[点晴永久免费OA]勒索软件攻防实战：从加密到恢复全流程

admin

2026年7月30日 16:6 本文热度 263

勒索软件是攻击链的终点而非起点。攻击者从初始访问到全量加密往往需要数小时甚至数天，这段窗口期是蓝队最后的拦截机会。本文从5大主流勒索家族的加密机制拆解出发，落到三层行为检测和五步响应SOP，最后用一次完整的勒索攻击时间线复盘把攻防两端串起来，给出可直接落地的勒索软件防守手册。所有脚本可直接运行，附完整注释。

CONTENTS目录

01勒索软件在攻击链中的位置

02主流勒索家族与加密机制

03勒索软件检测：行为分析与告警规则

04勒索事件响应五步SOP

05实战复盘：一次勒索攻击的完整时间线

06勒索软件防御工具箱

01勒索软件在攻击链中的位置

勒索软件不是瞬间发生的。从初始访问到全量加密通常经历6个阶段，耗时数小时到数天。理解攻击链才能在正确的时间点部署检测——每个阶段都有对应的防御卡点，从钓鱼防护到备份恢复，层层拦截。

勒索软件是攻击链的终点，前面的每一步都留下了可检测的痕迹。初始访问阶段的钓鱼邮件、权限提升阶段的异常凭据使用、横向移动阶段的PsExec调用，都是早期告警机会。但最关键的检测窗口在最后两个阶段：VSS删除（T1490）和批量文件加密（T1486）是勒索软件加密前的必经动作，也是最明显、最不可伪装的告警信号。

蓝队的策略是在每个阶段部署检测，但重点资源应倾斜到最后两个阶段——这是加密前的最后拦截窗口。如果VSS删除告警能在1分钟内触发响应，蓝队就有机会在加密扩散前断网隔离，将损失从全量加密缩减到局部加密。

02主流勒索家族与加密机制

勒索软件按运营模式分为独立开发和RaaS（Ransomware-as-a-Service）两类。LockBit 3.0是RaaS模式代表，使用修改版Salsa20算法加密文件内容，再用RSA-1024公钥加密会话密钥，每1000个文件复用一次密钥加密密钥（KEK）以减少RSA运算开销。LockBit 3.0具备反调试能力（T1622），会检查堆内存参数检测调试器附着。2024年2月Operation Cronos行动查封了LockBit的34台服务器和200个加密账户，但该组织随后复出。

BlackCat（ALPHV）是首个用Rust编写的勒索软件，跨平台支持Windows和Linux/ESXi。使用RSA-4096密钥封装，并行加密线程优先处理数据库和虚拟机镜像等高价值文件。ESXi变种会先停止虚拟机进程再加密VMDK文件。BlackCat已于2024年3月停运，但其代码结构被多个后续变种继承。Akira使用ChaCha20流密码配合RSA公钥的混合加密方案（T1486），支持完整加密和部分加密两种模式——部分加密只加密文件块的一部分以提升速度，使大规模加密在数分钟内完成。Akira通过Cisco VPN和SonicWall防火墙漏洞入侵，Linux变种利用VMware ESXi漏洞（CVE-2024-37085），代码分析与已停运的Conti勒索软件存在重叠。

Clop以零日漏洞驱动著称，2023年利用MOVEit传输软件漏洞（CVE-2023-34362）和GoAnywhere漏洞（CVE-2023-0669）发起大规模攻击，采用数据窃取+加密的双重勒索模式。Play勒索软件则擅长利用Active Directory漏洞获取域控权限，使用非对称加密方案，由ZDI（Zero Day Initiative）披露其漏洞利用链。

勒索家族快速识别要点

文件扩展名（.lockbit / .akira / .play）、勒索信文件名（restore-my-files.txt / how_to_decrypt.txt）、加密特征（全量 / 部分）。遇到勒索事件第一步是将勒索信和加密文件样本上传到 ID Ransomware 或 NoMoreRansom.org 的 Crypto Sheriff 进行家族识别，系统通过勒索信关键词和加密特征匹配家族，并返回是否有可用解密工具。

03勒索软件检测：行为分析与告警规则

勒索软件检测的核心思路是行为分析而非特征匹配。勒索软件在加密前必须完成两个关键动作：删除VSS卷影副本（T1490）和执行批量文件加密（T1486）。这两个行为在进程层面和文件系统层面都留下明确痕迹，是检测的最佳切入点。

