bip勒索病毒是什么类_工具

BIP后缀的勒索病毒是Crysis的最新变种，

您的位置：网站首页 > 技术乐园 > 阅读文章

勒索病毒 CrySiS 的运行原理及防范方法

CrySiS 是一个知名的勒索病毒，在去年5月被安全厂商围攻后找到了破解的万能密钥，该病毒就销声匿迹了，可最近该病毒经过升级导致万能密钥失效，又满血复活出来祸害万千网民了 — 其加密后的文件的后缀名为java，由于 CrySiS 采用 AES+RSA 的加密方式，目前无法解密，只能等黑客公布新的密钥。下面简单说说它的运行原理。

CrySiS 成功激活后，会先创建一个互斥变量，这个东西就是用来防止病毒多次运行的，也就是病毒在一台电脑上只能激活一次。接着，拷贝自身到系统的 %windir%\System32、%appdata%、%sh (Startup)%、%sh (Common Startup)%目录中，还会释放一个勒索信息的配置文件Infohta，并为它设置—个自启动项，如此就可以在用户重启电脑或者开机时d出一个勒索界面，之后枚举系统的 Windows Driver Foundation、User mode Driver Framework、wudfsvc、Windows Update、wuauserv、Security Center、wscsvc、Windows Management、Instrumentation、Winmgmt、Diagnostic Service Host、WdiServiceHost、VMWare Tools、VMToolsDesktop、Window Manager Session Manager 服务和1c8exe、1cv77exe、outlookexe、postgresexe、mysqld-ntexe、mysqldexe、sqlserverexe 进程, 如果发现这些服务和进程干扰了病毒的数据库文件就会发出终止指令。

然后，寻找电脑的高价值文件并对之进行加密（类似bootini、bootfontbin、iosys之类的文件就跳过)，加密后的文件的后缀变成java，加密的密钥大小块为184字节，前32字节存放RC4加密后的随机数密钥, 该密钥用于之后加密文档。为了加强随机性，病毐通过RDTST函数读取时间计数器，最后通过RC4加密得到密钥。最后，病毒通过调用rundll32exe或mshtaexe进程，执行勒索病毒的勒索信息文件Infohta,d出勒索界面。

需要注意的是，CrySiS勒索病毐的传播是通过RDP暴力破解的方式进行的，因此建议用户关闭系统的RDP服务。什么是RDP服务？它是远程桌面协议的英文缩写（Remote Desktop Protocol)，Windows 系统的标配功能，这个协议的主要用处是管理员可以远程 *** 作管理用户的电脑，不过在人多数情况下普通人是用不到这个功能的。在实际生活中，开启RDP服务的电脑一般设置有账号和密码，CrySiS勒索病毒就通过暴力破解的方式猜出账号和密码，特别是那些常见的组合，很容易被破解，例如账号admin、密码admin等。

另外，CrySiS勒索病毐的变种还有本土化特征，也就是进行了多重免杀，以干扰杀毒软件的判断。不过，随着安全厂商对CrySiS勒索病毐的变种的重视，主流杀毐软件都能査杀此类病毒。

最后，要防范勒索病毒，要注意以下几点：关闭共享目录文件；及时给系统打补丁，修复系统漏洞；不要点击来源不明的邮件以及附件；保证杀毒软件的正常运行；对重要的数据文件定期进行非本地备份；尽量关闭不必要的文件共享权限以及关闭不必要的端口，例如445、135、139、3389等。

计算机病毒（电脑病毒）是编制者在计算机程序中插入的破坏计算机功能或者数据的代码，能影响计算机使用，能自我复制的一组计算机指令或者程序代码。

计算机病毒具有传播性、隐蔽性、感染性、潜伏性、可激发性、表现性或破坏性。计算机病毒的生命周期：开发期→传染期→潜伏期→发作期→发现期→消化期→消亡期。

计算机病毒是一个程序，一段可执行码。就像生物病毒一样，具有自我繁殖、互相传染以及激活再生等生物病毒特征。计算机病毒有独特的复制能力，它们能够快速蔓延，又常常难以根除。它们能把自身附着在各种类型的文件上，当文件被复制或从一个用户传送到另一个用户时，它们就随同文件一起蔓延开来。

