勒索病毒大爆发，教你提前做好预防措施！

2020-08-17

2020年4月，勒索病毒"开始传播，大部分杀毒软件都无法拦截。

勒索病毒，是一种新型电脑病毒，主要以邮件、程序木马、网页挂马的形式进行传播。该病毒性质恶劣、危害极大，一旦感染将给用户带来无法估量的损失。这种病毒利用各种加密算法对文件进行加密，被感染者一般无法解密，必须拿到解密的私钥才有可能破解。

传播途径

勒索病毒文件一旦进入本地，就会自动运行，同时删除勒索软件样本，以躲避查杀和分析。接下来，勒索病毒利用本地的互联网访问权限连接至黑客的C&C服务器，进而上传本机信息并下载加密私钥与公钥，利用私钥和公钥对文件进行加密。除了病毒开发者本人，其他人是几乎不可能解密。加密完成后，还会修改壁纸，在桌面等明显位置生成勒索提示文件，指导用户去缴纳赎金。且变种类型非常快，对常规的杀毒软件都具有免疫性。攻击的样本以exe、js、wsf、vbe等类型为主，对常规依靠特征检测的安全产品是一个极大的挑战。

攻击对象

勒索病毒一般分两种攻击对象，一部分针对企业用户(如xtbl，wallet)，一部分针对所有用户。

病毒规律

该类型病毒的目标性强，主要以邮件为传播方式。

勒索病毒文件一旦被用户点击打开，会利用连接至黑客的C&C服务器，进而上传本机信息并下载加密公钥和私钥。然后，将加密公钥私钥写入到注册表中，遍历本地所 有磁盘中的Office 文档、图片等文件，对这些文件进行格式篡改和加密;加密完成后，还会在桌面等明显位置生成勒索提示文件，指导用户去缴纳赎金。

该类型病毒可以导致重要文件无法读取，关键数据被损坏，给用户的正常工作带来了极为严重的影响。

病毒分析

一般勒索病毒，运行流程复杂，且针对关键数据以加密函数的方式进行隐藏。以下为APT沙箱分析到样本载体的关键行为:

1、调用加密算法库;

2、通过脚本文件进行Http请求;

3、通过脚本文件下载文件;

4、读取远程服务器文件;

5、通过wscript执行文件;

6、收集计算机信息;

7、遍历文件。

样本运行流程

该样本主要特点是通过自身的解密函数解密回连服务器地址，通过HTTP GET 请求访问加密数据，保存加密数据到TEMP目录，然后通过解密函数解密出数据保存为DLL，然后再运行DLL (即勒索者主体)。该DLL样本才是导致对数据加密的关键主体，且该主体通过调用系统文件生成密钥，进而实现对指定类型的文件进行加密，即无需联网下载密钥即可实现对文件加密。

应对方案

为防止用户感染该类病毒，我们可以从安全技术和安全管理两方面入手:

1、不要打开陌生人或来历不明的邮件，防止通过邮件附件的攻击;

2、尽量不要点击office宏运行提示，避免来自office组件的病毒感染;

3、升级到最新的防病毒等安全特征库;

4、升级防病毒软件到最新的防病毒库，阻止已存在的病毒样本攻击;

5、定期异地备份计算机中重要的数据和文件，万一中病毒可以进行恢复。

汇信外贸软件提醒您：为了减小病毒造成的损失，一定要做好重要文件及数据的备份，并采用自动备份和手动备份相结合的方式进行本地备份（服务器本机备份）和异地备份（移动硬盘、其他电脑、百度云盘等）。

推荐阅读

• 轻工外贸行业管理痛点多？外贸管理软件促高效转变
• 外贸管理软件破解食品饮料行业管理痛点
• 喜报丨汇信外贸软件斩获2024理创大赛三等奖
• 外贸管理软件助力汽摩行业突破管理痛点，开拓外贸新局面
• 纺织服装行业：开拓外贸新蓝海丨汇信外贸软件
• 汇信外贸软件与安徽兴贸通签约合作丨喜讯