专注于恶意软件研究的MalwareHunterTeam（恶意软件猎人小组）在上周发现了一款名为“Zenis”的新型勒索软件。虽然尚不清楚Zenis是如何分发的，但的确已有多名受害者遭到了感染。 MalwareHunterTeam表示，Zenis最令人不安地方在于，它不仅会加密受害者文件，还会寻找并删除受害者的文件备份。另外，Zenis采用了一种自定义的加密方法来加密受害者文件，这种方法基于AES加密算法，在下文中我们将为大家解析。 在执行时，Zenis首先会执行两个检查以确定它是否应该开始加密文件：第一个检查会查看执行的文件是否名为“iis_agent32.exe”，这个检查会以不区分大小写的形式进行；第二个检查则会查看HKEY_CURRENT_USER\SOFTWARE\ZenisService "Active"注册表值是否存在。 如果执行的文件名称不是iis_agent32.exe或者上述注册表值存在，Zenis将终止进程，而不会加密文件。 
如果这两个检查均通过，Zenis将开始创建赎金票据并填写一些信息，如电子邮件和加密数据。 
完成之后，Zenis将执行以下命令来删除卷影副本、禁用启动修复以及清除事件日志。 
另外，Zenis还会检索下图中所示的各种进程并对它们进行终止。 
在完成以上所有准备工作之后，Zenis将开始加密计算机上的文件。在这个过程中，它会扫描整个计算机硬盘，并检索出与下图中扩展名匹配的文件，然后对这些文件进行加密。 
在加密文件时，Zenis会采取“[Zenis-]+[2个随机字符] +[.]+[12个随机字符]”的格式对文件进行重命名。例如，test.jpg在被加密后，文件名将变更为类似“Zenis-4Q.4QDV9txVRGh4”这样的命名。被加密文件的原始文件名和AES密钥将被加密并保存到文件的末尾。 
值得注意的是，Zenis在检索文件以进行加密时，它还会寻检索所有目标文件的备份文件。在发现之后，它将对其进行三次覆，然后进行删除。这样操作的目的很明显，那就是使受害者无法从备份文件恢复文件。 Zenis针对删除的备份文件扩展列表如下： 
最后，一个名为“Zenis-Instructions.html”的赎金票据将被放置，用以告知受害者如何与攻击者进行联系。 
MalwareHunterTeam表示，他们正在对Zenis进行更深入的分析并发布了一个讨论专区，因此并不建议受害者在这个时候向攻击者支付赎金。MalwareHunterTeam怀疑Zenis最大的可能是通过远程桌面服务安装到受害者计算机上的，因此他们还建议我们确保没有运行远程桌面服务的计算机是直接连接到互联网的。相反，使用VPN（虚拟专用网络）在通常情况下都会是一个能够确保安全的好方案。 本文由 黑客视界 综合网络整理，图片源自网络；转载请注明“转自黑客视界”，并附上链接。 |
注册
登录
