3-7 索要赎金的计算机病毒 · 波仔的网络与信息安全课

📄 一句话概括

勒索软件的商业模式建立在你算不过来这件事上——它赌你在停机压力下不计成本；而对付它最有效的不是【更强的杀毒】，是把那张【付不付】的账事先算出来、并演练过一遍。

📝 本节和前面几节的关系

上一节（窃取信息的软件）讲【偷】，这一节讲偷完之后的那张牌。两者在 2026 年是同一件事的两半：约 78% 的勒索事件是【先偷数据、再加密文件】。

它也把第二章设置用于攻击的后门的一条结论用上了：勒索软件不是【进来那一下】造成的损失，而是【住进来很久之后才动手】——数据说明它的驻留时间是以天计的。所以真正和它对抗的，是发现能力（2-11）与分段隔离（2-13）。

一、它和别的恶意软件有什么不同

	别的恶意软件	勒索软件
求什么	偷、藏、或者让你用不了	要钱
你什么时候知道	可能一直不知道	几乎立刻知道（文件打不开了）
损失形态	数据泄露、业务被控	业务停摆（停一天就是一天的钱）
它最怕什么	被检测、被清除	你有备份、而且恢复流程演练过

关键的结构差异是：勒索软件愿意被你发现。 它甚至主动弹出赎金说明——因为它要你在压力下做决定。这就是为什么【技术上的拦】只是一半，另一半是你事先有没有一个不依赖临场判断的方案。

二、2026 年的形态：从【加密】转向【偷 + 加密】

这是过去两年最重要的变化，也是本节最该记住的一条：

过去：加密你的文件 → 你不付钱就永远失去数据 → 你只能付。现在：先把数据抄走 → 再加密 → 就算你有备份、业务能恢复，他手里还攥着【把数据公开】这张牌。

所以【有备份】从【足够的解决方案】变成了【必要条件但不再充分】——你还得防外泄。这条直接对应第二章应当在哪里防御里那个最容易被忽略的方向：出口。

三、动手 Demo：把【付不付】算成一笔账

stop_per_day = 300_000   # 停机损失（元/天）
ransom = 1_200_000       # 赎金要求
rows = [("有备份，不付", 3, 150_000, 0),
        ("无备份，付了", 7, 200_000, ransom),
        ("无备份，不付", 21, 400_000, 0)]
# 合计 = 停机天数 × 日均损失 + 重建/赎金

实跑输出：

一、2025-07 ~ 2026-06 的现状（国家计算机病毒应急处理中心口径）
  全球勒索攻击事件        8,819 起（同比 +40.1%）
  活跃勒索组织            118 个（前 5 名占全部攻击一半以上）
  对我国发动攻击的组织    44 个，攻击 164 家机构（同比 +76.7%）
  受害最重的行业          计算机、通信和其他电子设备制造业

二、另一组口径（2026 上半年）：量在涨，钱在降
  受害者数量            6,256 家（同比 +45%）
  选择付赎金的比例      28%（历史最低）
  链上赎金总额          约 8.2 亿美元（同比 -8%）
  平均单笔支付          431,995 美元（同比 +5.3%）
  窃取数据总量          896.2 TB（同比 +275%）
  → 【攻击变多了，付钱的变少了，单笔被要得更高了】
  → 变成这样是因为：78% 的勒索事件是【先偷再加密】——
    有备份也挡不住【数据被公开】这条威胁

三、算一笔账：某 200 人制造企业遇到一次勒索
  停机损失 300,000 元/天 ｜ 赎金要求 1,200,000 元

  方案            停机天数  停机损失      重建/赎金     合计          备注
  ------------------------------------------------------------------------------------------------
  有备份，不付    3         900,000       150,000       1,050,000     数据仍在攻击者手里，但业务能自恢复
  有备份，付了    3         900,000       1,350,000     2,250,000     赎金纯浪费——备份已经能解决停机
  无备份，付了    7         2,100,000     1,400,000     3,500,000     谈判+解密 7 天，数据仍可能被公开
  无备份，不付    21        6,300,000     400,000       6,700,000     重建 21 天，数据丢失且可能被公开

