勒索病毒分析

1.观察情况，判定是否真的中了病毒

当你发现电脑中出现以下不正常情况

尝试打开记事本，无法打开，或打开后是乱码，能够确定已经中了勒索病毒
通过桌面背景或特殊文件发现加密关键字

ENCRYPTED BY GANDCRAB 5.0.3等关键字

2.了解该类勒索病毒

通常各大安全厂商有勒索病毒专区，如国际厂商kaspersky、bitdefender、avast、symantec，国内厂商Sangfor、360等
如Avast的
https://www.avast.com/zh-cn/ransomware-decryption-tools

http://edr.sangfor.com.cn/#/information/ransom_search

3.尝试去寻找不同的厂商的解密工具

在avast页面找到gandcrab的标签

下载后运行解密工具

目前能解密的勒索病毒只是少数，我们更多的是需要加强对勒索病毒的防御。如使用EDR软件进行保护，或加强系统补丁安装。

主流勒索病毒传播都是通过RCE漏洞或弱口令进行自动化攻击，针对这两点做好防御，加强主动防御。可防范勒索病毒。

4.问题与建议

勒索病毒事件经常暴露以下情况：
① 终端存在弱密码，容易被爆破
② 常见高危端口未设置白名单
③ 未及时备份重要文件
针对勒索事件，建议如下：
① 不采用弱密码
② 常见高危端口设置白名单访问
③ 对重要数据进行定期备份
④ 定期更换密码