近日，一种新型勒索病毒-GlobeImposter在网上传播，一旦感染该勒索病毒，网络系统的数据库文件将被病毒加密，只有支付赎金才能恢复文件。据媒体报道，湖北襄阳南漳县人民医院、湖南省儿童医院信息系统分别于2月23日和2月24日遭受黑客攻击，医院服务器疑感染GlobeImposter勒索病毒，导致医院诊疗系统大面积瘫痪，挂号、收费、诊疗等业务均无法正常运转。

血的教训：一用户中了勒索病毒后，用友程序和数据被加密！

究竟什么是GlobeImposter勒索病毒？它以什么形式攻击，我们又该如何预防呢？别急，接着往下看！

01.GlobeImposter勒索病毒的危害

 GlobeImposter是目前流行的一类勒索病毒，它会加密磁盘文件并篡改后缀名为.Techno、.DOC、.CHAK、.FREEMAN、.TRUE等形式。由于其采用高强度非对称加密方式，受害者在没有私钥的情况下无法恢复文件，如需恢复重要资料只能被迫支付赎金GlobeImposter勒索病毒攻击相对普通的勒索病毒首要区别在于：该病毒不具备主动传播性，是由黑客渗透进入内网后，在目标主机上人工植入，该病毒具有极强的破坏性和针对性，目前很难被破解。

02.GlobeImposter勒索病毒的攻击手法

经分析，该病毒的主要攻击步骤如下：第一步对服务器进行渗透，黑客通过弱口令爆破、端口扫描等攻击手法，利用3389等远程登陆开放端口，使用自动化攻击脚本，用密码字典暴力破解管理员账号。第二步对内网其他机器进行渗透，攻击者在打开内网突破口后，会在内网对其他主机进行口令爆破，利用网络嗅探、多协议爆破等工具实施爆破。第三步植入勒索病毒，在内网横向移动至一台新的主机后，会尝试进行手动或用工具卸载主机上安装的防护软件，手动植入勒索病毒。第四步运行病毒，病毒自动执行程序，对电脑内文件进行加密，完成病毒攻击过程。

03.工作提示

经安全专家分析，存在弱口令且Windows远程桌面服务（3389端口）暴露在互联网上、未做好内网安全隔离、Windows服务器、终端未部署或未及时更新杀毒软件等漏洞和风险的信息系统更容易遭受该病毒侵害。

针对此情况，安全专家提示如下：

一是及时加强终端、服务器防护，所有服务器、终端应强行实施复杂密码策略，杜绝弱口令；安装杀毒软件、终端安全管理软件并及时更新病毒库；及时安装漏洞补丁；服务器开启关键日志收集功能，为安全事件的追溯提供基础。

二是严格控制端口管理，尽量关闭不必要的文件共享权限以及关闭不必要的端口，如：445,135,139,3389；建议关闭远程桌面协议。

三是强化业务数据备份，对业务系统及数据进行及时备份，并验证备份系统及备份数据的可用性；建立安全灾备预案，同时，做好备份系统与主系统的安全隔离，避免主系统和备份系统同时被攻击，影响业务连续性。

重要事情说三遍，数据备份很重要，切记异地备份重要数据！中勒索病毒，一点数据都恢复不了！