Index Engines 警告的新型勒索软件趋势是什么？

Index Engines 表示，新型勒索软件通常会在不完全加密的情况下损坏文件，这改变了恢复工作的运作方式。

为什么攻击者可能更倾向于损坏文件而非加密它们？

仅损坏文件的一部分或覆盖数据可能比完全加密更快、更难被发现，因为许多防御措施被调校为检测大规模加密模式。

对于损坏，文件可能看起来存在但无法使用，损坏可能蔓延到备份中，而且团队如果不逐一检查，可能不知道哪些文件已损坏。

如果备份软件按计划复制已损坏的文件，好的版本可能随时间被坏的版本覆盖。

保留版本化备份并设置足够长的保留期，使隐蔽的损坏不会使好的副本过期失效，同时保留一份攻击者无法触及的离线或断开的副本。

据数据保护公司 Index Engines 称，数据恢复团队正面临更严峻的考验。该公司表示，新型勒索软件通常会在不完全加密的情况下损坏文件。这听起来像是一个微小的技术区别，但它改变了恢复工作的运作方式。对于任何依赖备份的人来说，勒索软件数据损坏备份如今是一个值得理解的组合。

原始报告篇幅简短，因此本文严格遵循 Index Engines 所述内容，并补充有关文件损坏和备份实践运作方式的通用背景知识。在我们解释机制的地方，我们描述的是常见的技术推理，而非报告中的主张。

报告陈述了这一趋势，但在我们可获得的摘要中，并未详细说明其背后的动机。一些通用观点有助于解释为什么攻击者可能倾向于损坏而非完全加密。

对每个文件进行完全加密需要时间和计算资源。仅损坏文件的一部分，或以使其无法使用的方式覆盖数据，可能更快。它也可能更难被察觉。许多防御措施被调校为寻找熟悉的大规模加密模式，例如文件被重命名或出现勒索信。看起来更像普通文件错误的损坏，起初可能不太引人注意。

对受害者来说还有一个实际后果。如果文件被加密，解密密钥有时可以恢复它们。如果文件被损坏，可能没有什么可解密的。唯一可靠的恢复途径是一份干净的副本。

Index Engines 表示，恢复团队因此面临更艰巨的工作。原因很直接：通常的恢复假设不再成立。

最后一点最为重要。只有当你知道哪个恢复点是干净的，备份才有用。没有这一信息，恢复可能变成缓慢的反复试验。

目标是至少保留一份干净的、未被触碰的数据副本，使攻击者无法触及或更改。以下几个习惯可以帮助个人和小型组织实现这一目标。

保留版本化备份。 版本化存储文件的多个历史副本，而不仅仅是最新副本。如果今天的版本已损坏，昨天或上周的版本可能仍然完好。将保留期设置得足够长，以便缓慢、隐蔽的损坏不会在你察觉之前就使好的副本过期失效。

保留离线或断开的副本。 一直插着的备份驱动器可以被任何触及你电脑的东西所触及。每次备份后轮换断开连接的驱动器可以限制这种暴露。

尽可能使用不可变存储。 不可变备份在设定的时间段内无法被更改或删除，即使是管理员账户也不行。这使它们能够抵御加密和损坏。我们关于不可变备份作为抵御勒索软件的最后一道防线的详解介绍了其运作原理，以及为什么攻击者现在直接针对恢复系统。

分离你的凭据。 备份系统不应与日常账户共享同一登录信息。如果攻击者接管了一个日常使用的账户，他们不应自动获得对你备份的访问权限。

测试恢复，而不仅仅是备份。 报告成功的备份任务只能告诉你数据已被复制。定期恢复一些样本文件并打开它们。这是在你需要数据之前发现静默损坏的最简单方法。

由于损坏可能比加密更安静，早期检测很重要。注意以下迹象：

组织可以添加监控，在大量文件短时间内发生变化时发出警报。个人可以通过抽查重要文件夹并阅读备份软件通知（而不是忽视它们）来获得大部分好处。

如果你怀疑文件已损坏，请将受影响的设备从网络断开，并在备份任务用好版本覆盖坏版本之前停止它们。然后确定最后一个已知的干净恢复点。

Index Engines 的报告提醒我们，恢复规划不能假设勒索软件总是会以勒索信和锁定文件的方式宣告自己的存在。如果损坏是部分的且安静的，备份的质量决定了你能恢复多少。

对于家庭用户来说，这意味着对重要数据保留不止一份副本，其中至少一份保持离线。对于小型组织来说，这意味着版本化和不可变的副本、备份系统的独立凭据，以及定期的恢复测试。这些都不需要大预算，但确实需要在出问题之前加以关注。

勒索软件数据损坏备份是一个你可以通过几个刻意的步骤来准备应对的问题。本周花时间检查你的设置，并阅读我们的不可变备份指南，深入了解如何保护你赖以恢复的系统。