9、勒索软件活动的法医调查

勒索软件活动的法医调查

1. 引言

在物联网（IoT）和万物互联（IoE）时代，使用联网计算机已成为潮流。这也使得网络犯罪成为数字世界用户的一大担忧。勒索软件是一种主要的恶意软件，它通过锁定系统屏幕或受害者的数据文件，迫使受害者支付赎金。勒索软件的发展为网络犯罪分子创造了获利环境，其攻击日益猖獗。

由于勒索软件高度自动化，现代计算系统的普遍性使犯罪分子能够针对广泛的受害者，包括个人、企业和政府机构，造成重大经济损失。因此，现代计算机系统迫切需要一种全面的方法来检测勒索软件活动并防止感染，以减少组织内的数据损失。

1.1 勒索软件的演变

勒索软件在受害者计算机中的行为与其他病毒（如特洛伊木马、蠕虫和间谍软件）类似。特洛伊木马通常隐藏在电子邮件附件和下载软件中攻击系统；蠕虫通过电子邮件和网络流量在文件和计算机之间传播；间谍软件是客户端软件，常隐藏在免费下载软件中，利用受害者计算机的CPU监控客户端活动并将数据发送到远程机器。相比之下，勒索软件是第二代恶意软件，它针对大量文件，主要利用系统漏洞，通过加密文件和锁定系统使受害者无法访问。

勒索软件的攻击方式因破坏数据文件的方法而异。第一个勒索软件PC Cyborg/AIDS通过软盘传播，它主要替换计算机的autoexec.bat文件并记录系统重启次数，当次数超过90时，隐藏目录并加密系统根目录中的所有文件名。此后，勒索软件不断发展，增加了各种功能以利用计算机系统中的更多漏洞，以下是一些代表性勒索软件的时间线：
| 名称 | 年份 | 显著特征 |
| — | — | — |
| PC Cyborg | 1989 | 通过软盘传播 |
| GPCoder |