  最省钱的一档 vs 最贵的一档：1,050,000 元 vs 6,700,000 元，差 5,650,000 元。
  → 这一笔差额，就是【备份 + 演练过的恢复流程】这个方案的
    价值上限——它值多少钱，取决于【没有它要多亏多少】。

① 勒索的商业模式靠的是【你算不过来】：它赌你在停机压力下
   不计成本。你若事先把上面这张表算过、演练过，
   就已经赢了一半。
② 但 2026 年要加一条：光有备份不够。78% 是先偷再加密，
   攻击者手里还留着【数据】这张牌——所以还得防【外泄】
   （出口方向的管控，第二章 2-8 讲过）。
③ 还有一个陷阱：网上流传的【勒索病毒解密工具/代理服务】
   九成是二次诈骗。怀疑被加密，先断网、先报，别先搜工具。

读这个输出：这张表里最有价值的一行是【有备份，付了】——2,250,000 元，比【有备份，不付】多花了 120 万，而这 120 万买到的收益是零。因为备份已经解决了停机问题，赎金付出去只是在为【数据可能被公开】买一个口头承诺。

所以要拿走的判断是：在【付与不付】这个问题上，唯一有意义的分界线是【我能不能在不付钱的前提下恢复业务】——能，就不付（省下的是真金白银）；不能，才进入那个没有好答案的谈判区。

四、⚠️ 2026 现状

量在涨，钱在降——这是最值得注意的一组矛盾。 2026 上半年被记录到的受害者 6,256 家（同比 +45%），但链上赎金总额反而下降约 8%，到约 8.2 亿美元，原因是付钱的比例跌到历史最低的 28%。机构的解读是：备份与响应能力在变好，所以【付钱】这件事的必要性下降了。
但攻击者换了个方向要钱：单价更高、目标更准。 平均单笔支付上升到 43 万美元量级；同时窃取的数据量同比涨了 275%（896.2 TB）。这两条一起读，就是【偷】正在取代【加密】成为主要的施压手段。
攻击者开始用企业自己的日常工具做社会工程与横向移动。 2026 年的报告里，协作工具与远程协助工具被用于欺骗员工、横向移动和窃取数据是很突出的手法；同时用脚本语言（把功能写进系统本就有的解释器里执行）开发的工具在增加——好处是开发快、而且混在管理员的日常操作里，很难分辨。这与 3-2 讲的【看行为不看长相】是同一个结论。
国产口径的两组数字值得抄下来。 一是全球勒索攻击事件 8,819 起、同比 +40.1%，活跃组织 118 个（前五名占了一半以上——行业集中度很高，意味着对策可以对着少数几个套路做）；二是对我国 164 家机构的攻击同比增加 76.7%，受害最重的是计算机、通信和其他电子设备制造业。官方给的攻击面解释也很直接：有的制造企业高度依赖自动化运行，产线停一天的损失巨大、抗压能力弱，同时安全投入不足——这正是【勒索专挑停不起的目标】这条经济逻辑。
【恢复拒绝】这个新趋势要单记一条。 2026 年的威胁报告提到一种战术变化：攻击者开始有组织地破坏你的备份与恢复能力（先删备份、先破坏快照、先搞掉管理面），让【我有备份】这句话在事后不成立。它的直接含义是：备份要离线和不可变——能被攻击者伸手删掉的备份，不算备份。
二次诈骗是固定套路。 网上搜到的【解密工具】和【代理协商服务】多数是骗局：要么收钱不给工具，要么本身就是二次勒索的入口。正确顺序是：断网、保留现场、联系正规的事件响应与执法渠道，而不是先搜工具。

30 秒实验

今天做一件只有 30 秒但很值的事：确认你的备份是不是【能删的】。

找到你单位（或你自己电脑）的备份方案：是外接硬盘 / 网络共享 / 云盘 / 还是同机的一个目录？
判断标准只有一条：这台被加密的机器，能不能顺手把备份也删掉？
如果备份是同一个网络里、用同一个管理员账号能访问的——它能一起被加密或删除，不算备份。
如果备份是离线介质、或者做了不可变（写入后不能改）设置——这算备份。
如果是前一种，今天就把它改成后一种（哪怕只是【每周把一份备份放到不常连线的盘上】）。

