文章总结： 本文系统梳理勒索软件从1989年至今的发展史，分为锁屏型、加密型、混合型及破坏型四类，剖析前勒索时代与锁屏勒索时代的代表性样本及技术演进，指出早期因支付、加密、传播等缺陷未能形成规模威胁，为理解勒索产业演变提供技术参考。 综合评分： 80 文章分类： 恶意软件,威胁情报,逆向分析

第1篇-勒索软件发展史——从加密木马到勒索产业帝国

原创

pandazhengzheng pandazhengzheng

安全分析与研究

2026年8月4日 22:00 广东

在小说阅读器读本章

去阅读

网络安全领域最具破坏性的威胁形态，如何从一张3.5英寸软盘演变为年损千亿美元的地下产业帝国

一、勒索软件定义与分类

1.1 正式定义

勒索软件（Ransomware）是一种恶意软件类型，其核心行为特征为：通过技术手段限制或剥夺受害者在受感染系统上的数据访问能力，并以此要挟受害者支付赎金以恢复访问权限。根据美国国家标准与技术研究院（NIST）的定义，勒索软件是”一种通过加密或锁定手段阻止用户访问系统或数据，直到支付赎金的恶意软件类型”。

从技术本质而言，勒索软件的攻击链包含三个核心要素：

• 剥夺控制：通过加密、锁定、删除等手段使受害者丧失对数据或系统的控制权
• 勒索要挟：以恢复控制权为条件，要求受害者支付经济补偿
• 支付通道：建立匿名化支付机制以完成赎金交付

1.2 分类体系

根据技术实现方式和攻击行为特征，勒索软件可划分为以下四类：

| 分类 | 英文术语 | 技术原理 | 数据可恢复性 | 典型代表 | | — | — | — | — | — | | 锁屏勒索软件 | Locker Ransomware | 锁定操作系统界面，阻止用户交互 | 高（数据未被加密） | Reveton, Winlock | | 加密勒索软件 | Crypto Ransomware | 使用强加密算法加密用户文件 | 低（无密钥则无法解密） | CryptoLocker, WannaCry, LockBit | | 混合型勒索软件 | Hybrid Ransomware | 同时执行锁屏与加密操作 | 低 | Petya (部分变体) | | 伪装勒索/破坏软件 | Wiper Ransomware | 伪装为勒索软件，实际破坏数据 | 极低（数据已被销毁） | NotPetya, Shamoon |

1.3 分类详细说明

1.3.1 锁屏勒索软件（Locker）

锁屏勒索软件是勒索软件的早期形态，其技术实现相对简单。该类恶意软件通过修改系统注册表、替换Shell程序或调用Windows锁定API等方式，阻止用户正常访问操作系统桌面。核心特征如下：

• 不破坏数据：用户文件完整保留，仅阻止交互访问
• 技术门槛低：无需实现复杂加密算法，依赖系统API即可实现
• 恢复可能性高：通过安全模式启动、系统还原等方式通常可绕过锁定
• 攻击面有限：主要针对Windows操作系统

1.3.2 加密勒索软件（Crypto）

加密勒索软件是当前勒索威胁的主流形态，其通过密码学手段对用户文件进行加密，使数据在数学意义上不可访问。核心特征如下：

• 数据级破坏：直接作用于文件内容，而非系统界面
• 加密强度高：采用RSA、AES等标准加密算法，暴力破解不可行
• 密钥管理关键：采用混合加密体系，对称密钥加密文件，非对称密钥保护对称密钥
• 恢复可能性低：若无密钥或存在实现缺陷，数据无法恢复

1.3.3 混合型勒索软件（Hybrid）

混合型勒索软件结合了锁屏与加密两种技术手段，通常先加密文件再锁定系统，以增加心理压力和技术恢复难度。

1.3.4 伪装勒索/破坏软件（Wiper）

Wiper类恶意软件以勒索为伪装，实际目的是数据破坏而非经济勒索。其核心特征为：

• 加密密钥不可恢复：不将加密密钥发送至C2服务器，数据无法解密
• 破坏性覆盖：部分变体在加密后直接覆写原始数据
• 政治/军事动机：通常与国家级网络行动相关
• 伪装目的：以勒索软件面目出现，误导安全分析人员

二、前勒索时代（1989-2005）

2.1 AIDS Trojan（1989）——勒索软件的起源

1989年，哈佛大学-trained进化生物学家Joseph Popp博士创建了世界上第一个勒索软件——AIDS Trojan（又称PC Cyborg Virus），标志着勒索软件这一威胁形态的诞生。

2.1.1 事件经过

Joseph Popp以”世界卫生组织艾滋病会议”的名义，向约20,000名参会者邮寄了包含恶意软件的3.5英寸软盘。软盘标签标注为”AIDS Information Introductory Diskette”，要求收件者将软盘插入计算机以获取艾滋病相关信息。该软盘包含一个名为AIDSOUT.EXE的程序，安装后会在系统中潜伏，在系统启动89次后激活恶意载荷。

