勒索病毒文件一旦进入本地，就会自动运行，同时删除勒索软件样本，以躲避查杀和分析。接下来，勒索病毒利用本地的互联网访问权限连接至黑客的C&C服务器，进而上传本机信息并下载加密公钥。然后，利用系统内部的加密处理，是一种不可逆的加密，除了病毒开发者本人，其他人是不可能解密的。加密完成后，还会在桌面等明显位置生成勒索提示文件，指导用户去缴纳赎金。且变种类型非常快，对常规的杀毒软件都具有免疫性。攻击的样本以js、wsf、vbe等类型为主，隐蔽性极强，对常规依靠特征检测的安全产品是一个极大的挑战。
这种病毒最早针对的是科研人员和公司管理人员，有消息称这个病毒可能是来自俄罗斯，一般赎金要求以比特币形式支付。这种病毒暂时未发现可攻击win10系统。
Ransomeware是目前增长最快的一种网络安全威胁因素，被感染的计算机数据将会被加密。之后，受害者需要支付一定的赎金以获取密码来解锁数据。
该种新的勒索病毒会经由网络连线入侵联网电视中。一旦智能联网电视遭到入侵，将会出现屏幕遭锁定的情况，并且会出现指定汇款的消息。如果受害者支付勒赎款项，才能重新使用该智能联网电视，已经在日本出现超过 300 个案例，而且最常被感染而锁定屏幕的时间达到 28 天，要使用智能联网电视的消费者必须当心。
该类型病毒的目标性强，主要以邮件为传播方式。
勒索病毒文件一旦被用户点击打开，会利用连接至黑客的C&C服务器，进而上传本机信息并下载加密公钥。然后，将加密公钥写入到注册表中，遍历本地所 有磁盘中的Office 文档、图片等文件，对这些文件进行格式篡改和加密；加密完成后，还会在桌面等明显位置生成勒索提示文件，指导用户去缴纳赎金。
该类型病毒可以导致重要文件无法读取，关键数据被损坏，给用户的正常工作带来了极为严重的影响。
新型勒索病毒，运行流程复杂，且针对关键数据以加密函数的方式进行隐藏。以下为APT沙箱分析到样本载体的关键行为：
1、调用加密算法库；
2、通过脚本文件进行Http请求；
3、通过脚本文件下载文件；
4、读取远程服务器文件；
5、通过wscript执行文件；
6、收集计算机信息；
7、历文件。
该样本主要特点是通过自身的解密函数解密回连服务器地址，通过HTTP GET 请求访问加密数据，保存加密数据到TEMP目录，然后通过解密函数解密出数据保存为DLL，然后再运行DLL (即勒索者主体)。该DLL样本才是导致对数据加密的关键主体，且该主体通过调用系统文件生成秘钥，进而实现对指定类型的文件进行加密，即无需联网下载秘钥即可实现对文件加密。
同时，在沙箱分析过程中发现了该样本大量的反调试行为，用于对抗调试器的分析，增加了调试和分析的难度。
根据勒索病毒的特点可以判断，其变种通常可以隐藏特征，但却无法隐藏其关键行为，经过总结勒索病毒在运行的过程中的行为主要包含以下几个方面：
1、通过脚本文件进行Http请求；
2、通过脚本文件下载文件；
3、读取远程服务器文件；
4、收集计算机信息；
5、遍历文件；
6、调用加密算法库。
量防止用户感染该类病毒，我们可以从安全技术和安全管理两方面入手：
1、不要打开陌生人或来历不明的邮件，防止通过邮件附件的攻击；
2、尽量不要点击office宏运行提示，避免来自office组件的病毒感染；
3、需要的软件从正规(官网)途径下载，不要双击打开.js、.vbs等后缀名文件；
4、升级深信服NGAF到最新的防病毒等安全特征库；
5、升级企业防病毒软件到最新的防病毒库，阻止已存在的病毒样本攻击；
6、定期异地备份计算机中重要的数据和文件，万一中病毒可以进行恢复。
2017年5月12日，一次迄今为止最大规模的勒索病毒网络攻击席卷全球。据卡巴斯基统计，在过去的十几个小时里，全球共有74个国家的至少4.5万Windows系统电脑中招。而杀毒软件Avast统计的数据更为惊人：病毒已感染全球至少5.7万台电脑，并仍在迅速蔓延中。
美国、中国、日本、俄罗斯、英国等重要国家均有攻击现象发生，其中俄罗斯被攻击得最为严重。而对英国的攻击主要集中在英国国家医疗服务体系（NHS），旗下至少有25家医院电脑系统瘫痪、救护车无法派遣，极有可能延误病人治疗，造成性命之忧。
2017年5月14日，国家网络与信息安全信息通报中心紧急通报：监测发现，在全球范围内爆发的WannaCry 勒索病毒出现了变种：WannaCry 2.0， 与之前版本的不同是，这个变种取消了Kill Switch，不能通过注册某个域名来关闭变种勒索病毒的传播，该变种传播速度可能会更快。请广大网民尽快升级安装Windows操作系统相关补丁，已感染病毒机器请立即断网，避免进一步传播感染。
2017年5月12日晚，中国大陆部分高校学生反映电脑被病毒攻击，文档被加密。病毒疑似通过校园网传播。随后，山东大学、南昌大学、广西师范大学、东北财经大学等十几家高校发布通知，提醒师生注意防范。除了教育网、校园网以外，新浪微博上不少用户反馈，北京、上海、江苏、天津等多地的出入境、派出所等公安网也疑似遭遇了病毒袭击。
中石油所属部分加油站运行受到波及。5月13日，包括北京、上海、杭州、重庆、成都和南京等多地中石油旗下加油站在当天凌晨突然断网，因断网无法刷银行卡及使用网络支付，只能使用现金，加油站加油业务正常运行。
截至14日10时30分，国家互联网应急中心已监测到约242.3万个IP地址遭受“永恒之蓝”漏洞攻击；被该勒索软件感染的IP地址数量近3.5万个，其中中国境内IP约1.8万个。
2017年5月15日，珠海市公积金中心下发了《关于5月15日暂停办理住房公积金业务的紧急通知》，为有效应对Windows操作系统敲诈者病毒在互联网和政企专网大面积蔓延，对住房公积金业务数据和服务终端资料可能造成的安全威胁，珠海市住房公积金管理中心决定加固升级内外网络，暂停办理所有住房公积金业务。
俄罗斯：内政部称约1000台Windows计算机遭到攻击，但表示这些计算机已经从该部门计算机网络上被隔离。
英国：2017年5月13日，全球多地爆发“WannaCry”勒索病毒，受影响的包括英国16家医院（截止北京时间5月13日5点）。
朝鲜：在这大范围的攻击下逃过一劫，守住了一方净土。
日本：日本警察厅当天表示在该国国内确认了2起，分别为某综合医院和个人电脑感染病毒，并未造成财产损失。尚不清楚日本的案例是否包含在这150个国家中。
秀友百科词条内容均由网友提供，仅供参考。如发现词条内容有问题，请联系管理员。