这一节要带走的一句是：勒索软件赚的是【临场慌乱】的钱——你事先把账算清、把恢复演练过，就已经让它最有力的那个武器失灵了。

常见误区

错误：付钱就能拿回数据，所以关键时刻还是付钱最省事。——纠正：付钱买到的是一句口头承诺，而且兑现率不由你控制。 有两组事实要一起看：① 数据显示相当一部分付了钱的组织事后仍有数据被公开（这正是【先偷再加密】的后果——加密可以解，泄露收不回）；② 平均单笔支付在涨（43 万美元量级），因为攻击者也在针对【愿意付的少数人】提高要价。所以正确的判断不是【付了划算吗】，而是【有没有一条不依赖对方信用的恢复路径】。
错误：我有备份，不怕勒索。——纠正：2026 年要加三条限定。 ①备份能不能被一起删/加密？ 如果它就在同一个网络里、同一个管理员账号能访问，它能；②备份里有没有数据？ 【先偷再加密】占到 78%，备份能恢复业务，恢复不了【数据没被公开】；③恢复流程演练过吗？ 备份文件在不在、恢复一次要多久、恢复出来的系统能不能直接上生产——这三件事不试一次就都是假设。
错误：我们是小单位，攻击者看不上。——纠正：规模小不等于安全，而是【数据更有说服力】：大部分中小企业用的网络暴露的软件和大企业是一模一样的，但安全人手薄得多。多个数据源都指向同一个结论：中小企业的勒索遭遇比例反而更高。而且国产口径里受害最重的是制造业——理由不是【它数据贵】，而是【它停不起】。【停不起】就是被选中的理由。
错误：中毒了先上网搜解密工具。——纠正：这是本节最危险的一个动作。 官方与业界的提醒一致：这类【解密工具/代理服务】九成是二次诈骗。正确顺序是：① 先断网（阻止继续加密与外传）② 保留现场（不要急着格盘，日志与样本是后续定责与恢复的依据）③ 走正规渠道（专业响应团队、厂商支持、执法报案）。唯一不该做的，是在压力下搜索并下载一个来路不明的【工具】——那等于给第二次攻击开门。

自测三问（点开对答案）

1. 为什么【有备份】在 2026 年从【解决方案】降级成了【必要条件】？ —— 因为**攻击者的施压手段从一种变成了两种**。以前只有【加密】——那你恢复业务就结束了。现在主流是**先偷再加密**（2026 上半年约占 78%），于是**你恢复业务之后，他手里还攥着【把数据公开】这张牌**。这张牌**不受你的备份影响**，因为它已经在攻击者的服务器上了。所以备份仍然是必需的（它让你不必为【业务恢复】付钱），但**它不再覆盖【数据保密】这个损失**——后者要靠**外泄管控**与**事前的最小化**（少存、缩短留存期）。 2. 为什么【备份能不能被一起删掉】是判断备份有没有用的第一问题？ —— 因为**攻击者的目标不是【你的文件】，而是【你的恢复能力】**。备份如果和业务系统在同一个网络、用同一套管理员凭据就能访问，那它在攻击者眼里只是**另一个待加密的目录**——**他有足够的时间（驻留期以天计）去找到它并处理掉它**。所以备份的有效性不是由【有没有】决定的，而是由**【攻击者能不能伸手够到】**决定的：**离线介质、不可变存储（写入后不能改）、以及和业务不同的凭据体系**，这三条才是把它从【待加密目录】变成【真备份】的关键。 3. 为什么【演练过恢复】这件事，价值可能超过备份本身？ —— 因为**备份解决的是【数据还在不在】，恢复流程解决的是【业务多久能回来】**——而**停机是按天计价的**（本节 Demo 里每天的损失是 30 万元）。一个从没演练过的备份，恢复时会遇到一连串没人预料的问题：**备份任务的日志早就没人看了（里面可能一直是失败的）、恢复介质与当前系统版本不匹配、恢复出来的系统缺关键配置、恢复需要的时间远超预期**。**这些问题平时不出现，只在最需要它的时候出现。** 所以【演练一次】的价值，本质上是**把恢复时间从【未知】变成【已知】**——而 Demo 那张表里，**【恢复要 3 天】和【恢复要 21 天】差了 540 万元**。

☐ 下一节（3-8 难以防范的针对型攻击）