勒索病毒常用的弱口令扫描

theme: default themeName: "默认主题" title: "勒索病毒黑产链大揭秘：为什么总有人中招？5个防御措施最后一个最重要"

前言

勒索病毒大概是这几年最让运维头疼的威胁了。一旦中招，要么付赎金（通常是比特币，少则几千多则几十万），要么数据全丢。2021年某燃气管道公司被勒索，直接影响民生；2022年某三甲医院被勒索，病历数据全部加密，患者手术一度中断。勒索病毒怎么这么难防？本文给你讲清楚勒索病毒的黑产链和防御策略，看完你就会明白：不是病毒太厉害，是我们太多地方没做到位。

勒索病毒的进化史

勒索病毒不是一开始就这么聪明的，它也是一步步"进化"过来的。

第一代：加密文件勒索

最早的勒索病毒就是简单地加密用户文件，然后弹窗要钱。解密成本低，很多安全公司能直接破解。

第二代：锁屏勒索

不加密文件，直接锁住屏幕，改开机密码。类似于当年的"熊猫烧香"，技术上很简单，但恶心人。

第三代：Ransomware-as-a-Service（勒索软件即服务）

这是最可怕的进化。现在根本不需要自己写病毒，上网就能买到勒索软件包。卖软件的人负责更新病毒、搞定免杀，买的人负责传播和勒索，最后按比例分成。这就是典型的黑产工业化。

第四代：双重勒索

不仅加密你的文件，还先偷一份数据副本。威胁你不给钱就公开数据。很多企业，宁愿花钱消灾也不愿意数据泄露。

勒索病毒的传播途径

知道怎么传播的，才能针对性防御。

1. 钓鱼邮件（最常见）

常见的钓鱼诱饵：
"您的快递单号是..."
 "您的工资条已生成，请查收"
 "您的账号存在异常，点击链接验证"
 "发票.pdf"（实际是可执行文件）

附件通常是：.exe、.js、.vbs、.bat、.msi、.docm

2. 弱口令爆破

# 勒索病毒常用的弱口令扫描
针对SSH、RDP、SMB、MySQL、Redis等常用服务
hydra -l admin -P password.txt 192.168.1.0/24 rdp msfconsole > use auxiliary/scanner/ssh/ssh_login

很多服务器的Redis、MySQL、SMB等服务直接暴露在公网，口令还是admin/123456，这不等于开门请客？

3. 漏洞利用

勒索病毒会利用各种已知漏洞：

EternalBlue（永恒之蓝）：SMB漏洞，WannaCry就是靠这个

Log4j：Apache Log4j漏洞

Confluence： Atlassian Confluence漏洞

4. 恶意广告/下载站

在不正规网站下载"破解版"软件、游戏外挂、激活工具——这些里面经常藏着勒索病毒。

勒索病毒黑产链

很多人以为勒索病毒是某个黑客单独作案，其实早就形成产业链了：

[编写病毒] → [免杀处理] → [挂马/钓鱼] → [肉鸡控制] → [数据窃取] → [加密勒索] → [收赎金] → [洗钱]
    ↑                                                卖软件包（RaaS）←───────────────────────────┘

病毒编写者：写病毒源码，卖给下家

渠道商：负责传播（钓鱼网站、挂马、僵尸网络）

实施者：具体执行勒索的人

赎金处理：比特币洗钱渠道

每环都有专业分工，利润按比例分成。这已经不是单打独斗的小黑客了，是有组织的犯罪集团。

5个有效的防御措施

措施1：最小权限原则

# 禁用SMBv1（防止 WannaCry 类勒索）
Set-SmbServerConfiguration -EnableSMB1Protocol $false -Force

关闭不必要的端口
New-NetFirewallRule -DisplayName "Block RDP" -Direction Inbound -RemotePort 3389 -Action Block

服务账户权限最小化
不要用 administrator 跑服务

别让勒索病毒有权限加密你的数据。

措施2：多层备份策略

# 3-2-1原则
3份数据副本
2种不同存储介质
1份离线备份（不通网）

示例备份脚本
#!/bin/bash
每天凌晨2点执行
backup_dir="/backup" date_dir=$(date +%Y%m%d) mysqldump -u root -p password all_db > $backup_dir/mysql_$date_dir.sql tar -czf $backup_dir/www_$date_dir.tar.gz /var/www/html
复制到离线硬盘
cp -r $backup_dir/* /mnt/offline-drive/

关键点：备份一定要离线！很多勒索病毒会同时加密本地备份和云备份。

措施3：弱口令排查和修复

# 检查弱口令
Linux SSH
awk -F: 'length($2)<8 {print $1}' /etc/passwd

Windows RDP
使用工具：Weak Passwords Checker

强制改密码策略
Linux
passwd -l username  # 锁定无用账号

Windows
net user administrator /logonpasswordchg:yes

措施4：及时打补丁

# Windows自动更新
Set-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update" -Name "AUOptions" -Value 4

Linux批量打补丁（yum/dnf）
yum update -y

重点补丁：EternalBlue、Log4j、Confluence

不是所有补丁都要第一时间打（有些补丁会引发兼容性问题），但已知的高危漏洞必须尽快修复。

措施5：安全意识培训（最重要）

# 培训内容：
1. 不打开可疑邮件附件 2. 不点击可疑链接 3. 不在非正规网站下载软件 4. 使用强密码，不复用密码 5. 发现异常立即上报

90%的勒索病毒攻击都是从一封钓鱼邮件开始的。技术防护做得再好，员工手一滑点开了恶意附件，全完蛋。

定期做安全演练，比如给员工发送模拟钓鱼邮件，看看谁会上当。

中招了怎么办

如果不幸中招：

1. 立即断网：拔网线、关WiFi，防止病毒继续传播 2. 不要付赎金：付了也不一定能拿到解密密钥，而且助长犯罪 3. 保留证据：截图、录屏，记录勒索界面 4. 上报：联系公安机关网安部门 5. 恢复备份：从备份恢复数据

真实案例：某企业如何被勒索

过程：
1. 运维在公网开放了Redis 6379端口，没设密码 2. 勒索病毒扫描到弱口令，植入病毒 3. 病毒利用SMB漏洞在内网横向传播 4. 加密了所有服务器的数据库和文件 5. 勒索0.5比特币（约10万人民币）

教训： 
Redis没设密码
 内网没做隔离
 所有服务器共用一个密码
 备份在云端，没做离线备份

结语

勒索病毒防不住？不存在的。绝大多数勒索攻击都是因为：弱口令、没打补丁、员工点了钓鱼邮件。这三点做好了，能挡住90%以上的勒索攻击。技术手段再牛，抵不过员工手一滑。安全意识和制度建设，永远是最重要的一环。

看完还有什么疑问吗？

如果文章没有覆盖到你的情况，欢迎联系我们咨询——免费解答，说清楚再决定要不要服务。

📞 服务热线：13708730161 💬 微信：eyc1689 📧 邮箱：service@eycit.com 🌐 https://www.eycit.com

易云城IT服务，您身边的IT专家。