performing-ransomware-response

执行勒索软件响应

适用情形

• 检测到勒索软件正在运行，或文件加密正在进行
• 用户报告无法打开文件，且文件名附加了不熟悉的扩展名
• 在一个或多个系统上发现勒索通知
• EDR 检测到与加密行为一致的大规模文件修改模式
• 威胁情报警告即将发生针对该组织的勒索软件攻击活动

请勿用于不涉及文件加密或勒索的一般恶意软件事件；此类事件应使用恶意软件事件响应流程。

前提条件

• 已审查并经高管批准的勒索软件专用事件响应手册
• 经过测试和验证的离线备份策略，包含气隙隔离或不可变副本
• 与专业勒索软件响应公司（例如 Mandiant、CrowdStrike Services、Kroll）签订事件响应服务协议
• 已提前聘请法律顾问，以进行 OFAC 制裁筛查和监管通报
• 网络保险承保方的联系方式及保单承保详情
• 具备比特币／加密货币分析能力，或聘请第三方追踪付款

工作流

步骤 1：检测并确认勒索软件

验证事件是否为勒索软件，并确定其变种：

• 分析勒索通知文件名、加密文件附加的扩展名以及通知内容，识别勒索软件
• 将勒索通知和一个加密文件样本上传至 ID Ransomware（id-ransomware.malwarehunterteam.com）
• 查看 NoMoreRansom.org，检查是否有可用的免费解密工具
• 根据 EDR/SIEM 日志确定勒索软件的部署方式
• 识别勒索软件团伙（例如 LockBit、BlackCat/ALPHV、Royal、Akira、Play）

Ransomware Identification:
━━━━━━━━━━━━━━━━━━━━━━━━━
Variant:          LockBit 3.0 (Black)
Extension:        .lockbit3
Ransom Note:      README-LOCKBIT.txt
Tor Site:         lockbit[redacted].onion
Deployment:       Group Policy Object pushing ransomware.exe to all domain-joined systems
Initial Access:   VPN credential compromise (no MFA)
Dwell Time:       12 days
Data Exfiltration: Yes - 47GB uploaded to MEGA via rclone prior to encryption

步骤 2：立即遏制

在评估损失之前阻止勒索软件扩散：

• 优先级 1：将受影响的网络分段与核心基础设施断开（拔掉网线，不要关机）
• 优先级 2：如果怀疑通过基于 GPO 的方式部署，应立即隔离所有域控制器
• 优先级 3：禁用用于部署的已被攻陷账户
• 优先级 4：阻止横向移动协议（SMB TCP/445、RDP TCP/3389、WinRM TCP/5985-5986）
• 优先级 5：至少保留一台加密中的系统处于运行状态（不要关机），以便进行内存取证
• 请勿：关闭已加密的系统；保持其开机，以保留内存中的加密密钥

步骤 3：评估损失和影响范围

量化影响，为恢复和业务决策提供依据：

• 统计加密系统的数量（工作站、服务器、域控制器）
• 确定哪些业务关键系统和数据受到影响
• 验证备份完整性：检查备份是否被加密、删除或损坏
• 评估是否发生数据外泄（检查 rclone、WinSCP、MEGA 和云存储活动）
• 确定赎金金额和付款截止时间
• 检查 OFAC 制裁名单，确认勒索软件团伙并非受制裁实体（付款存在法律风险）

Impact Assessment:
Encrypted Systems:      187 of 340 endpoints (55%)
Encrypted Servers:      12 of 28 (43%) - includes 2 file servers, 1 database server
Domain Controllers:     2 of 3 encrypted
Backup Status:          Veeam repository intact (offline copy verified clean)
Data Exfiltration:      Confirmed - 47GB to MEGA (file listing under analysis)
Ransom Demand:          $2.5M in Bitcoin (72-hour deadline)
OFAC Screening:         LockBit - not currently sanctioned entity (verify with counsel)

步骤 4：恢复决策矩阵

与法律顾问、高管和网络保险承保方协商，评估恢复方案：

方案	优点	缺点	建议情形
从备份恢复	无需付款，无法律风险	恢复可能需要数天	有可用的干净备份
使用免费解密工具	无需付款，速度快	很少有可用工具	该变种已有公开的解密工具
谈判并付款	可能更快	无法保证成功，存在法律风险，资金会流向威胁行为者	没有备份，企业生存岌岌可危
从头重建	环境干净	耗时最长，可能丢失数据	备份已被攻陷，且愿意接受数据丢失

步骤 5：执行恢复

实施选定的恢复策略：

如果从备份恢复：

1. 为恢复操作构建干净、隔离的网络分段
2. 首先从干净介质重建域控制器（切勿恢复滞留时间之前的 DC 备份）
3. 在将任何系统加入新域之前，重置所有用户和服务帐户密码
4. 按优先级顺序恢复服务器：身份验证、DNS、DHCP，然后是业务关键型应用程序
5. 通过重新映像恢复工作站，而不是进行文件级还原
6. 将经过验证的干净备份中的数据恢复到重建的文件服务器
7. 验证完成后再重新连接到生产网络