T1490检测：勒索软件通过 vssadmin delete shadows /all /quiet、wmic shadowcopy delete、wbadmin delete catalog 等命令删除卷影副本和系统备份。部署Sysmon Event ID 1（进程创建）规则，监控这些命令的调用。同时监控bcdedit命令修改启动恢复策略。关键规则：任何非备份软件调用 vssadmin delete 都应触发P0级告警。

T1486检测：批量文件加密会产生两个可检测特征——文件修改频率激增和文件熵值骤升。正常文件的Shannon熵值通常在4.0-6.0之间，加密文件的熵值接近8.0（随机数据的理论最大值）。通过文件服务器资源管理器（FSRM）或自定义脚本监控文件修改速率，当单位时间内文件修改数量超过阈值（如每分钟大于100个）时触发告警。文件熵值检测可作为二次确认——对可疑目录抽样计算熵值，熵值大于7.5的文件高度疑似已加密。

Sysmon配置 - 检测VSS删除和批量文件加密

Sysmon配置文件 - 检测勒索行为关键规则

# 安装: sysmon64.exe -accepteula -i sysmon_config.xml

# 兼容: Sysmon v13+(Windows 7 SP1+/Server 2008 R2+)

# 检测T1490: VSS删除(阻止系统恢复)

# 检测T1486: 批量文件加密

<CommandLine condition="contains">vssadmin delete shadows</CommandLine>

<CommandLine condition="contains">vssadmin resize shadowstorage</CommandLine>

</ProcessCreate>

</Rule>

<CommandLine condition="contains">wmic shadowcopy delete</CommandLine>

</ProcessCreate>

</Rule>

<CommandLine condition="contains">wbadmin delete catalog</CommandLine>

<CommandLine condition="contains">wbadmin delete systemstatebackup</CommandLine>

</ProcessCreate>

</Rule>

<CommandLine condition="contains">recoveryenabled no</CommandLine>

<CommandLine condition="contains">bootstatuspolicy ignoreallfailures</CommandLine>

</ProcessCreate>

</Rule>

<TargetFilename condition="contains any">.locked;.lockbit;.akira;.play;.clop;.encrypted;.enc</TargetFilename>

</FileCreate>

<ParentImage condition="is">WINWORD.EXE</ParentImage>

<ParentImage condition="is">EXCEL.EXE</ParentImage>

<ParentImage condition="is">POWERPNT.EXE</ParentImage>

<Image condition="end with">powershell.exe</Image>

<Image condition="end with">wscript.exe</Image>

</ProcessCreate>

</RuleGroup>

</EventFiltering>

</Sysmon>

PowerShell - 文件熵值批量检测脚本

文件熵值检测 - 识别已加密文件

# 加密文件熵值接近8.0(随机数据)，正常文件通常<6.0

# 用法: .\Detect-EncryptedFiles.ps1 -Path "C:\Shares" -Threshold 7.5

# 兼容: PowerShell 3.0+(Windows 8/Server 2012+)

# 依赖: .NET Framework 4.0+

param(

[Parameter(Mandatory=$true)]

[string]$Path,

[float]$Threshold = 7.5,

[int]$SampleSize = 4096

)

function Get-FileEntropy {

param([string]$FilePath, [int]$SampleSize)

try {

$bytes = [System.IO.File]::ReadAllBytes($FilePath)

if ($bytes.Length -eq 0) { return 0 }

$sampleBytes = if ($bytes.Length -gt $SampleSize) {

$bytes[0..($SampleSize - 1)]

} else { $bytes }

$freq = @{}

foreach ($b in $sampleBytes) {

if ($freq.ContainsKey($b)) { $freq[$b]++ }

else { $freq[$b] = 1 }

}

$entropy = 0.0

$len = $sampleBytes.Length

foreach ($count in $freq.Values) {

$p = $count / $len

$entropy -= $p * [Math]::Log($p, 2)

}

return [Math]::Round($entropy, 4)

} catch { return -1 }

}

Write-Host "[*] 扫描路径: $Path | 熵值阈值: $Threshold" -ForegroundColor Cyan

Write-Host "[*] 开始时间: $(Get-Date -Format 'yyyy-MM-dd HH:mm:ss')"

$suspiciousFiles = @()

$totalFiles = 0

Get-ChildItem -Path $Path -Recurse -File -ErrorAction SilentlyContinue | ForEach-Object {

$totalFiles++

$entropy = Get-FileEntropy -FilePath $_.FullName -SampleSize $SampleSize

if ($entropy -ge $Threshold) {

$suspiciousFiles += [PSCustomObject]@{

FilePath = $_.FullName

Entropy = $entropy

Size = $_.Length

Modified = $_.LastWriteTime

}

Write-Host "[!] 可疑文件(熵值=$entropy): $($_.FullName)" -ForegroundColor Red

}

if ($totalFiles % 500 -eq 0) {

Write-Host "[*] 已扫描 $totalFiles 个文件..." -ForegroundColor Gray

}

Write-Host "`n=== 扫描结果 ===" -ForegroundColor Cyan

Write-Host "总文件数: $totalFiles"

