报告老板：我们遭遇黑客勒索0.05个比特币

勒索病毒之所以猖獗，一个重要原因是：制作者常常利用比特币支付的“匿名性”特点，逃脱警方追踪。

这件事发生在一个月前。

我们公司被黑客攻击了，黑客留下一封“勒索信”，如下：

翻 译

非常抱歉，由于设备安全问题，你的所有文件都已经被RSA和AES加密。如果你认为你的资料非常重要，唯一的解密方法是购买我的解密工具。你也可以删除加密文件或是重装你的系统。

◎ 解密步骤如下：

1.如果你没有比特币，你可以在一些网站中在线购买。比如……（两个网址）

2.发送0.05个比特币到我的钱包地址……

3.发送交付比特币的截图和你的个人账号到我的邮箱……我会把解密工具发给你。

◎ 提示：

1.不要重命名你的文件。

2.你可以尝试用一些软件解密，但最后你会意识到这是徒劳的。

3.如果你无法联系到我，你可以尝试把比特币转给我，并在传送信息中粘贴你的邮箱，我会联系你，并把解密工具发送给你。

祝你度过愉快的一天。

总结来说：我们遭遇了勒索病毒，文件资料被锁了，对方要求支付0.05个比特币，才给解密。

事件经过与直接影响

2021年12月13日，周一，“网管”老沈，如往常在10点左右到公司上班。上午时间，公司员工较少，老沈的工作压力相对较轻。类似事件是破天荒，头一回！一开始，老沈只是觉得某个程序出错了，看到勒索信时，才知道原来是中了勒索病毒。这时候，距离攻击时间已经超过12个小时。

12月11日周六晚上的8点多时间，黑客就开始入侵我方服务器，服务器开始报错，频繁登录，有不明访问……这些都是留有痕迹的。

彼时正值周末，且是双12这个购物节日，我方几乎无人值班。时间过去7个小时，12月12日凌晨3点，服务器被攻破了。我们的数据库被加密了。无论是Word还是Txt都被更改了后缀名，打不开。

很快，这件事开始直接影响我们的办公效率。10点35分，一位曹姓同事，在公司大群发了一条信息：“OA大概多久能好呀……”我们的报销、打款、审批等事项，就放在OA（办公系统）上进行。

这句话虽然没有指名道姓，但大家都知道，这是对行政部的老沈说的。无论是网页卡了，密码忘了，电脑坏了，还是打印机没动静了……都找老沈。

老沈常常顾了这，顾不到那，做不到快速反应。但这次反应明显要快许多，不过是坏消息。10分钟后，行政部的一条消息在公司群里炸了锅：

今天OA服务器无法正常使用，具体原因老沈还在进行排查，还请大家耐心等候，如有恢复，将在群里及时通知大家。

“今天不会恢复了吗？有着急的文件今天要盖章。”一位女同事询问，配了一个流泪的表情包。刹那间，满屏的“恨铁不成钢”。

初步应对失败与原因

干了16年“网管”的老沈，对此并没有办法。我们的应对策略都遭到了失败。

① 断网，但是黑客加密已经完成。

② 尽可能备份，但财务等核心资料已经被加密。

③ 找网警报案，虽已经立案，可侦破案件时间不确定，实在耗不起。

④ 借助已有安全软件工具寻找是否存在公开解密工具，无果。

我们也想遂了黑客的心愿。0.05个比特币，按照12月13日比特币5万美元的价格，对此我们需要花2500美元（折合人民币1.5万元左右）。相比于OA系统无法运作可能造成的损失，这笔钱不算多。

但老沈觉得对方也可能出尔反尔，甚至在解密邮件上大做文章。

最近也有类似的一则新闻：去年12月下旬，温州某超市的储值卡系统瘫痪，数据库信息均被加密。黑客留言，24小时内支付0.042个比特币（当时相当于1789.2美元）才提供解密工具。超市老板照做了，但黑客未履约。

在这种情况下，意味着这件事很大可能是无解的。早在2017年，知名的杀毒软件供应商俄罗斯卡巴斯基实验室说，勒索病毒使用的加密算法无解，（中了勒索病毒后）重装系统才能继续使用，但被加密的文件将会丢失。

那么如今呢？值得一提的是，在“净网2020”专项行动中，国内首名比特币勒索病毒的制作者巨某（涉案500余万元）落网。引用其中的专案组成员、启东市公安局网安支队民警黄潇艇的话来说：

一般来说，没有病毒制作者的解密工具，其他人是无法完成解密的。勒索病毒入侵电脑，对文件或系统进行加密，每一个解密器都是根据加密电脑的特征新生成的。

据360安全大脑2020年相关报告称：超过3700例确认遭受勒索病毒攻击，最终帮助超过260例完成文件解密工作。即，仅只有7%的成功率。

事态进一步严重化，12月13日下午两点50分，行政部进一步发布公告：本周OA服务器无法使用。

问题出在哪里？勒索病毒卷土重来！

回顾勒索病毒的发展史，2017年，勒索病毒“想哭”席卷了全球150个国家的30万台电脑，一般需要支付价值300—600美金的比特币方能解密。

此后勒索病毒持续不断演变成为各个版本与类型。比如：加密文档、锁定屏幕、锁定硬盘、加密数据库，等等。

国内企业遭遇的高峰期是在2019年。据亚信安全《2019威胁态势分析》，2019年中国勒索病毒感染量为全球榜首，占比达20%。

老沈记得，当时（防护）措施都做完了，所以没中招。但2021年12月，在勒索病毒影响力似乎式微的时候，我们却中招了。

据他猜测，这次出现问题的原因可能是安全服务软件到期。12月上旬时，我们的安全服务软件服务到期，本准备1月进行服务器迁移才续费。但这半个月时间，由于防火墙特征库到期，给了黑客可乘之机。