2.1.2 技术分析

AIDS Trojan的技术实现如下：

攻击链流程：
1. 用户插入软盘并执行AIDSOUT.EXE
2. 程序在C:\盘创建隐藏目录，复制系统文件
3. 修改AUTOEXEC.BAT，指向恶意程序路径
4. 系统启动计数器递增
5. 当启动次数达到89次时，触发加密载荷
6. 使用对称加密算法加密C:\盘根目录下的文件
7. 显示勒索信息，要求支付189美元至巴拿马邮政信箱

加密实现细节：

| 项目 | 详情 | | — | — | | 加密算法 | 对称加密（简单替换密码） | | 加密目标 | C:\盘根目录文件 | | 加密触发条件 | 系统启动89次 | | 密钥管理 | 密钥硬编码于程序中 | | 支付方式 | 邮寄支票至巴拿马邮政信箱 | | 赎金金额 | 189美元（年度许可费378美元） |

2.1.3 弱点与破解

AIDS Trojan存在严重的技术缺陷：

• 使用对称加密：加密密钥硬编码于程序体内，可通过逆向工程提取
• 支付机制原始：要求邮寄纸质支票至物理地址，完全不具备匿名性
• 触发条件可预测：89次启动的延迟机制给了安全人员充足的分析时间
• 加密范围有限：仅加密根目录文件，子目录不受影响

安全研究员Jim Bates于1990年开发了AIDSOUT解密工具，成功恢复了被加密的文件。该工具通过逆向分析提取了硬编码的加密密钥，实现了文件解密。

2.1.4 历史意义

尽管AIDS Trojan在技术上极为原始，但其确立了勒索软件的核心范式：

1. 通过技术手段限制数据访问
2. 要求受害者支付经济补偿
3. 承诺支付后恢复数据访问

这一范式至今仍是所有勒索软件的基础逻辑。

2.2 Gpcode家族（2004-2008）

Gpcode是早期加密勒索软件的重要代表，由卡巴斯基实验室持续跟踪。该家族从2004年开始出现，经历了多次技术迭代。

2.2.1 Gpcode演化历程

| 变体 | 年份 | 加密算法 | 密钥长度 | 破解状态 | | — | — | — | — | — | | Gpcode.a | 2004 | 自定义对称加密 | 56-bit | 已破解 | | Gpcode.e | 2005 | 自定义对称加密 | 56-bit | 已破解 | | Gpcode.g | 2006 | 自定义对称加密 | 64-bit | 已破解 | | Gpcode.i | 2006 | RSA | 260-bit | 已破解 | | Gpcode.ak | 2008 | RSA | 330-bit | 已破解 | | Gpcode.ao | 2008 | RSA | 1024-bit | 理论可破（耗时极长） |

2.2.2 技术演进特征

Gpcode家族的技术演进反映了早期勒索软件在加密强度上的持续升级：

• 第一阶段（2004-2006）：使用自定义对称加密算法，密钥长度短，可暴力破解
• 第二阶段（2006）：转向RSA非对称加密，但密钥长度不足
• 第三阶段（2008）：采用RSA-1024，加密强度显著提升

Gpcode.ao的RSA-1024加密在当时已构成实质性威胁。卡巴斯基实验室联合其他安全厂商，通过分布式计算项目尝试破解RSA-1024密钥，但耗时过长，不具备实际操作价值。

2.3 其他早期勒索软件

2.3.1 Archiveus（2006）

Archiveus是已知最早的将文件压缩至密码保护的ZIP归档文件中的勒索软件。其技术实现为：

• 将My Documents目录下的所有文件打包至一个加密的ZIP归档中
• 删除原始文件
• 要求用户访问特定网页获取密码
• 密码最终被安全研究人员发现：”mf2lro8sw03ufvnsq034jfowr18f3cszc20vmw”

2.3.2 Krotten（2005）

Krotten是早期勒索软件的另一个变体，其特点为：

• 修改Internet Explorer主页
• 禁用任务管理器和注册表编辑器
• 显示勒索信息要求拨打电话
• 使用弱加密，可被安全工具移除

2.4 早期勒索软件失败原因分析

1989年至2005年间，勒索软件未能形成规模性威胁，其根本原因如下：

| 失败因素 | 详细说明 | | — | — | | 支付机制缺陷 | 依赖邮寄支票、银行转账等可追踪支付方式，攻击者身份易暴露 | | 加密强度不足 | 早期使用对称加密或短密钥RSA，可被暴力破解或逆向分析 | | 传播手段受限 | 依赖物理介质（软盘）或简单邮件附件，传播效率极低 | | 自动化程度低 | 缺乏自动化的密钥生成、C2通信和支付验证机制 | | 互联网普及度低 | 1989-2000年间个人计算机和互联网普及率低，潜在受害者基数小 | | 安全软件对抗 | 早期杀毒软件即可检测和清除这些简单恶意软件 |

三、锁屏勒索时代（2005-2012）

3.1 Reveton——警察锁屏勒索软件

2012年，Reveton的出现标志着锁屏勒索软件达到了前所未有的规模和复杂度。Reveton被称为”警察木马”（Police Trojan），因其伪造执法机构的警告信息而得名。

3.1.1 技术分析

Reveton 攻击链：

`

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：安全分析与研究 pandazhengzheng pandazhengzheng《第1篇-勒索软件发展史——从加密木马到勒索产业帝国》