Write-Host "可疑文件数: $($suspiciousFiles.Count)"

if ($suspiciousFiles.Count -gt 0) {

$exportPath = "C:\IR\encrypted_files_$(Get-Date -Format yyyyMMdd_HHmmss).csv"

$suspiciousFiles | Export-Csv -Path $exportPath -NoTypeInformation

Write-Host "[+] 可疑文件清单已导出: $exportPath" -ForegroundColor Green

Write-Host "[!] 建议立即隔离受影响主机并上报安全团队" -ForegroundColor Red

}

04勒索事件响应五步SOP

勒索事件响应的核心原则是"先隔离后处置"。发现加密行为的第一个5分钟决定事件走向——断网阻断了勒索软件的横向扩散和C2通信，为后续处置争取时间。隔离后立即进行家族识别：将勒索信文本和一对加密前后文件样本上传到ID Ransomware（id-ransomware.malwarehunterteam.com）或NoMoreRansom.org的Crypto Sheriff服务，系统通过勒索信关键词、文件扩展名、加密特征匹配勒索家族，并返回是否有可用解密工具。

止血阶段的关键操作是保护VSS卷影副本。勒索软件通常在加密前删除VSS，但如果蓝队在VSS删除命令执行前断网，卷影副本可能得以保留。VSS恢复优先级高于备份恢复——VSS包含加密前的文件状态，恢复速度最快。如果VSS已被删除，则按3-2-1备份策略恢复：优先从离线备份恢复，其次从不可变备份恢复，最后尝试使用NoMoreRansom的解密工具（覆盖165+勒索家族，136+免费解密器）。

PowerShell - 受害主机应急隔离

受害主机应急隔离 - 断网+阻断C2+保留证据

# 需要本地管理员权限

# 兼容: PowerShell 4.0+(Windows 8.1/Server 2012 R2+)

# Win7替代: Get-WmiObject Win32_NetworkAdapter | ? {$_.NetEnabled} | % {$_.Disable()}

# 关键原则：先断网再处置，保留内存证据

$Hostname = $env:COMPUTERNAME

$Time = Get-Date -Format "yyyy-MM-dd HH:mm:ss"

Write-Host "[*] 勒索应急隔离启动: $Hostname ($Time)" -ForegroundColor Red

# 1. 紧急断网(禁用所有活跃网卡)

Write-Host "[+] 步骤1: 紧急断网..." -ForegroundColor Yellow

Get-NetAdapter | Where-Object Status -eq "Up" | ForEach-Object {

Write-Host " 禁用网卡: $($_.Name) ($($_.InterfaceDescription))"

$_ | Disable-NetAdapter -Confirm:$false

}

Write-Host "[+] 网卡已全部禁用，主机已物理隔离" -ForegroundColor Green

# 2. 保留内存证据(导出内存镜像供后续分析)

Write-Host "[+] 步骤2: 保留内存证据..." -ForegroundColor Yellow

$DumpPath = "C:\IR\memory.dmp"

# 使用WinDbg或ComSweep导出内存(需提前部署工具)

# 若无工具则跳过，优先保证断网速度

if (Test-Path "C:\IR\Tools\winpmem_mini_x64.exe") {

& "C:\IR\Tools\winpmem_mini_x64.exe" $DumpPath

Write-Host " 内存镜像已保存: $DumpPath"

} else {

Write-Host " [!] 内存取证工具未部署，跳过(建议预装WinPmem)" -ForegroundColor DarkYellow

}

# 3. 阻断已知C2域名(防火墙规则兜底)

Write-Host "[+] 步骤3: 阻断C2通信..." -ForegroundColor Yellow

$C2List = @(

"c2-evil.example.com",

"exfil-cdn.example.net"

)

foreach ($c2 in $C2List) {

New-NetFirewallRule -DisplayName "Block-C2-$c2" `

-Direction Outbound -Action Block `

-RemoteAddress $c2 -Profile Any -ErrorAction SilentlyContinue

Write-Host " 已阻断: $c2"

}

# 4. 终止可疑加密进程

Write-Host "[+] 步骤4: 终止可疑进程..." -ForegroundColor Yellow

$Suspicious = @("locker.exe","encryptor.exe","vssadmin.exe","wmic.exe")