这意味什么？打个比方，黑客是小偷，到我们公司偷东西。我们大门的管理以前是谨慎小心的，会经常换锁，小偷来我们公司门口转，寻找机会下手，但锁经常没两天就换了，很难很快匹配到合适钥匙。渐渐地，小偷失去兴趣。但直到锁出现连着十几二十天不换的情况，小偷因此有足够时间配钥匙。

那么，勒索病毒是怎么碰巧盯上我们的呢？老沈怀疑是有人使用公司网络挖矿，或者有人无意间把外面的病毒带到公司，抑或是黑客“广撒网”的结果……总之，各种可能性都存在，难以确定。

——一般来说，远程桌面、网页挂马、激活/破解、僵尸网络、数据库弱口令、漏洞、钓鱼邮件等都是勒索病毒进攻的常见方式。

不得不提的是，多个信号提醒我们勒索病毒颇有卷土重来之势。近一年就发生多起巨头企业与重要国家机构出现勒索病毒事件，很是轰动。

比如，2021年5月，美国最大的成品油管道运营商Colonial Pipeline遭遇勒索病毒攻击，其向美国东部沿海主要城市输送油气的管道系统因此下线，此事甚至引发美国总统关注。

此外，在2021年，还出现华盛顿特区大都会警察局、石油巨头皇家壳牌、全球IT咨询巨头埃森哲、台湾存储组件制造商ADATA、厄瓜多尔国营电信运营商CNT等遭遇勒索病毒攻击，大量文件泄露和被窃取。

据360安全大脑《2021年勒索病毒疫情分析报告》，2021年超4000位用户遭遇勒索病毒的攻击，高于2020年的超3700位，其中10月—12月是高峰期。 

其中，值得警惕的是，据美国国土安全部长去年5月的演讲提到，勒索病毒攻击的50—70%的对象都是中小企业，2020年总计造3.5亿美元损失。而思科去年10月发布的调查显示，42%的中国区中小企业在过去一年遭遇网络攻击，41%的企业相关损失超50万美元。

5万块的教训与经验

12月15日，我们被迫找了杭州一家安全服务商，由对方全权解决此事，花费5万块。

这5万块，可以支付三次以上勒索病毒攻击的费用，相当于一套安全软件的费用，一个可以用三五年的防火墙特征库也是差不多的价钱。

3天后，基本解决了问题。12月20日上午10点，OA恢复使用。

具体到这家公司是如何解决问题的，老沈并不知情。“也许交了赎金，也许没有，也许弄清楚了勒索病毒的版本，找到了解密工具。”老沈说道。

关键在于未来的防护，除了保障安全服务软件全天候运行，老沈强调还会“加强备份”。比如，财务数据以前是财务部门管理，只做本地备份，现在由老沈自己管，已经做了好几份备份。

值得一提，据彭博社报道，上述提到的Colonial Pipeline虽然支付了赎金，但黑客解密过慢，最后还是依靠备份数据恢复系统的。

此外，8月份，埃森哲遭遇勒索病毒后，黑客声称“从埃森哲窃取了6TB的数据，并要求支付5000万美元的赎金”，但埃森哲回应：“在事件发生后立即控制并隔离了受影响的服务器，并从备份中完全恢复了受影响的系统。”也就是说，备份数据可以较大程度避免损失。

总结来说，勒索病毒之所以猖獗，一个重要原因是：制作者常常利用比特币支付的“匿名性”特点，逃脱警方追踪。

但是好的开始是：如今国内存在不少与病毒制造者沆瀣一气的数据解密、恢复公司，它们承担着渠道商的作用，比如替病毒制作者分发病毒，利用国内企业不方便购买比特币代替交易等。

参与的人多了，犯错的机会也就多了。在上述“净网2020”专项行动案例中，警方破案的关键在于，借助与病毒制作者有直接合作关系的数据恢复公司这一线索抓住了背后的病毒制作者。

在近一个月时间里，比特币出现闪崩，一度跌到3.3万美元，为近半年时间的最低价。这对“勒索病毒产业链”的利益获得者也会是一个打击。

最后强调的是，我们不建议支付赎金，如迫不得已，可以尝试“讨价还价”。

至少有一个例子可以说明这一可能性：据媒体报道，2017年5月14日，台湾网友陈子聪中了勒索病毒，为此他发邮件向黑客“求情”：“我月收入400美元，要这样对我吗？”结果对方回应：“我们明显高估了你们的收入。所以你不用支付任何费用。待会系统将会帮你的计算机解锁。”

 文 / 巴九灵（微信公众号：吴晓波频道）