多后缀伪装成为勒索软件投递新通道
近期，多地网络安全监测机构相继发布预警，一种以“文件名多后缀”为核心伪装手段的勒索软件投递方式正在快速蔓延。攻击者将恶意可执行文件命名为“合同.pdf.exe”“发票.docx.scr”“简历.jpg.bat”等形式，利用操作系统默认隐藏已知文件扩展名的设置，使受害者在资源管理器中只看到“合同.pdf”“发票.docx”等看似正常的文档名称，从而放松警惕、双击运行。一旦执行，勒索软件即在后台完成加密准备，对本地磁盘及可访问的网络共享目录中的文档、图片、数据库文件实施高强度加密，并生成勒索说明文件，要求受害者以加密货币支付赎金。安全专家指出，此类攻击的门槛并不高，但欺骗性极强，普通用户稍有不慎便可能中招，其危害不容低估。
默认隐藏扩展名放大了视觉欺骗效果
这一骗局之所以屡屡得手，与主流操作系统长期默认“隐藏已知文件类型的扩展名”密切相关。在该设置下，系统仅显示一个点号之后被识别为“已知类型”的部分，而真正的可执行后缀往往被隐藏。攻击者正是利用这一视觉差，把“.exe”“.scr”“.js”“.vbs”等危险后缀藏在末尾，使文件图标与名称看起来与普通文档无异。更隐蔽的手法还包括在文件名中使用双向文本控制字符，让后缀在显示顺序上发生颠倒，进一步干扰用户判断；有的样本甚至在名称中加入大量空格或特殊符号，使真实后缀被推出可见区域。若不主动开启“显示文件扩展名”，用户几乎无法凭肉眼识别风险。
勒索链条呈现分工明确的产业化特征
从已披露的样本分析看，多后缀勒索攻击已形成较为清晰的分工链条。初始投递环节多借助钓鱼邮件、即时通讯群文件、网盘分享链接以及伪装成破解软件、外挂工具的下载页面完成；部分攻击者还会将恶意文件打包进压缩包，并在压缩包内使用双后缀名称，诱导用户在解压后直接运行。进入系统后，恶意程序通常先进行环境探测，判断是否存在虚拟机、沙箱或安全软件，再决定是否继续执行。随后，它会尝试关闭系统还原点、删除卷影副本、禁用备份服务，并横向扫描内网共享目录，以扩大加密范围。勒索页面被设置为壁纸或弹出窗口，附带倒计时与赎金支付指引。整个流程环环相扣，显示出明显的产业化、模板化特征。
企业内网与个人终端均面临外溢风险
多后缀勒索攻击的影响并不局限于单台终端。一旦某台接入内网的设备被感染，攻击者可能借助弱口令、未修补漏洞或已窃取的凭据横向移动，对文件服务器、数据库备份目录甚至终端安全管理平台发起攻击。对于企业而言，这意味着业务中断、数据丢失与合规风险的多重叠加；对于个人用户而言，家庭照片、工作文档、证件扫描件等不可替代的数据一旦被加密，损失同样难以挽回。安全机构提醒，近期部分变种还具备“先窃取、后加密”的双重勒索特征，即在加密前已将敏感文件外传，威胁受害者不支付赎金便公开数据，进一步加大了处置难度。
识别多后缀陷阱需从显示设置入手
防范此类攻击的第一步，是让文件后缀“无处藏身”。Windows用户可在资源管理器的“查看”选项中勾选“文件扩展名”，macOS用户可在访达高级设置中开启“显示所有文件扩展名”。开启后，若发现文件名中出现两个及以上后缀，尤其是末尾为“.exe”“.scr”“.com”“.bat”“.cmd”“.js”“.vbs”“.ps1”“.lnk”等可执行或脚本类型，应立即提高警惕，切勿直接双击。对于来源不明的压缩包，解压前应先查看内部文件列表，避免“解压即运行”。此外，邮件附件中的文档若要求“启用宏”或“启用编辑内容”才能查看，也应视为高风险信号。
建立纵深防护降低被加密概率
仅靠用户肉眼识别并不足够，还需要技术手段形成纵深防护。终端侧应部署具备行为拦截能力的杀毒软件与EDR产品，对批量重命名、批量加密、删除卷影副本等异常行为进行实时阻断；邮件网关应加强对双后缀附件、压缩包内可执行文件的检测与隔离；企业应关闭不必要的共享目录写权限，对重要数据实施“3-2-1”备份策略，即至少保留三份副本、使用两种不同介质、其中一份离线存放。同时，及时安装操作系统与办公软件安全补丁，禁用来源不明的宏与脚本宿主，可显著缩小攻击面。
应急响应重在止损而非盲目支付
若不幸中招，应第一时间断开受感染设备的网络连接，防止加密行为向共享目录和其他主机蔓延，并对受影响系统进行取证镜像保存。随后检查备份是否可用，优先从离线备份恢复数据；同时向属地网络安全应急机构与公安机关报案，保留勒索说明、样本文件与日志等证据。安全专家明确建议不要轻易支付赎金，因为支付并不能保证数据被恢复，反而会助长攻击者的气焰，并使自身成为持续被盯上的目标。对于已经出现多后缀文件传播迹象的单位，应及时在内网发布预警，排查近期下载与邮件记录，封堵相关投递来源。
把“看后缀”变成日常安全习惯
多后缀勒索警告的核心，并非要求用户记住所有危险扩展名，而是提醒人们重新审视一个被忽视的细节：文件名并不等于文件类型。在默认隐藏扩展名的环境中，一个看似普通的PDF或Word文档，可能只是一个披着文档外衣的可执行程序。将“显示文件扩展名”设为常态，对双后缀文件保持本能警觉，对陌生附件先核实再打开，这些看似简单的动作，恰恰是阻断勒索链条最经济有效的一环。网络安全没有一劳永逸的解决方案，但每一次谨慎的点击，都是在为自己和所在组织的数据多加一道锁。