“KeyPass”勒索病毒变种爆发:伪装Windows更新争取加密时间
作者:星期二, 一月 22, 20190

最近“KeyPass”勒索病毒新变种又开始爆发了,该病毒以伪造软件破解工具或恶意捆绑的方式进行传播感染,更可恶的是它会伪装成windows升级更新达到加密目的,用户感染后文档文件会被加密,并添加“.djvu?”、“?.tro?”或“.tfude”等后缀。不过广大用户不必过分担心,目前360解密大师已经第一时间支持解密。

据悉,此次“KeyPass”勒索病毒变种?#35789;?#27769;汹,一旦用户中招,勒索病毒就会发起请求,自动下载病毒木马执行。其中,有三个exe文件分工明确:

1.exe主要执行powershell脚本以尝试关闭Windows Defender的实时防护功能;

2.exe主要修改系统hosts文件,将大部分安全类网站域名屏蔽;

3.exe的下载地址已经失效,而updatewin.exe则是一个伪装windows升级更新界面的勒索病毒,它会用伪造更新进度条且无法点击关闭的方式,为加密本地文件争取时间。

病毒真正开始加密是在获取本地MAC地址之后——从一个指定网址获取随机密钥以及与其配对的ID标识,然后使用该密钥对中招用户电脑中的文件进行加密。被加密后的文?#30340;?#23614;会填充一段?#22336;皗36A698B9-D67C-4E07-BE82-0EC5B14B4DF5}”。

庆幸的是,目前勒索病毒主控端已经失效,导致病毒无法获取随机密钥。但是,勒索病毒仍然可以使用固定密钥进行加密。不过中招的小伙伴们不用着急,打开勒索病毒留下的“_openme.txt”勒索信息查看文本中的Personal ID部分是不是如下固定?#25285;?/p>

360解密大师已支持解密

如果是“固定密钥?#38381;?#31181;情况也别急,中招的小伙伴们只要能?#19994;?#19968;份文档被加密前的原始文件,还是有可能实现解密的!这个文件大小需要超过150KB,最好是被加密数量最多的文件类型,例如Office文档、JPG/GIF?#35745;?#31561;,360解密大师将帮助用户碰撞出密钥用于解密该类型的其他文档。

 

分享:
0

相关文章

写一条评论

 

 

0条评论