勒索病毒相关面试问题与解答

勒索病毒相关面试问题与解答考试时间：______分钟总分：______分姓名：______一、单项选择题1.下列关于勒索病毒定义的描述，最准确的是？A.专门窃取用户密码的恶意软件B.通过锁定计算机屏幕并要求支付赎金以恢复访问权限的恶意软件C.仅仅修改系统注册表导致系统无法启动的病毒D.能够自动传播并删除所有本地文件的木马程序2.在勒索病毒的加密技术中，通常采用哪种组合方式来保证加密效率和密钥安全？A.仅使用非对称加密算法（如RSA）加密所有文件B.仅使用对称加密算法（如AES）加密所有文件C.先使用非对称加密算法生成会话密钥，再用该密钥通过对称加密算法加密文件D.先使用对称加密算法加密文件，再用非对称加密算法加密会话密钥3.WannaCry勒索病毒主要利用了微软操作系统的哪个漏洞进行传播？A.SMBv1漏洞（永恒之蓝）B.AdobeFlash漏洞C.WindowsPrintSpooler漏洞D.永恒之火漏洞4.下列哪项技术是勒索软件即服务（RaaS）模式的核心特征？A.勒索病毒代码完全开源B.开发者提供加密工具和支付接口，攻击者负责传播并分得利润C.勒索病毒会自动检测并删除竞争对手的样本D.该模式只针对企业级客户，不针对个人用户5.根据勒索病毒防御的“3-2-1备份原则”，以下描述正确的是？A.至少保留3份数据副本，使用2种不同的介质，其中1份存放在云端B.至少保留3份数据副本，使用2种不同的介质，其中1份存放在本地C.至少保留2份数据副本，使用3种不同的介质，其中1份存放在云端D.至少保留1份数据副本，使用3种不同的介质，其中2份存放在本地6.如果企业内网发现某台服务器正在尝试通过端口445进行大量数据传输，这可能意味着什么？A.服务器正在进行正常的文件共享B.服务器正在遭受勒索病毒的横向移动攻击C.服务器正在下载系统更新D.服务器正在进行远程桌面连接7.Petya勒索病毒（以及后来的NotPetya）与普通的文件加密型勒索病毒最大的区别在于？A.它不要求支付赎金B.它主要加密磁盘的引导扇区，导致系统无法启动C.它只加密图片文件D.它无法在Windows10系统上运行8.在遭遇勒索病毒攻击后的应急响应中，第一步最应该采取的措施是？A.联系黑客支付赎金以获取解密工具B.立即断开感染主机的网络连接，防止病毒横向扩散C.重启服务器以终止加密进程D.删除所有感染文件，然后尝试从备份恢复9.下列哪项不属于勒索病毒的典型传播途径？A.恶意邮件附件（如宏文档、压缩包）B.利用系统漏洞（如SMB、RDP弱口令）C.通过网页挂马下载D.修改系统BIOS设置以持久化驻留10.关于勒索病毒的解密，下列说法正确的是？A.只要支付赎金，黑客百分之百会提供解密密钥B.现有的商业解密工具可以破解所有类型的勒索病毒C.对于某些新型勒索病毒，目前没有公开的免费解密工具，只能通过备份恢复数据D.删除勒索病毒程序后，被加密的文件通常会自动恢复原状二、多项选择题1.勒索病毒常见的加密算法包括哪些？（多选）A.AES-256B.RSA-2048C.RC4D.DESE.XOR2.下列哪些措施可以有效防御勒索病毒的横向传播？（多选）A.及时修补操作系统和应用软件漏洞B.关闭不必要的网络共享服务和高危端口（如445,3389）C.实施网络分段，隔离关键业务系统D.强制执行强密码策略，特别是RDP和SSH服务E.在所有终端安装统一的杀毒软件并开启实时防护3.在样本分析阶段，安全分析师通常会使用哪些工具？（多选）A.ProcessMonitor(Procmon)B.WiresharkC.PEiD或CFFExplorerD.Sandbox（沙箱环境）E.计算器4.勒索病毒家族中，具有代表性的包括哪些？（多选）A.WannaCryB.LockyC.Petya/NotPetyaD.CerberE.CryptoLocker5.当企业遭遇勒索病毒攻击时，以下哪些行为是错误的？（多选）A.在未隔离的情况下，尝试手动解密被加密的文件B.立即断开受影响设备的网络连接C.尝试在受感染的主机上查找解密密钥D.联系网络安全专家进行应急响应E.恢复离线备份中的数据6.无钥加密（Lockerless）勒索病毒的主要特点包括哪些？（多选）A.不需要从受感染主机向黑客服务器发送加密密钥B.病毒代码直接包含在加密后的文件中C.加密过程完全在本地完成D.这种类型的病毒通常通过电子邮件传播E.必须支付赎金才能解密，否则数据永久丢失7.下列哪些属于勒索病毒的防御体系组成部分？（多选）A.补丁管理机制B.终端安全防护（EDR/杀毒软件）C.数据备份与恢复机制D.网络访问控制（NAC）E.限制管理员权限（最小权限原则）8.