什么是勒索病毒

勒索病毒是一类恶意程序，它侵入电脑后会加密磁盘中的重要文件，使文件无法打开，然后要求受害者支付赎金（通常以比特币等虚拟货币）以换取解密密钥。

高校是勒索病毒的重点目标：数据集中、终端数量多、师生安全意识参差不齐、假期时段的服务器长期无人看管。

感染后的典型表现

• 桌面背景被替换为勒索提示页

• 大量文件扩展名被篡改，如变为 .locky、.wannacry、.[[随机字符]]

• 出现 readme.txt、HOW_TO_DECRYPT.txt 等勒索说明文件

• 文件图标变为空白，双击提示"文件已损坏"

• 磁盘占用突然增大，硬盘灯长时间闪烁

• 部分文件被删除，回收站被清空

五条感染途径

途径一：钓鱼邮件附件。伪装成简历、发票、会议材料的邮件，附件打开后即释放病毒。这是最主要的传播方式。

途径二：远程桌面弱口令。服务器开放 3389 端口且使用弱密码，攻击者暴力破解后直接登入投毒。高校服务器遭勒索，多数由此而来。

途径三：系统漏洞未修补。未打补丁的操作系统，一旦联网即被自动化扫描攻击（如"永恒之蓝"）。

途径四：U 盘与移动介质。感染病毒的 U 盘插入即扩散。

途径五：软件与激活工具。从非官方渠道下载的破解软件、激活工具中捆绑病毒。

防范措施

对个人用户

1. 及时安装系统安全更新，不要长期关闭自动更新

1. 安装并开启防病毒软件，保持病毒库更新

1. 不打开来历不明的附件，不点击不明链接

1. 不使用破解软件、激活工具

1. 重要文件定期备份到 U 盘或学校共享盘，并且备份要与本机物理隔离

1. 关闭不必要的文件共享，不开启远程桌面

对系统管理员

1. 服务器远程管理端口（3389、22 等）不得直接暴露于互联网，须通过 VPN 或堡垒机访问

1. 管理员账号使用强口令，禁止使用默认密码

1. 及时修补系统和中间件漏洞，关注上级部门和厂商的安全通告

1. 按"3-2-1"原则备份：重要数据保留 3 份副本，存放在 2 种不同介质，其中 1 份异地或离线保存

1. 离线备份是最后的防线——勒索病毒会加密所有在线可见的存储，只有物理隔离或已断开连接的备份才能保住

1. 部署入侵检测与日志审计，监测异常的批量文件操作

应急处置六步

第一步：立即断网

发现文件被批量加密，第一时间拔掉网线、断开 WiFi，防止病毒继续加密网络共享目录中的文件，也防止向内网扩散。不要关机重启，重启可能触发二次加密，并丢失内存中可用于溯源的证据。

第二步：保留现场

不要删除被加密的文件，不要格式化磁盘。拍照记录勒索提示界面、异常文件名、出现问题的时间点，这些是后续溯源的关键线索。

第三步：隔离同网段设备

同网段或同共享目录下的其他电脑也可能已被感染，应一并断网检查。

第四步：报告

立即联系智慧校园管理中心。报告中说明：哪台设备、什么时间发现、感染范围、是否涉及重要数据、是否有备份。中心将启动应急响应，开展溯源和处置。

第五步：从备份恢复

在确认病毒已被清除、系统已重装、漏洞已修补的前提下，从离线备份中恢复数据。切勿在未彻底清理的系统中恢复数据，否则会再次被加密。

第六步：复盘整改

分析感染原因（钓鱼邮件？弱口令？未打补丁？），修补相应漏洞，完善防护措施，并将情况在部门内通报，避免同类事件再次发生。

特别提醒：不要支付赎金

支付赎金并不能保证拿回数据。大量案例显示，付款后攻击者要么失联，要么提供的解密工具无法完整恢复文件，部分攻击者还会再次索要。支付赎金等于资助犯罪，也向外界释放"该校愿意付款"的信号，会招致更多攻击。

正确的做法是：平时做好备份，事发后依靠备份恢复。