Get-Process | Where-Object {

$Suspicious -contains $_.ProcessName

} | ForEach-Object {

Write-Host " 终止进程: $($_.ProcessName) (PID:$($_.Id))"

$_ | Stop-Process -Force -ErrorAction SilentlyContinue

}

# 5. 禁用VSS删除权限(防止后续VSS被删)

Write-Host "[+] 步骤5: 保护VSS卷影副本..." -ForegroundColor Yellow

# 修改vssadmin权限为只读

$vssPath = (Get-Command vssadmin.exe -ErrorAction SilentlyContinue).Source

if ($vssPath) {

$acl = Get-Acl $vssPath

$rule = New-Object System.Security.AccessControl.FileSystemAccessRule(

"Everyone","ExecuteFile","Deny"

)

$acl.AddAccessRule($rule)

Set-Acl $vssPath $acl

Write-Host " vssadmin.exe执行权限已限制"

}

# 6. 记录隔离日志

$Log = "$Time ISOLATED $Hostname by IR-Team"

$Log | Out-File -Append "C:\IR\isolation.log"

Write-Host "`n[+] 应急隔离完成: $Time" -ForegroundColor Green

Write-Host "[+] 下一步: 上传勒索信和加密文件样本到ID Ransomware进行家族识别" -ForegroundColor Cyan

PowerShell - VSS卷影副本恢复

VSS卷影副本恢复 - 从卷影副本恢复已加密文件

# 前提: VSS未被删除或部分保留

# 兼容: PowerShell 3.0+(Windows 8/Server 2012+)

# 用法: .\Restore-FromVSS.ps1 -Volume "C:" -Dest "D:\Recovery"

param(

[Parameter(Mandatory=$true)]

[string]$Volume,

[Parameter(Mandatory=$true)]

[string]$Dest

)

Write-Host "[*] VSS卷影副本恢复工具" -ForegroundColor Cyan

Write-Host "[*] 源卷: $Volume | 恢复目录: $Dest"

# 1. 检查可用卷影副本

Write-Host "`n[+] 步骤1: 检查可用卷影副本..." -ForegroundColor Yellow

$shadows = vssadmin list shadows /for=$Volume 2>$null |

Select-String "Shadow Copy Volume"

if (-not $shadows) {

Write-Host "[!] 未找到卷影副本(VSS可能已被勒索软件删除)" -ForegroundColor Red

Write-Host "[!] 建议: 1)检查离线备份 2)使用NoMoreRansom查找解密工具" -ForegroundColor DarkYellow

exit 1

}

Write-Host " 发现 $($shadows.Count) 个卷影副本:"

$shadowPaths = @()

foreach ($s in $shadows) {

$path = ($s -replace ".*Shadow Copy Volume: ","").Trim()

$shadowPaths += $path

Write-Host " - $path"

}

# 2. 创建恢复目录

if (-not (Test-Path $Dest)) {

New-Item -ItemType Directory -Path $Dest -Force | Out-Null

}

# 3. 创建符号链接访问卷影副本

$latestShadow = $shadowPaths[-1]

$linkPath = "C:\ShadowLink"

Write-Host "`n[+] 步骤2: 挂载最新卷影副本..." -ForegroundColor Yellow

cmd /c mklink /d $linkPath "\\?\GLOBALROOT\Device\HarddiskVolumeShadowCopy$($latestShadow -replace '.*ShadowCopy','')" 2>$null

# 4. 恢复文件

Write-Host "`n[+] 步骤3: 恢复文件到 $Dest..." -ForegroundColor Yellow

$restoredCount = 0

Get-ChildItem -Path $linkPath -Recurse -File -ErrorAction SilentlyContinue |

Where-Object { $_.Extension -notin '.lockbit','.akira','.play','.enc','.encrypted' } |

ForEach-Object {

$relPath = $_.FullName.Substring($linkPath.Length)

$targetPath = Join-Path $Dest $relPath

$targetDir = Split-Path $targetPath -Parent

if (-not (Test-Path $targetDir)) {

New-Item -ItemType Directory -Path $targetDir -Force | Out-Null

}

Copy-Item $_.FullName $targetPath -Force -ErrorAction SilentlyContinue

$restoredCount++

if ($restoredCount % 100 -eq 0) {

Write-Host " 已恢复 $restoredCount 个文件..." -ForegroundColor Gray

}

# 5. 清理符号链接

cmd /c rmdir $linkPath 2>$null

Write-Host "`n=== 恢复结果 ===" -ForegroundColor Cyan

Write-Host "恢复文件数: $restoredCount"

Write-Host "恢复目录: $Dest"