在应急响应报告撰写中，通常需要包含哪些内容？（多选）A.受影响资产清单B.攻击时间线和入侵路径C.被加密文件的数量和类型D.应急处置措施和结果E.未来改进的安全建议9.关于勒索病毒的勒索信（RansomNote），通常包含哪些信息？（多选）A.支付赎金的比特币地址B.付款截止日期C.支付赎金后的解密密钥获取方式D.病毒的版本号或哈希值E.威胁如果不在规定时间内付款将删除所有备份10.下列哪些场景下，勒索病毒的风险最高？（多选）A.未打补丁的Windows7系统B.公共Wi-Fi环境下使用弱密码登录邮件C.用户点击了钓鱼邮件中的“发票”链接D.定期进行系统更新的服务器E.禁用了所有USB接口的电脑试卷答案一、单项选择题1.答案：B解析：勒索病毒的定义核心在于通过加密或锁定用户数据（文件或系统），迫使受害者支付赎金以恢复访问权限。选项A、C、D虽然具有破坏性，但不符合勒索病毒“索要赎金”的核心特征。2.答案：C解析：勒索病毒通常采用混合加密策略：利用非对称加密算法（如RSA）生成随机会话密钥并安全传输，然后利用该密钥通过高效的对称加密算法（如AES-256）加密海量文件。这样既保证了密钥传输的安全，又保证了加密大量文件的速度。3.答案：A解析：WannaCry勒索病毒利用了微软Windows系统中的SMBv1协议漏洞（代号“永恒之蓝”），该漏洞允许攻击者在局域网内无需用户交互即可远程执行代码并传播病毒。4.答案：B解析：勒索软件即服务（RaaS）是一种商业模式，由黑客组织提供勒索病毒开发工具、支付接口和洗钱服务，而犯罪分子负责传播病毒并分得利润，无需具备高深的代码编写能力。5.答案：A解析：“3-2-1备份原则”是数据保护的最佳实践。即：至少保留3份数据副本；使用2种不同的存储介质（如硬盘+云端）；其中1份副本存放在异地或离线存储（云端属于异地存储的一种）。6.答案：B解析：端口445是SMB（ServerMessageBlock）协议使用的端口，勒索病毒（如WannaCry、Locky）常利用该端口在局域网内进行扫描和横向移动攻击。7.答案：B解析：Petya（以及后来的NotPetya）属于引导扇区加密型勒索病毒，它主要加密硬盘的引导记录，导致操作系统无法启动。这与普通加密用户文件的勒索病毒有本质区别。8.答案：B解析：在发现感染后，首要任务是隔离（断网），防止病毒通过网络扫描和利用漏洞感染内网的其他机器，阻断攻击链条的进一步扩散。9.答案：D解析：虽然某些高级威胁会修改BIOS，但这通常属于Rootkit（启动型木马）的行为，而非勒索病毒主要的传播途径。勒索病毒的主要传播途径是漏洞利用、邮件和网页挂马。10.答案：C解析：目前市场上没有万能解密工具，且黑客支付赎金后不提供解密密钥的情况屡见不鲜。对于新型或未公开密钥的勒索病毒，最可靠的恢复手段是恢复离线备份。二、多项选择题1.答案：A、B、C、D、E解析：勒索病毒可能使用多种加密算法。AES、RSA是常用的高级算法；RC4和DES是历史上曾使用过的对称算法；XOR（异或）是最基础的加密方式，常被用于简单的变种病毒。因此所有选项均有可能被使用。2.答案：A、B、C、D、E解析：防御勒索病毒横向传播需要多管齐下：修补漏洞（阻断路径）、关闭高危端口（关闭大门）、网络分段（物理隔离）、强密码（防爆破）、以及终端防护（防感染）。3.答案：A、B、C、D解析：样本分析常用工具包括：ProcessMonitor（监控进程行为）、Wireshark（抓包分析网络通信）、PEiD/CFFExplorer（分析文件结构、加壳/加密方式）以及Sandbox（沙箱环境运行样本）。计算器不用于样本分析。4.答案：A、B、C、D、E解析：这五个都是历史上极具代表性的勒索病毒家族，涵盖了从早期的CryptoLocker到中期的Locky、WannaCry以及后来的Petya/NotPetya和Cerber。5.答案：A、C解析：应急响应中错误的行为包括：在未隔离的情况下手动解密（可能触发病毒行为导致更多加密）、在受感染主机上搜索密钥（容易误触病毒触发器或被恶意程序劫持）。正确行为是断网、联系专家、恢复备份。6.答案：A、B、C解析：无钥加密（Lockerless）勒索病毒不需要从主机向黑客服务器发送密钥，加密完全在本地完成，且其代码直接嵌入加密后的文件中，这使得传统的密钥交换机制无效。7.答案：A、B、C、D、E解析：勒索病毒防御体系是一个闭环：修补补丁（A）、终端防护（B）、数据备份（C）、网络控制（D）、最小权限管理（E）都是不可或缺的组成部分。8.答案：A、B、C、D、E解析：完整的应急响应报告应包含受影响资产（A）、攻击时间线（B）、影响范围（C）、处置措施（D）以及