中毒之后自行关机的Cryakl勒索病毒

2018-11-06

威胁等级：★★★★
Cryakl勒索病毒主要通过垃圾邮件传播，起初针对俄罗斯的用户，但近年来正在逐步扩大攻击范围。病毒运行后遍历所有文件，加密文件并更改文件名称，然后立即关闭中毒电脑，直到受害用户打开电脑后才会发觉。

病毒介绍

Cryakl勒索病毒在2014年被发现，起初通过垃圾邮件传播，主要是针对俄罗斯的用户，大部分赎金要求都是用俄语写的。然而研究表明，Cryakl不局限与俄罗斯市场，在2016年Cryakl的作者确立了勒索即服务（Raas）的商业模式，购买到此服务的人以此构建攻击其他地区的用户，正在逐步扩大攻击范围，从发现活跃至今，俄罗斯、意大利、德国和日本都受到了Cryakl的攻击。

传播方式：垃圾邮件、恶意链接

静态检测：V17 ESM 网络版安全云终端防毒墙预警系统 TSA

积极防御：瑞星之剑

视频测试MD5：acb81bccaa336b0344942c76171f4f63

测试版本CL 1.5.1.0 勒索邮箱 dorispackman@tuta.io

病毒攻击视频：

查杀病毒视频：

拦截病毒视频：

病毒分析

病毒运行后遍历文件

图：遍历文件

病毒还会枚举加密局域网共享磁盘的文件

图：遍历局域网共享文件夹

病毒会加密以下后缀文件：

.1cd .3gp .7z .a3d .abf .accdb .arj .asm .avi .cdr .cdx .cer 
.cpt .csv .db3 .dbf .doc .docx .fbf .fbk .fbw .fbx .fdb .gbk 
.gho .gzip .iv2i .jpeg .jpg .keystore .ldf .m2v .m3d .max .mdb 
.mkv .mov .mp3 .mpeg .nbd .nrw .nx1 .odb .odc .odp .ods .odt 
.old .orf .p12 .pdf .pef .ppt .pptm .pst .ptx .pz3 .qic .r3d 
.rar .raw .rtf .rwl .rx2 .sbs .sldasm .sldprt .sn1 .sna .spf 
.sr2 .srf .srw .tbl .tis .txt .wps .x3f .xls .xlsx .zip

被加密文件内容