Write-Host "[!] 注意: 恢复的文件可能不完整，建议同时检查离线备份" -ForegroundColor DarkYellow

Write-Host "[!] 恢复后务必进行文件完整性校验" -ForegroundColor DarkYellow

05实战复盘：一次勒索攻击的完整时间线

场景：红队通过钓鱼邮件获取初始访问凭据，潜伏32小时后部署LockBit 3.0勒索软件。T+0红队发送伪装成"IT密码到期通知"的钓鱼邮件，3名员工中招输入凭据。T+2h攻击者使用窃取的凭据VPN接入内网，由于未启用MFA直接通过认证。T+8h攻击者使用Mimikatz抓取本地凭据，通过PsExec横向移动到文件服务器。

T+24h攻击者获取域管凭据，域控沦陷。T+30h攻击者在域控上部署勒索软件载荷，通过GPO下发到所有域内主机。首先执行 vssadmin delete shadows /all /quiet 删除所有VSS卷影副本（T1490），再执行bcdedit禁用系统恢复。T+32h LockBit 3.0开始全量加密，使用Salsa20加密文件内容，RSA-1024封装密钥，每1000个文件复用一次KEK。5分钟内2000+文件被加密，文件服务器、数据库、共享盘全部沦陷。

T+34h蓝队接到业务部门报告"文件打不开"，检查发现文件扩展名变为.lockbit，勒索信restore-my-files.txt出现在每个目录。蓝队立即启动应急响应：T+36h完成全网断网隔离，阻断勒索软件继续扩散。T+40h从离线备份启动恢复，优先恢复核心业务系统。复盘发现三个关键问题：VPN未启用MFA导致凭据直接可用；EDR未配置VSS删除告警规则，T+30h的vssadmin调用未触发告警；离线备份恢复测试间隔过长（半年未演练），恢复耗时超出预期。整改措施：VPN强制MFA、Sysmon部署VSS删除监控规则、备份恢复演练改为季度执行。

06勒索软件防御工具箱

勒索软件防御工具箱按防护环节分为六类，覆盖从预防到恢复的完整链条。

预防防护类：Microsoft Defender for Endpoint提供勒索软件专项防护功能（受控文件夹访问CFA），CrowdStrike Falcon的行为引擎能检测加密前的可疑进程链。

行为检测类：Sysmon是免费的进程和文件行为监控工具，配合SwiftOnSecurity配置可作为EDR的补充。

备份恢复类：Veeam和Commvault支持不可变备份（Immutable Backup），备份数据在保留期内无法被修改或删除，是抵御勒索软件的最后防线。

家族识别类：ID Ransomware通过勒索信和文件样本匹配勒索家族，NoMoreRansom.org提供136+免费解密工具覆盖165+勒索家族，2024年上线Crypto Sheriff 2.0加入AI辅助识别。

应急响应类：Sysinternals套件（Process Monitor / Autoruns）用于进程和持久化分析，WinPmem用于内存取证。

数据恢复类：ShadowExplorer图形化浏览VSS卷影副本恢复文件，PhotoRec通过文件头特征carving恢复已删除文件——即使文件被加密，原始数据扇区可能仍可恢复。

3-2-1 备份策略

3份数据副本、2种不同介质、1份离线备份。进阶版 3-2-1-1-0 增加1份不可变备份和0错误验证。不可变备份是关键——勒索软件会主动搜索和删除网络可达的备份，只有离线或不可变的备份才能真正兜底。恢复演练至少每季度执行一次，验证备份可用性和恢复RTO。

阅读原文：点击这里

该文章在 2026/7/30 16:06:15 编辑过

关键字查询

正在查询...

点晴ERP是一款针对中小制造业的专业生产管理软件系统,系统成熟度和易用性得到了国内大量中小企业的青睐。

点晴PMS码头管理系统主要针对港口码头集装箱与散货日常运作、调度、堆场、车队、财务费用、相关报表等业务管理，结合码头的业务特点，围绕调度、堆场作业而开发的。集技术的先进性、管理的有效性于一体，是物流码头及其他港口类企业的高效ERP管理信息系统。

点晴WMS仓储管理系统提供了货物产品管理,销售管理,采购管理,仓储管理,仓库管理,保质期管理,货位管理,库位管理,生产管理,WMS管理系统,标签打印,条形码,二维码管理,批号管理软件。

点晴免费OA是一款软件和通用服务都免费，不限功能、不限时间、不限用户的免费OA协同办公管理系统。

[点晴永久免费OA]勒索软件攻防实战：从加密到恢复全流程

扫码分享