Case background
案件背景
2024 年，某县人民医院业务系统遭勒索病毒攻击，60 余台计算机受到影响；随后该县第二人民医院也出现同类攻击事件。办案单位将相关服务器硬盘送检，委托北京网神洞鉴分析恶意程序样本、可能的入侵工具和传播机制，为两起事件的关联性研判提供技术依据。
网络犯罪社会治理北京网神洞鉴
医院勒索病毒攻击溯源案
通过硬盘镜像、恶意程序分析和隔离环境功能验证，分析两家医院攻击样本的关联及内网传播机制。
Forensic approach
鉴定路径
硬盘镜像与样本提取
对送检服务器硬盘进行逐位镜像和完整性校验，从镜像中提取恶意程序、配置、日志和可疑工具等数据。
样本一致性分析
对两处现场的恶意程序进行哈希和代码特征比对。哈希一致可证明样本文件内容一致，但不能单独证明属于同一次攻击或由同一攻击者实施。
入侵工具功能验证
在隔离环境中验证可疑内网穿透工具建立访问隧道的功能，并结合检材中的配置、运行记录和网络日志分析其是否实际被使用。
攻击行为分析
结合静态分析与动态行为监控，验证勒索程序的文件加密、提示文件生成、主机扫描和横向传播等功能，梳理可能的攻击链路。
Case value
案例价值
- 说明两处恶意程序样本的一致性及可核验的关联特征
- 分析边界突破、文件加密和内网传播的技术机制
- 为事件关联研判、案件侦查和医疗机构安全加固提供依据
Case FAQ
案例相关常见问题
医院遭遇勒索病毒后，可以开展溯源分析吗？
可以。奇安信洞鉴可从硬盘镜像、系统日志、恶意程序、配置文件和网络记录中分析入侵入口、文件加密及内网传播痕迹，梳理攻击时间线。
两家单位发现相同勒索病毒，能分析是否存在关联吗？
可以。相同样本是重要关联线索，结合攻击时间、初始入口、配置、控制基础设施、账号和网络日志，可进一步研判两起事件是否具有共同攻击特征。
勒索病毒的破坏和传播能力怎样验证？
可在严格隔离的实验环境中开展静态分析和动态行为监控，记录文件加密、提示文件生成、主机扫描和横向传播等功能，为事件处置、案件侦查和安全加固提供技术依据。
