能力，可有效发现和阻止病毒传播、黑客攻击、勒索加密等风险事件，为资产上云提供有力的安全保障，解决混合云、多云数据中心基础架构中云服务器、云电脑、信创服务器等工作负载安全防护问题，并满足监管合规要求。

【云下一代防火墙】轻松保护互联网边界安全，保障用户高效便捷、安全合规上网

【云下一代防火墙】是一款虚拟化边界网络安全防护产品，可提供互联网边界和内网VPC边界的流量管理与安全防护，具备安全访问控制、入侵防御、病毒防御、僵尸网络防御等能力，是网络边界防护和等保合规利器。

五、勒索病毒的预防

减少威胁事件的发生，降低勒索病毒感染的概率，我们建议采取以下措施进行预防：

1. 周期性的进行数据备份（按天增量、按周/月全量），并做好多副本异地存储（按月/季度）；

2. 搭建具有容灾能力的架构，发生问题可以切换至备份系统保障系统连续性；

3. 建立代码安全审查机制，开发流程中执行黑盒白盒测试，减少代码漏洞；

4. 分隔网络区域，云主机之间通过设置安全组或者防火墙禁用非必要和不安全的流量；

5. 周期性检查并更新云主机操作系统的补丁以及应用软件的补丁；

6. 对云主机进行安全加固，关闭135、137、138、139、445以及不必要的服务端口。主机上运行服务的默认端口号更改至非周知端口；

7. 云主机上安装专业杀毒软件并将病毒库更新至最新；

8. 云主机禁用多余账号并且账号使用强度高且更为复杂的口令；

9. 云主机禁止使用root或者administrator直接登录系统；

10. 定期对系统进行漏洞扫描和渗透测试，及时发现问题并进行解决。

六、应急处置措施

一旦遭受了勒索病毒的感染，我们需要采取一系列的手段将影响和威胁降低至最低，遭遇勒索病毒感染后最直接的办法就是把中毒的机器进行断网隔离，然后等待专业的安全服务人员上门进行处理，下面列举了一套勒索病毒应急处置方法：

1. 断网或关机处理，防止勒索病毒内网传播感染，造成更大的损失；

2. 恢复业务：断网后，可通过备份恢复业务；

3. 排查业务系统：在已经隔离被感染主机后，应对其他主机进行排查，检查核心业务系统是否受到影响，并检查备份系统是否被加密等，以确定感染的范围；

4. 修改未感染主机的密码并及时更新补丁，防止进一步破坏；

5. 在感染主机上找到病毒样本以及加密后的文件，将数据上传至一些“勒索病毒搜索引擎”进行分析，进而找到相应的工具进行解密。使用解密工具之前，务必备份加密文件，防止解密不成功导致破坏；

6. 通过溯源分析确认勒索病毒入侵方式，封堵相关的安全漏洞；

7. 当文件无法解密，且被加密的文件价值不大时，也可以重装系统。但是，这意味着文件再也无法被恢复；

8. 做好相应的安全防护工作，更新系统补丁，并安装杀毒软件并更新病毒库至最新版本，以防再次感染。

七、云主机感染病毒后的解决方法

当云主机感染木马病毒后，可能会导致数据丢失，存在业务风险。本节主要介绍云主机感染病毒的解决方法和提高云主机安全性的方法。详情内容如下：

1. 首先，请参考重置云主机密码说明来修改云主机实例的密码，如果修改密码失败，请参照密码重置或修改失败来解决问题。