您的位置:首页 > 电脑软件

“爱马仕”勒索病毒来袭,敲诈者中的奢侈品

发布时间:2018-04-18 13:06:01  来源:互联网     背景:

  近期,360安全团队的安全专家发现一款名为“爱马仕”的勒索病毒又一次开始在国内传播。这次的勒索病毒主要的攻击目标是Windows服务器,且此勒索病毒超过九成是通过远程桌面传播的。最让人头痛的一点是,该勒索病毒除了不加密exe、dll、ini、lnk几种类型的文件外,其余的类型的文件它都会加密。

图1:敲诈提示信息

  文件被“爱马仕”勒索病毒加密后,被加密的文件名后缀会变为.HRM,并且会收到来自敲诈者的提示信息,向用户索要0.8个比特币作为赎金,按发稿时汇率换算,相当于人民币32000元。此次勒索病毒独特的后缀和昂贵的赎金也是其取名为“爱马仕”的原因。

图2:被加密后的文件

    “挑剔的”勒索病毒

  此次的勒索病毒会先检测中招者磁盘的剩余量,如果获取磁盘剩余量失败或者是磁盘的容量不足4G,勒索病毒就会停止工作。若磁盘空间充足,则会通过动态获取的方法加载后续操作所需要的函数,以此来躲避杀毒软件的静态查杀。

  其次,此次勒索病毒会检测当前操作系统的语言,若发现系统语言是俄语、乌克兰语或白罗斯语则不会继续加密。曾经名噪一时的Locky家族勒索病毒的代码中,也有类似的判断逻辑,我们有理由相信这是一种病毒作者对泛俄语地区用户的保护,也可能是对这些地区的栽赃抹黑。

    文件加密过程:

  该勒索病毒会在本地生成两个文件:

  1. PUBLIC为病毒在本地生成的RSA密钥对中的公钥部分

图3:RSA公钥写入PUBLIC文件

  2. UNIQUE_ID_DO_NOT_REMOVE则分为两部分,其第一部分是用256位的AES密钥去加密2048位的RSA的私钥,而第二部分是用病毒中硬编码的RSA公钥去加密AES密钥。

图4:生成UNIQUE_ID_DO_NOT_REMOVE文件

  完成后,病毒会将刚刚生成的PUBLIC文件中的RSA公钥读取出来,在稍后进行的文件加密操作中,用于对加密密钥的再加密工作。所有加密工作完成后,病毒还会进行一些其他的善后工作。首先是删除卷影副卷,以及删除后缀名为.vhd、.bak、.bac、.bkf、.wbcat以及文件名包含backup字符串类型的文件——因为这些文件都可能是备份文件。之后,并对会再次检测桌面目录中是否有生成敲诈信息,如果没有就生成一份敲诈信息。确认敲诈信息存在后,病毒会将这份桌面上的 DECRYPT_INFORMATION.html敲诈信息文件直接运行起来。最后删除病毒自己。

  勒索病毒读取并解密自身资源,释放勒索信息,然后从自身资源中获取勒索邮箱地址。邮箱地址有两个:一个是dechhelp#airmail.cc,另一个是dechsupp#cock.lio。其中后者为备用邮箱。勒索者会通过邮箱向受害者索要赎金。

图5:与黑客邮件回话内容

  在线服务器一直以来都是黑客们最常攻击的目标,而勒索病毒为这种攻击提供了一个新的变现渠道。一般来说,服务器上的数据比普通PC端的更具价值,中了勒索病毒以后也更愿意交付赎金,对于疏于防护服务器的中小企业来说是个不小的威胁。因此360安全专家提醒广大用户在开启远程桌面时要尽可能避免使用默认的用户名和使用复杂的口令,严格控制账户权限,定期更换口令,并且尽早安装360安全卫士进行防护。