勒索病毒（WannaCry），一种“蠕虫式”的勒索病毒软件，大小33MB，被人利用泄露的危险漏洞“EternalBlue”（永恒之蓝）进行传播，勒索病毒肆虐，俨然是一场全球性互联网灾难，给广大电脑用户造成了巨大损失。最新统计数据显示，100多个国家和地区超过10万台电脑遭到了勒索病毒攻击、感染。勒索病毒是自灰鸽子和熊猫烧香以来影响力最大的病毒之一。WannaCry勒索病毒全球大爆发，至少150个国家、30万名用户中招，造成损失达80亿美元，已经影响到金融，能源，医疗等众多行业，造成严重的危机管理问题。中国部分Windows *** 作系统用户遭受感染，校园网用户首当其冲，受害严重，大量实验室数据和毕业设计被锁定加密。部分大型企业的应用系统和数据库文件被加密后，无法正常工作，影响巨大。

WannaCry（又叫Wanna Decryptor），一种“蠕虫式”的勒索病毒软件，大小33MB，由不法分子利用NSA（National Security Agency，美国国家安全局）泄露的危险漏洞“EternalBlue”（永恒之蓝）进行传播[1]。勒索病毒肆虐，俨然是一场全球性互联网灾难，给广大电脑用户造成了巨大损失。最新统计数据显示，100多个国家和地区超过10万台电脑遭到了勒索病毒攻击、感染。[2]勒索病毒是自熊猫烧香以来影响力最大的病毒之一。WannaCry勒索病毒全球大爆发，至少150个国家、30万名用户中招，造成损失达80亿美元，已经影响到金融，能源，医疗等众多行业，造成严重的危机管理问题。中国部分Windows *** 作系统用户遭受感染，校园网用户首当其冲，受害严重，大量实验室数据和毕业设计被锁定加密。部分大型企业的应用系统和数据库文件被加密后，无法正常工作，影响巨大。

一般来说勒索病毒文件恢复有两种解决方案：文件修复、数据解密。但是两种方案是有区别的，下面爱特数据恢复提示你继续往下看。

恢复对象：

文件修复主要对Ms

sql、my

sql、oracel数据库文件进行修复；数据解密是对全部文件进行解密。

恢复要求：

文件修复需相同数据库文件未被加密的备份或相同库结果的空库文件；数据解密是没有要求的。

恢复时间：

修复是根据文件加密情况、库文件大小、修复难度决定。需将加密库文件及备份发给工程师进行分析、评估而定。而数据解密一般需要1-2天（这个由黑客决定）

恢复效果：

文件修复需视具体情况而定；数据解密则是完全恢复（特殊情况外）

恢复费用：

文件修复费用低，解密费用的10-30%；数据解密则特别高（黑客会根据文件重要程度、数量等因素确定）、

文件修复只需恢复数据库文件，且有老的备份文件，修复效果好，即可选择修复，修复费用远远低于解密。文件修复成功收费，无任何风险。解密需恢复所有文件，且要求数据100%完整的，只能选择数据解密。但数据解密费用特别高，只能听黑客摆布，存在被骗的风险。

makop勒索病毒会在局域网内扩散。

makop勒索病毒根据腾讯反病毒实验室威胁情报数据库中查询得知，此文件第一次出现的时间是2017年5月9号。WannaCry的传播方式，最早很可能是通过挂马的方式进行传播。

makop勒索病毒正是因为黑客更换了传播的武器库，挑选了泄露的MS17-010漏洞，才造成这次大规模的爆发。当有其他更具杀伤力的武器时，黑客也一定会第一时间利用。

makop勒索病毒样本运行流程：

makop勒索病毒该样本主要特点是通过自身的解密函数解密回连服务器地址，通过>

该DLL样本才是导致对数据加密的关键主体，且该主体通过调用系统文件生成密钥，进而实现对指定类型的文件进行加密，即无需联网下载密钥即可实现对文件加密。

在沙箱分析过程中发现了该样本大量的反调试行为，用于对抗调试器的分析，增加了调试和分析的难度。

NEMTY勒索病毒被发现可通过受损的远程桌面连接传播

时间：2019-09-06 14:59:41 来源：游侠安全网

概况

近日，美创安全实验室发现了一种全新的勒索病毒，根据它给被加密文件额外附加的文件后缀名，它被命名为“NEMTY”。这是该类型的勒索软件的第一个版本，目前，尚不清楚NEMTY具体是通过何种渠道传播的，但从一个可靠的消息来源获悉，攻击者是通过受损的远程桌面连接(RDP)来传播该病毒的。

