TACERT台灣學術網路危機處理中心

[技術]新型勒索軟體使用DiskCryptor與自訂勒索信

發佈日期：2018-11-02

參考位址： https://www.bleepingcomputer.com/news/security/new-ransomware-using-diskcryptor-with-custom-ransom-message/

消息內容：

新型勒索軟體使用DiskCryptor與自訂勒索信

新聞來源：BleepingComputer

最近發現一個新型的勒索軟體，會在受感染的電腦上安裝DiskCryptor並重新開機。在重新開機時，受害者會收到一張自訂的勒索信，向其說明硬碟已經被加密，以及如何支付贖金。DiskCryptor是一個加密程式，它對整個磁碟進行加密，然後在重新開機時提示使用者輸入密碼。此密碼提示出現在Windows啟動之前，使用者必須輸入密碼才能將磁碟解密，並啟動電腦的正常開機流程。

MalwareHunterTeam發現了這個勒索軟體，它是以手動執行、或是被另一個指令碼所呼叫，因為它需要一個傳遞給該程式的參數，這個參數作為DiskCryptor的密碼。攻擊者也可能是透過遠端桌面服務入侵，並手動安裝勒索軟體。在安裝過程中，它會建立一個位於C:\Users\Public\myLog.txt的記錄檔，記錄下加密過程的目前階段。
 
一旦整個磁碟被加密，它會重新開機，受害者會收到一則勒索信，要聯絡mcrypt2018@yandex.com來取得付款的指示。接著繼續等待使用者輸入解密密碼。BleepingComputer已經向勒索信中列出的電子郵件聯絡，但在發表這篇文章時還沒有收到回覆。

用與勒索軟體一同使用的DiskCryptor 並非頭一次看到。在2016年，在一場名為HDDCryptor（又名Mamba）的勒索感染中，我們第一次看到DiskCryptor被使用。在加密電腦後，這些勒索感染也使用自訂的勒索信，但目前看來，該勒索軟體變種是屬於較久以前的家族。

最廣為人知的DiskCryptor 感染是在2016年11月，當時舊金山市政鐵路系統的2112台電腦被Mamba勒索軟體感染。這有效地關閉了其支付系統，並導致乘客在週末可以免費搭乘火車。
 
如何保護自己遠離勒索軟體

為了保護自己不受此勒索軟體或任何變種的影響，良好的使用電腦習慣和安全軟體是非常重要的。首先，你應該始終擁有可靠、經過驗證的資料備份，這些備份可以在緊急情況（如勒索軟體攻擊）時用來還原。
由於這個勒索軟體可能是透過被駭的遠端桌面服務進行安裝，所以確保正確地鎖定RDP是非常重要的。這包括確保執行遠端桌面服務的電腦沒有直接連線到網路。相反地，將執行遠端桌面的電腦放在VPN之後，以便只有在網路上有VPN帳戶的使用者才能存取它們。

同樣重要的是，要設定正確的帳戶鎖定策略，使遠端桌面服務的帳戶很難被暴力破解。要了解更多的詳細資訊，請參閱我們關於鎖定遠端桌面服務的教學。

你應該還要有安全軟體，其不只需要特徵或啟發式偵測，還要有行為偵測才可對抗勒索軟體。例如，Emsisoft Anti-Malware和Malwarebytes Anti-Malware都具有行為偵測，可以阻止許多勒索軟體對電腦加密。

最後且最重要的是，確保你養成以下良好的網路安全習慣，在很多情況下，這些是最重要的步驟：
•備份、備份、備份！
•直到確定是誰發送的之前，不要開啟附件。
•使用VirusTotal等工具掃描附件。
•確保所有的Windows更新一釋出就安裝！還要確保更新所有的程式，特別是Java、Flash和Adobe Reader。比較舊的程式包含安全性漏洞，常被惡意軟體散佈人士所利用。因此，保持更新是很重要的。
•確保有安裝安全軟體。
•使用強度足夠的密碼，不要在多個網站重複使用同一組密碼。
•如果正在使用遠端桌面服務，請不要將其直接連線到網路。相反地，只透過VPN來存取。

回最新消息列表頁