  声明:本文仅为传递更多网络信息,不代表本站观点和意见,仅供参考了解,更不能作为投资使用依据。


返回网站首页

本文评论
腾讯手机管家联动哈尔滨警方推“警民亲情守护”功能,开启防御电信网络诈骗的新路径
从诈骗电话到诈骗短信,不法分子精心设计骗局,一些用户因此不幸遭遇财产损失。面对电信网络诈骗,......
日期:05-23
微软计划推出Windows Insider App:iPhone/安卓用户都能用
9月27日消息 在Ignite 2018大会的第三天,微软宣布正在为Windows Insiders测试会员开发一款新应用。......
日期:09-27
Windows 10新版17755发布:免数据线发送、接收手机短信
9月8日消息,微软开始推送Windows 10 RS5快速预览版17755系统更新,隶属于RedStone 5,距离上次1775......
日期:09-08
微软正式宣布推出Remote Desktop远程桌面网页版
微软现在宣布了Remote Desktop远程桌面Web客户端的公众预览版,允许用户从浏览器访问虚拟化的应用程......
日期:04-01
网易蜗牛读书 iPad 版本正式上线 网友呼声终实现
近日,网易蜗牛读书正式发布了 iPad 版本,该版本以书籍阅读为主要功能,主打极简、精致的沉浸式阅......
日期:09-18
新增深色模式:苹果全新MacOS Mojave系统上线
(原标题:苹果全新一代电脑操作系统MacOS Mojave正式开始推送)...
日期:09-25
网友一夜之间“一无所有” 支付宝回应:先补偿损失资金
近日,一篇《这下一无所有了。》的帖子在豆瓣发表,文中讲述了一名网友在7月30日半夜起来,发现自己......
日期:08-04
鲁大师3.15假机报告出炉:你深陷假机重灾区了吗?
3.15消费者权益日马上就要到了,手机打假也逐渐被人们所关注。鲁大师,作为手机打假的领导者,是一......
日期:03-14
Win10份额三年未超过Win7?原因竟是这样的!
不知不觉,Windows10也已经不是什么新兵了,这款微软的拳头产品在市面上已经征战了足足三年。...
日期:09-28
“永恒之蓝”漏洞利用再现 腾讯御见捕获WannaMiner挖矿木马
近年来,伴随比特币等区块链资产价格大幅飙升,巨额利益的刺激,数字货币挖矿的热潮随之兴起。与此......
日期:03-20
腾讯手机管家安卓7.6.2版本上线,首推“安全实验室”直观展现病毒形势
随着智能手机使用频率的提升,用户更加关注手机安全和使用技巧。为了帮助用户获得更安全、便捷的手......
日期:04-28
体验1天腾讯文档后,我把其他在线文档都卸载了
最近,办公室有些不正常。 之前为了一篇稿件和大家吵得不可开交的小A现在出奇地安静;...
日期:04-20
电脑办公十大车祸现场,腾讯文档来解围
我们每天都在和办公软件朝夕相处,不管是基础文档、表格的制作还是OA体系、各部门的对接都离不开办......
日期:04-20
担心新学期flag又落空?搜狗文档翻译为日韩专业学生提供神助攻
日韩小语种是高校语言类专业里的“香饽饽”,受到很多大学生的青睐。然而语言文化博大精......
日期:09-04
母亲节献礼指南,腾讯手机管家贴心守护你的她
明天就是母亲节了,有的人会选择回家陪妈妈过节,而远在外地打拼的年轻人只能通过购买礼品来表达心......
日期:05-12
价格暴涨 全线缺货 最近Intel处理器缘何如此疯狂
最近几天,笔者在微博收到了越来越多的网友私信,表示Intel第八代酷睿处理器出现了大面积的价格暴涨......
日期:09-12
美图正式上线社交功能!除了P图还可交朋友?
9月20日,美图秀秀新版本上线,正式向社交平台转型。 最新版本的美图秀秀直接将社区放在首页,此前版本需要跳转才能进入...
日期:09-21
Informatica发布2018春季通用版
为企业提供人工智能驱动并用于大规模混合数据管理的创新功能 · 面向集成平台即服务(iPaaS)的大数据 ·...
日期:05-31
谷歌和三星宣布合作 使支持RCS的短信应用无缝运行
谷歌已宣布与三星合作,使Android Message和三星消息应用程序使用RCS通讯服务无缝地协同工作。该项......
日期:09-13
Win10将退役“磁盘清理”功能:力推更智能的存储感知
在上周微软发布的Windows 10新预览版Build 17758中,再次隆重介绍了Storage Sense(存储感知)功能。...
日期:09-17