病毒情况

美创安全实验室第一时间拿到相关病毒样本，经 virustotal 检测，确认为 NEMTY勒索病毒。NEMTY在执行加密时，使用RSA+salsa20算法加密电脑上的重要文件。加密后，影响用户关键业务运行，且暂时无法解密。

经过分析发现，此新型勒索病毒似乎融合了之前GandCrab和Sodinokibi两款勒索病毒的一些特点，但此勒索病毒代码结构与此前两款勒索病毒都不相同。至于该勒索病毒后期会不会流行爆发，需要持续跟踪观察，请各企业做好相应的防范措施，勒索病毒的重点在于防御。

详细信息

NEMTY勒索病毒和大多数勒索病毒一样，会删除其处理的文件的卷影副本，从而使受害者无法通过windows创建的备份来恢复数据。

如果不幸中招，则存储在计算机上的所有文件都被加密。受害者将能够看到如下图所示的一张赎金票据，提示受害者如何缴纳赎金获取解密工具。

该勒索病毒要求了009981 BTC的赎金，按照目前的行情，大约价值1000美元。为了保持匿名性，支付网站被托管在Tor网络上，攻击者还“贴心”地在赎金票据中给出了Tor浏览器客户端的下载地址。除此之外，攻击者还提供了另一个带有聊天功能的网页的链接，以便指导受害者如何进行付款 *** 作。

防护措施

美创安全实验室再次提醒广大用户，勒索病毒以防为主，目前大部分勒索病毒加密后的文件都无法解密，注意日常防范措施，以尽可能避免损失：

(1)及时给电脑打补丁，修复漏洞。

(2)对重要的数据文件定期进行非本地备份。

(3)不要点击来源不明的邮件附件，不从不明网站下载软件。

(4)RDP远程服务器等连接尽量使用高强度且无规律的密码，不要使用弱密码。

(5)尽量关闭不必要的文件共享。

(6)尽量关闭不必要的端口。

以上为防护勒索病毒的常规方式，为了更好的应对已知或未知勒索病毒的威胁，美创通过对大量勒索病毒的分析，基于零信任、守白知黑原则，创造性的研究出针对勒索病毒的终端产品诺亚防勒索系统。诺亚防勒索在不关心漏洞传播方式的情况下，可防护任何已知或未知的勒索病毒。以下为诺亚防勒索针对这款勒索病毒的防护效果。

美创诺亚防勒索可通过服务端统一下发策略并更新。默认策略可保护office文档如想保护数据库文件可通过添加策略一键保护。

无诺亚防勒索防护的情况下：

在test目录下，添加以下文件，若服务器中了勒索病毒，该文件被加密，增加了nemty后缀，并且无法正常打开。

开启诺亚防勒索的情况下：

双击执行病毒文件，当勒索病毒尝试加密被保护文件，即test目录下的文件时，诺亚防勒索提出警告并拦截该行为。

查看系统上被测试的文件，可被正常打开，成功防护恶意软件对被保护文件的加密行为。

开启堡垒模式的情况下：

为保护系统全部文件，可一键开启诺亚防勒索的堡垒模式。堡垒模式主要针对亚终端，例如ATM机，ATM机的终端基本不太会更新，那么堡垒模式提供一种机制：任何开启堡垒模式之后再进入终端的可执行文件都将被阻止运行，从而实现诺亚防勒索的最强防护模式。

运行在堡垒模式下，执行该病毒，立刻被移除到隔离区，因此可阻止任何未知勒索病毒的执行。

bip勒索病毒是什么类

发表评论

评论列表（0条）