不是黑魔法，是一套精心设计的工程。从你点下那个附件开始，机器里每一步发生了什么——这一篇，把机器拆开给你看。

上一篇我们讲了它锁什么、怎么防。这一篇换个视角——钻进机器内部，跟着病毒走完从进门到收工的全程。你会看到它每一步的算计，也会看到防线的每一颗钉子，钉在它作业流程的哪个环节上。

📌 本文看点

— 一次勒索攻击的完整作业链：进门、拆盾、上锁、蔓延、收钱

勒索病毒不会飞。它进门的路，从来只有那几条。

第一条路，藏在附件里。一封伪装成“简历”“发票”“对账单”的邮件，附件名看起来人畜无害——简历.pdf。但很多系统默认隐藏扩展名，它的真名其实是“简历.pdf.exe”。双击打开的不是简历，是一颗已经点火启动的雷。还有更隐蔽的：Office 文档里埋一段宏代码，页面顶上贴着“启用内容才能查看”——你一点那个按钮，就等于亲手替它开了门。

第二条路，藏在链接里。邮件或网页里的短链接，跳到一台挂了马的网站；你的浏览器或插件有没修的漏洞，页面一打开，代码就已经在跑了。全程不需要你点任何确认。

第三条路，是暴力撞门。你的远程桌面开着，密码还是“admin123”这种级别——攻击者用一个字典文件，一晚上撞几千次，总有撞开的那一下。国内的年度报告说得直白：勒索软件最主要的传播方式，就是远程桌面爆破和漏洞利用。它不挑人，它只挑没关的门窗。

很多人以为病毒进门就立刻开始加密。不是的。真正老练的勒索软件，落地后的第一件事，是把你的“救命装置”拆掉。

它做的第一件事：停进程。把你正在跑的办公软件、数据库服务一个个结束掉——不为什么，只是这些程序正占用着文件，文件被占着，它就改写不了。它要的是一块干净的“手术台”。

第二件事：关防护。改注册表、改策略，把杀软的实时防护降级，把防火墙规则改乱，甚至顺手禁掉 Windows 更新——不让你在被锁的这几天里等到救援。

第三件事，也是最狠的一件事：删卷影副本。Windows 有个温柔的功能叫“系统还原”——文件被覆盖或损坏时，电脑在后台悄悄留着的旧版本快照。它是无数人事故后的最后退路。而勒索软件进门的头几分钟，就用一条命令把这层退路整个抹掉。

很多文章讲过“两把锁”：AES 对称加密负责快，RSA 非对称加密负责安全。但真正让这把锁没法砸开的，是另一个设计——钥匙从不落地。

攻击者会在很久之前，就给自己准备好一对 RSA 密钥：公钥和私钥。私钥从头到尾只在攻击者自己的服务器里，从不进入任何一台被感染的电脑。而公钥，被提前编译进病毒本体。

于是当你中招时，流程是这样的：病毒在你的机器里临时生成一个随机的 AES 密钥，用它飞速加密你的文件；然后调用体内那把公钥，把这个 AES 密钥本身也加密；最后把密文钥匙塞进文件末尾或勒索信里。

你的文件是 AES 锁的，AES 的钥匙是 RSA 锁的，RSA 的私钥在攻击者的家里。你机器里的一切——勒索信、密文、工具——都只是公钥在干活。它留给你的，是一把你永远配不出对应钥匙的锁。

加密是数学运算，不是“进行中”的动作——它运行完的那一刻，你的文件在物理上就已经是密文了。所以你拔电源、你重启、你拿去修电脑，都没用。断电砸门，砸不碎已经写进磁盘的数学。

有人算过一笔账：一块几个 TB 的硬盘，全部文件完整加密，怎么也得跑上几十分钟甚至几小时。但真实案例里，勒索软件常常几分钟就宣布全盘拿下。为什么这么快？

秘密一：只加密文件头部。它不加密整个文件，只加密文件的开头几 KB。因为操作系统识别文件，靠的就是头部格式信息——头一变，整个文件就废了。锁门不需要把整面墙拆掉，只需要换掉锁芯。

秘密二：只锁值得锁的文件。病毒体内带着一张目标清单：文档、表格、图片、设计源文件、数据库文件……系统运行必需的文件它绕开——机器还得活着的，不然勒索信弹不出来，倒计时也没人看。

秘密三：从本机到全网络。锁完你的 C 盘 D 盘，它顺着网络共享、映射的盘符，继续爬向公司的服务器和同事的电脑。一个人点开附件，全公司一起倒计时——这不是夸张，是它的标准作业流程。

2017年那次席卷全球的大爆发，就是最好的注脚：一款借了军方漏洞工具的勒索软件，短短几天波及150个国家和地区、30多万台设备，医院停摆、工厂停产。它跑得有多快，就说明这套工程有多成熟。

最让人脊背发凉的一环，是它的“服务流程”设计。感染完成后，病毒会在你机器里生成一个唯一标识——一串数字指纹，代表“你这台机器”。它把指纹连同机器信息发回攻击者的服务器，像在医院挂号。

然后勒索信出场。信里写着：你的编号、收款方式（一个只为你生成的钱包地址）、倒计时，还有一份“免费试解密”——让你挑一个不重要的文件，它当场解开给你看，证明钥匙是真的。像街头骗局先让你赢两把，也像谈判桌上递过来的样品。

倒计时归零前，那串编号在攻击者的服务器上有状态：谁付了钱，谁还在拖，谁标记为“放弃”。全自动的流程里，甚至配着多语种的“客服”。

整套东西运转起来，安静得像一台无人收银机。而你的名字，已经在它的账本上。

讲完这一路，回头看第一篇教你的三道防线，你会发现每一条都卡在它的作业流程上——

备份为什么要离线——因为在线的、挂在机器上的备份，会在落地阶段被它顺手删掉。卷影副本就是先例。

补丁为什么要勤——因为漏洞是它第二喜欢的门，撞门之前它先找没锁的窗。

杀软为什么不能关——因为它进门第一件事，就是关掉它。

病毒不魔法。它是一套冷静的工程，每一步都有目的，每个目的都指向你的数据。你也一样可以冷静地对抗它——用离线的备份，用打满的补丁，用一个关着的 3389 端口。

知道它怎么工作，你就知道该防哪里。下一篇，我们回到你身边，聊聊那些正在替你挡刀的人。