如果使用解密工具：

1. 先在非关键系统上测试解密工具
2. 按业务优先级顺序解密
3. 在重新连接前扫描所有已解密系统，检查是否存在残留恶意软件

步骤 6：勒索软件攻击后的加固

实施防止再次发生的控制措施：

• 对所有远程访问（VPN、RDP、云门户）强制启用 MFA
• 实施 3-2-1-1-0 备份策略（3 份副本、2 种介质类型、1 份异地副本、1 份不可变副本、0 个错误）
• 在服务器上部署应用程序允许列表
• 在工作站和服务器 VLAN 之间实施网络分段
• 为特权帐户启用受保护的用户安全组
• 尽可能禁用 NTLM 身份验证
• 为本地管理员帐户部署 LAPS（本地管理员密码解决方案）

关键概念

术语	定义
双重勒索	一种勒索软件策略，将文件加密与数据外泄相结合，并威胁公开被盗数据
不可变备份	在规定的保留期限内无法修改或删除的备份存储，可防止勒索软件攻击备份
OFAC 制裁	美国外国资产控制办公室的限制，可能禁止向受制裁实体或司法管辖区支付赎金
滞留时间	攻击者部署勒索软件前在系统中停留的天数；这是判断哪些备份干净的关键依据
勒索软件即服务（RaaS）	一种犯罪商业模式，勒索软件开发者将其恶意软件出租给实施攻击的附属组织
Rclone	一款合法的云同步工具，勒索软件操作者常滥用它在加密前外泄数据
3-2-1-1-0 备份规则	一种备份策略，要求保留 3 份副本、使用 2 种介质、保存 1 份异地副本、保留 1 份不可变／气隙隔离副本，并确保恢复测试中 0 个错误

工具与系统

• ID Ransomware：在线服务，可根据勒索说明或加密文件样本识别勒索软件变种
• NoMoreRansom.org：由 Europol 支持的项目，为某些勒索软件家族提供免费解密工具
• Veeam / Commvault：企业备份平台，具备不可变存储库和即时 VM 恢复功能
• KAPE：从加密系统快速收集取证分诊数据，以确定初始访问方式和滞留时间
• Cado Response：云原生取证平台，用于调查影响云基础设施的勒索软件

常见场景

场景：通过遭入侵的 VPN 部署 LockBit 3.0

背景：攻击者攻破了 VPN 凭据（未启用 MFA），花了 12 天进行侦察，通过 GPO 禁用了防病毒软件，窃取了 47GB 数据，并于周日凌晨 2:00 通过 GPO 在整个域内部署了 LockBit 3.0。

应对方法：

1. 在核心交换机层面断开所有网络分段
2. 验证离线备份的完整性（存储在不可变存储上的 Veeam 存储库）
3. 保持两台加密服务器开机，以进行内存取证
4. 联系事件响应服务提供商和网络保险承保方
5. 在隔离网络中开始恢复：重建 DC、重置所有密码，并按优先级顺序还原
6. 并行开展取证调查，以确定初始访问途径和攻击者的全部活动

注意事项：

• 从在 12 天潜伏期间创建的备份进行还原（可能包含后门）
• 未进行 OFAC 筛查并经法律顾问审核就支付赎金
• 在完全重置密码之前，将恢复后的系统重新连接到生产网络
• 未检查是否发生数据窃取，使组织仍面临勒索威胁

输出格式

RANSOMWARE INCIDENT REPORT
===========================
Incident:           INC-2025-1892
Ransomware Family:  LockBit 3.0 (Black)
Date Detected:      2025-11-17T06:45:00Z
Initial Access:     VPN credential compromise (no MFA)
Dwell Time:         12 days

IMPACT SUMMARY
Encrypted Systems:  187 endpoints, 12 servers
Business Impact:    Full operations disruption
Data Exfiltrated:   47GB (finance, HR, legal documents)
Ransom Demand:      $2.5M BTC (72-hour deadline)
Backup Status:      Veeam immutable repository - CLEAN

RECOVERY APPROACH
Decision:           Restore from backup (no ransom payment)
Recovery Start:     2025-11-17T10:00:00Z
DC Rebuild:         Complete - 2025-11-17T18:00:00Z
Critical Systems:   Restored - 2025-11-18T12:00:00Z
Full Recovery:      Estimated 2025-11-21

CONTAINMENT TIMELINE
06:45 UTC - Ransomware detected by SOC analyst
07:00 UTC - Network segments disconnected
07:15 UTC - Incident commander activated IR plan
07:30 UTC - Backup integrity verification started
08:00 UTC - Memory forensics initiated on 2 live systems
10:00 UTC - Recovery operations commenced in clean room

POST-INCIDENT ACTIONS
1. MFA enforced on all VPN and remote access
2. 3-2-1-1-0 backup architecture implemented
3. Network segmentation between workstation/server VLANs
4. LAPS deployed for local administrator passwords
5. Regulatory notifications filed (GDPR 72-hour, state AG)