1. 文件加密标记：受害文件后缀统一追加.sorry，文件完全无法正常打开，服务器留存 README.md 勒索信，诱导受害者通过加密通讯工具联系攻击者交付赎金换取解密工具。

2. 先破坏备份再加密：入侵成功后优先终止数据库、安全软件、备份相关服务，清除本地备份，切断企业常规恢复路径，再执行加密操作。

3. 数据窃取 + 内网横向扩散：攻击同时窃取业务配置、核心业务数据；扫描内网 SSH 端口，借助弱口令向内网其他Linux 主机传播，单点中招可演变为全网沦陷。

4. 解密难度高：采用 AES+RSA 混合加密，私钥掌握在攻击者手中，无公开通用解密方案，盲目支付赎金也无法保证数据完整取回。

1. 及时修复高危漏洞：排查 cPanel、WHM 等组件版本，尽快安装官方安全补丁，关闭不必要对外端口，禁止数据库、管理后台直接暴露公网，远程运维使用 VPN、堡垒机，配置IP 白名单与多因素认证。

2. 强化账号安全管理：杜绝弱密码，不同服务器使用独立账号密码，关闭闲置账号，做好登录异常告警。

3. 加固主机安全环境：部署适配 Linux 的安全防护软件，保持病毒库更新，定期审计服务器进程、日志，及时发现伪装恶意进程。

4. 拒绝支付赎金：支付赎金无法保证数据恢复，还会助长黑产，应第一时间留存证据上报网信、公安部门。

5. 建设独立备份体系：勒索病毒会优先销毁本地备份，因此，离线隔离备份是抵御勒索攻击的最后屏障。

   
   

​

阅读原文：https://mp.weixin.qq.com/s/ugbcl05oO-4J3ANu8Z6awg