無論受害者是個創企業還是大型跨國公司，勒索軟件攻擊都可能帶來嚴重影響。當你看到計算機屏幕顯示系統遭到破壞或試圖訪問加密文件，并被要求支付資金以解鎖或解密，這無疑會讓你感到恐慌。如果無法訪問公司文件和系統，工作就會停止，并且，業務將受到不可挽回的損害。

當遭受攻擊時，最大限度減少損害的關鍵是了解如何檢測、響應和刪除勒索軟件。

[[425083]]

如何檢測勒索軟件攻擊

預防是關鍵。一旦勒索軟件感染系統，就很難(如果不是不可能的話)刪除。然而，勒索軟件通常只有在攻擊者宣布后才會被檢測到，例如，通過屏幕的彈出窗口。

其他勒索軟件感染指標包括來自反惡意軟件的警報、系統性能滯后、文件訪問受阻和網絡行為異常。

勒索軟件可以刪除嗎?

刪除勒索軟件具有挑戰性。有時，可以刪除勒索軟件;有時，不可能從它感染的系統中移除惡意軟件。這里的關鍵是盡量減少任何類型的惡意軟件(包括勒索軟件)滲透系統網絡的可能性。你可以通過部署以下安全最佳實踐來實現這一點：

• 不要將設備連接到受感染或可疑網絡。
• 不要訪問看起來可疑的網站。
• 不要打開可疑電子郵件的附件。
• 不要點擊電子郵件中的鏈接、社交媒體帖子或其他有潛在危險的信息。
• 不要安裝盜版貨未知軟件和內容。
• 不要與勒索者溝通或支付贖金。
• 務必在系統上安裝反惡意軟件并保持軟件最新。
• 務必為防火墻配置強大的安全設置和定期更新規則。
• 務必在安全位置備份文件和操作系統;考慮使用云存儲進行備份。
• 務必將文件存儲在單獨的外部驅動器中。
• 務必定期運行網絡測試以識別可疑活動。

移除勒索軟件的步驟

勒索軟件攻擊將不可避免地繞過安全防御，無論你是否部署適當的準備和安全措施。此時，重要的是盡早檢測攻擊并防止其傳播到其他系統和設備。

個人和企業都可以按照以下步驟移除勒索軟件。受到勒索軟件攻擊的員工應立即通知其經理和服務臺團隊。

步驟1.隔離受感染設備

立即斷開受感染設備與任何有線或無線連接的連接，包括互聯網、網絡、移動設備、閃存驅動器、外部硬盤驅動器、云存儲帳戶和網絡驅動器。這可防止勒索軟件傳播到其他設備。

此外，檢查連接到受感染設備的任何設備是否被勒索軟件感染。

如果尚未要求贖金，請立即從系統中刪除惡意軟件。如果要求贖金，在與勒索者接觸時要謹慎，如果有的話。很多消息來源(包括美國聯邦調查局)都建議不要支付贖金。

步驟2. 確定勒索軟件的類型

你應了解哪種勒索軟件在感染設備，這有助于修復工作。如果設備訪問被阻止，例如鎖柜勒索軟件，這通常不太可能。這些受感染的設備可能需要由經驗豐富的安全專家進行檢查或使用軟件工具進行診斷。有些工具可作為免費軟件使用，而其他工具則需要付費訂閱。

步驟3. 移除勒索軟件

在恢復系統之前，必須刪除勒索軟件。在最初的攻擊期間，勒索軟件會感染系統并加密文件和/或鎖定系統訪問權限。只有密碼或解密密鑰才能解鎖或解密限制。

下面的方法可用于移除勒索軟件：

• 檢查勒索軟件是否被刪除。勒索軟件有時會在感染系統后自行刪除;其他時候，它會留在設備上以感染其他設備或文件。
• 使用反惡意軟件/反勒索軟件。大多數反惡意軟件和反勒索軟件都可以隔離和刪除惡意軟件。
• 向安全專業人員尋求幫助。請與企業內或第三方技術支持的安全專家合作，協助移除勒索軟件。
• 手動移除。如果可能的話，請檢查設備上安裝的軟件，并卸載勒索軟件文件。僅建議經驗豐富的安全人員使用此方法。

請注意，即使勒索軟件被移除，加密文件仍可能難以訪問。現在有勒索軟件解密工具可用，很多反惡意軟件和反勒索軟件選項都提供此功能。但請記住，解密工具并非適用于所有類型的勒索軟件。

作為取證活動的一部分，IT團隊應對設備或系統進行詳細掃描，以確保沒有勒索軟件殘留。最好隔離受影響的設備，以確保在將它們返回服務之前徹底清潔它們。

步驟4.恢復系統

通過恢復以前版本(攻擊發生前)的操作系統來恢復文件。如果備份未加密或鎖定，請使用系統還原功能還原它們。請注意，在上次備份日期之后創建的任何文件都不會恢復。

大多數主流操作系統都有工具來恢復文件，并提供其他功能來恢復受感染的系統。

在恢復系統后，請務必執行以下操作：

• 盡快更新所有密碼和安全訪問代碼。
• 檢查以確保防火墻規則和反惡意軟件保持最新版本。如有必要，用更強大的軟件替換安全軟件。
• 遵循勒索軟件預防措施以避免未來感染勒索軟件。