瑞星：敲诈病毒新变种中毒后1054种文件全加密

2016-11-01

近日，瑞星“云安全”系统截获一种新型敲诈病毒，该病毒加密文件高达1054种，文件统一加密为.encrypted格式，进而勒索赎金1比特币（约人民币4500元）。

近日，瑞星“云安全”系统截获一种新型敲诈病毒，该病毒加密文件高达1054种，文件统一加密为.encrypted格式，进而勒索赎金1比特币（约人民币4500元）。如果用户没有在规定时间内向黑客付款，被加密的文件将永远无法恢复。目前，瑞星杀毒软件、瑞星企业终端安全管理系统软件等个人及企业安全产品均可对该病毒进行查杀。

图：勒索提示信息

瑞星安全专家建议：

1、定期备份系统与重要文件，并离线存储独立设备；

2、使用专业的电子邮件与网络安全工具，可分析邮件附件、网页、文件是否包括恶意软件，带有沙箱功能；

3、使用专业的反病毒软件、防护系统，并及时更新；

4、不打开可疑邮件、可疑网站和可疑链接；

5、经常给操作系统、设备及第三方软件更新漏洞补丁；

6、不访问和使用来路不明的网络共享和移动介质；

7、设置网络安全隔离区，确保即使感染也不会轻易扩散；

8、针对BYOD设置同样或更高级别的安全策略；

9、加强员工（用户）安全意识培训，不要轻易下载文件、邮件附件或邮件中的不明链接；

10、发现可疑文件及时上报病毒中心。

接下来，瑞星专家将对这种新型敲诈病毒的运行流程进行全面分析：

首先，病毒会解密出后续要用到的一些数据，如：要加密的文件类型、加密后文件的扩展名、勒索提示信息等。

图：部分文件类型

然后，病毒开始检测运行环境是否为虚拟环境，也就是检测环境中是否有VBoxService.exe、vmtoolsd.exe、wireshark.exe、Ollydbg.exe等进程存在，运行环境是否为VirtualBox、VMWare 、Virtual_pc、Anubis等，如果检测出“是”，则病毒进程直接退出不再执行加密操作。此行为是病毒作者为了反调试进行的设计，目的是给病毒分析制造困难。