记一次服务器中了勒索病毒

前几天一台服务器中了勒索病毒，包括系统盘部分文件/数据盘文件都加密了，查了很多资料无解，联系某宝商家，要价15万，说是他们也无解，他们可以代理联系黑客交赎金拿到解密软件。没办法只能从好几个月前的数据备份恢复，重做系统安装环境，我都怕了，客户自己的服务器，不像阿里云可以设置自动快照备份，现在是每周备份数据，网盘存一份，移动硬盘存一份，定期更改密码，更改远程端口。

1、第一时间隔离被感染主机与其他主机，防止勒索病毒的进一步扩散。
2、对被感染主机所在区域的主机进行安全风险排查，包括黑客账户、开放端口、漏洞、不安全配置（弱密码等）、恶意程序（木马后门）等。
3、利用备份数据重新搭建全新的平台。新平台搭建完成后，对主机进行安全加固，防止再次感染勒索病毒。

一、历史备份还原
如果已经对系统或者文件进行了备份，那么将不会再担忧和烦恼了。可以直接从云盘、硬盘或其他灾备系统中，恢复被加密的文件。值得注意的是，在文件恢复之前，第一要隔离中招主机，还要确保系统中的病毒已被清除，已经对磁盘进行格式化或者是重装了系统，以免插上移动硬盘的瞬间，或是网盘下载文件到本地后，备份文件也被加密。
事先进行备份，既是最有效也是成本最低的恢复文件和系统的方式。
二、解密工具恢复
绝大多数勒索病毒使用的加密算法都是国际公认的标准算法，这种加密方式的特点是，只要加密密钥足够长，普通电脑可能需要数十万年才能够破解，破解成本是极高的。通常情况，如果不支付赎金是无法解密恢复文件的。
但是，对于以下三种情况，可以通过互联网上的解密工具恢复感染文件。
1）勒索病毒的设计编码存在漏洞或并未正确实现加密算法。
2）勒索病毒的制造者主动发布了密钥或主密钥。
3）执法机构查获带有密钥的服务器，并进行了分享。
需要注意的是：使用解密工具之前，务必要备份加密的文件，防止解密不成功导致无法恢复数据。
三、专业人员代付
勒索病毒的赎金一般为比特币或者其他数字货币，数字货币的购买和支付对一般用户来说具有一定的难度和风险。具体主要体现在：
1）统计显示，95%以上的勒索病毒攻击者来自境外，由于语言不通，容易在沟通上产生误解，影响文件的解密。
2）数字货币交付需要在特定的交易平台下进行，不熟悉数字货币交易时，容易人才两空。
所以，即使支付赎金可以解密，也不建议自行支付赎金。建议联系专业的数据恢复公司进行处理，以保证数据能成功安全的恢复。

勒索病毒的解决如下：

1、及时止损（拔网线）。

能拔网线的直接拔网线，物理隔离，防止出现「机传机」的现象。如果是云环境，没法拔网线，赶紧修改安全组策略，总之，将被感染的机器隔离，确保被感染的机器不能和内网其他机器通讯，防止内网感染。

改密码！如果被勒索的机器和未被勒索的机器存在相同的登陆口令（相同的密码），及时修改未感染机器的登陆口令。

保护好案发现场，不要重启！不要破坏被勒索的机器环境，保护好案发现场。禁止杀毒/关机/重启/修改后缀等 *** 作，最好保持原封不动，在不了解的情况下，任何动作都可能导致系统完全崩溃，严重影响后续动作。

关端口及时关闭未感染机器远程桌面/共享端口（如：22/135/139/445/3389/3306/1521）对未感染的重要机器进行隔离备份，备份后及时物理隔离开备份数据，如：硬盘或者 u 盘备份后需要及时拔掉。

不要联系黑客，在不了解勒索病毒的情况下，建议不要直接联系黑客（容易钱财两空）。

2、确定影响范围。

止损之后，逐一排查感染规模及环境（是 OA 还是服务器/一共中了多少台），可通过网络区域划分，防火墙设备、流量检测设备辅助快速确认影响范围。

3、病毒提取和网络恢复。

取证，通过对被勒索机器进行取证提取病毒样本，或结合终端防病毒软件，对影响区域内或可疑区域进行逐台确认，是否有遗留的病毒样本，确保所有机器上的病毒样本均已查杀；恢复网络制定网络恢复计划，优先对非重要区域的终端进行网络恢复，恢复过程中需通过流量检测设备进行实时监测，确保恢复后不会出现横移情况；直至全部网络恢复。

4、数据恢复和解密。

目前绝大多数勒索病毒均无法解密（在没有拿到解密密钥的情况下），通常有如下几种选择：如有数据备份，则可以直接通过数据备份进行恢复；放弃数据恢复；联系勒索者缴纳赎金，但是不建议自己联系，最好是专业的服务商协助，他们比较知道怎么跟勒索者谈判。

5、溯源分析。

溯源分析的目的，并不是是查到勒索者是谁，而是找到勒索入侵的源头（从哪台机器上进来的），即 0 号主机，然后进行相应的安全加固，以避免以后再次发生类似攻击。基于加密文件后缀、勒索信等特征，可以判断勒索病毒家族；

对于内部攻击路径溯源，需依托于网络、安全设备日志以及感染/关联终端日志记录，包括流量检测设备、防火墙设备、防病毒软件、终端日志。 备注：因为很多勒索病毒存在反侦察手段，终端环境可能会被清理，如果没有流量监控等相关设备，溯源难度会非常大。

6、安全加固。

修复内网中高危漏洞，确保如永恒之蓝等漏洞相关的安全补丁安装。在不影响业务的前提下关闭高危端口，如：445、3389等。对重要系统进行异地物理备份，确保备份完成后主备处于物理隔离状态。将内网按照业务需求划分合理区域，各个区域之间使用严格的ACL，避免攻击者大范围横向移动扩散。

服务器中了勒索病毒是一个严重的问题，因为它会影响到服务器上托管的网站和应用程序，并可能导致数据丢失或泄露。勒索病毒通常通过电子邮件、恶意软件下载或网络漏洞等方式传播，一旦感染，它会加密服务器上的所有文件，并要求支付赎金才能解密它们。
如果您的服务器中了勒索病毒，如果数据比较重要建议大家可以选择专业的数据恢复工程师团队来进行恢复，如果数据不太重要建议大家可以选择以下应对措施：
1 立即隔离服务器：将服务器从网络中隔离，以防止病毒通过网络继续传播。
2 不要付赎金：勒索病毒需要支付赎金才能解密加密的文件，但是付赎金并不能保证您可以获得解密密钥或您的文件会完全恢复。同时，支付赎金会鼓励黑客继续发起攻击，因此不要轻易付赎金。
3 备份数据：在处理勒索病毒问题之前，务必备份服务器上的所有数据。这样即使您无法恢复所有受感染的文件，您也可以使用备份还原服务，并确保最小化数据丢失的风险。
4 找到解密工具：有些勒索病毒有已知的解密工具，您可以在互联网上搜索这些工具并使用它们来尝试恢复受感染的文件。但是请注意，这些工具可能无法完全解密所有受感染的文件。
5 重新安装 *** 作系统：为了确保服务器不再感染勒索病毒，您可能需要重置服务器并重新安装 *** 作系统。在重新安装之前，务必备份数据，并确保备份数据不会被感染的文件污染。
总之，服务器中了勒索病毒是一个非常严重的问题，它可能会导致数据丢失和泄露，给您和您的客户带来巨大的企业损失。因此，在防止它发生之前，您应该采取预防措施，如定期更新安全软件、加强账户管理安全性、定期进行服务器备份等。

---