【应急响应篇】勒索病毒应急响应指南

1.勒索病毒的攻击特点 / 传播途径

无 C2 服务器加密：

攻击者在对文件加密的过程中，一般不再使用 C2 服务器，也就是说现在的勒索病毒在加密时不需要回传私钥

1. 随机生成新的加密密钥对： 在加密文件之前，攻击者会随机生成一对新的加密密钥，其中一个是公钥，用于加密文件，另一个是私钥，用于解密文件
2. 使用新生成的公钥对文件进行加密： 攻击者使用新生成的公钥对受感染系统上的文件进行加密。由于只有配对的私钥才能解密这些文件，因此受害者无法自行解密已加密的文件
3. 使用预埋的公钥对新生成的私钥进行加密： 攻击者将新生成的私钥使用预先嵌入的公钥进行加密，然后将加密后的私钥保存在一个特定的文件中，通常称为ID文件

无 C2 服务器加密技术的解密过程：

1. 通过邮件或在线提交的方法，提交 ID 串或加密文件中的加密私钥（一般攻击者会提供工具提取该私钥）；
2. 攻击者使用保留的与预埋公钥对应的私钥解密受害者提交过来的私钥；
3. 把解密私钥或解密工具交付给受害者进行解密