场景 1 — 勒索病毒攻击传播模型
攻击时间线
| 阶段 |
时间 |
动作 |
说明 |
| 初始入侵 |
T+0min |
钓鱼邮件 / RDP 爆破 / 漏洞利用 |
攻击者进入内网 |
| 载荷投递 |
T+2min |
下载器执行 / 恶意文档触发 |
恶意代码落地 |
| 权限提升 |
T+5min |
本地提权 / 凭证窃取 |
获取更高权限 |
| 横向蠕虫 |
T+8min |
SMB / RDP / 永恒之蓝传播 |
蠕虫式快速扩散 |
| 批量加密 |
T+15min |
AES + RSA 文件加密 |
大规模文件加密 |
| 勒索展示 |
T+20min |
勒索信 / 暗网支付 |
要求支付赎金 |
蠕虫式传播模拟（分钟级扩散）
T+0 · 初始感染 1 台
| Web-01 |
Web-02 |
DB-01 ⚠ |
App-01 |
App-02 |
| 正常 |
正常 |
已加密 |
正常 |
正常 |
T+5 · 横向扩散至 4 台
| Web-01 🔄 |
Web-02 ⚠ |
DB-01 ⚠ |
App-01 ⚠ |
App-02 |
| 传播中 |
已加密 |
已加密 |
已加密 |
正常 |
T+15 · 全网段感染
| Web-01 ⚠ |
Web-02 ⚠ |
DB-01 ⚠ |
App-01 ⚠ |
App-02 ⚠ |
| 已加密 |
已加密 |
已加密 |
已加密 |
已加密 |
■ 正常 ■ 传播中 ■ 已加密
主要传播途径
| 途径 |
协议/技术 |
典型利用 |
放大倍率 |
| SMB 漏洞传播 |
MS17-010 / CVE-2017-0144 |
WannaCry / NotPetya 核心方式 |
— |
| RDP 暴力破解 |
3389 端口 |
CryLock / Makop 常用入口 |
— |
| 钓鱼邮件附件 |
Office 宏 / PDF / LNK |
Emotet → TrickBot → Ryuk 链路 |
— |
| 窃取凭证横移 |
Mimikatz / PsExec / WMI |
内存凭证抓取 + 远程执行 |
— |
| VPN / 漏洞利用 |
VPN 0day / Nday |
ProxyShell / Log4Shell 入侵 |
— |
勒索病毒关键特征
| 特征 |
说明 |
| 双重加密 |
AES-256 加密文件 + RSA 加密密钥，无私钥几乎无法解密 |
| 双重勒索 |
加密数据 + 窃取数据，不付赎金就公开泄露 |
| 时间窗口极短 |
从入侵到全网加密仅需 15-45 分钟，留给应急响应的时间极少 |
| 反取证 |
删除日志 / 影卷副本 / 系统还原点，vssadmin delete shadows /all |
⚡ 应急响应速度直接决定损失范围 — 每一分钟都至关重要
sentinel, Lab