新型勒索病毒VIBOROT清静通告

宣布时间 2018-09-28

手艺细节


VIBOROT勒索病毒于2018年9月中旬首次发明，，，，，，，被该病毒加密后的文件扩展名为.enc。。。。。。通太过析该病毒，，，，，，，我们发明其首先通过检查注册表键值(盘算机GUID和产品密钥)来确认是否需要加密被熏染系统中的文件。。。。。。

鉴黑担保网(jhdbw)·最具权威唯一维权担保平台

【VIBOROT通过盘问注册表来判断是否保存特定注册表键值】


若是被熏染系统中保存特定的注册表键值，，，，，，，该勒索病毒不但通过随机数加密天生器天生加密息争密密钥，，，，，，，用来加密系统中的文件。。。。。�；；；；；；；够峤绲氖芎φ咝畔⑼ü齈OST发送到C&C效劳器，，，，，，，其网络如下信息:
盘算机GUID
盘算机名
用户名
VIBOROT勒索病毒加密如下扩展名文件:

鉴黑担保网(jhdbw)·最具权威唯一维权担保平台


鉴黑担保网(jhdbw)·最具权威唯一维权担保平台

【VIBOROT加密� ？？？榇虢赝肌�


VIBOROT勒索病毒还具有键盘纪录功效，，，，，，，其会将纪录的信息发送给C&C效劳器，，，，，，，一旦毗连乐成，，，，，，，其还会下载恶意的二进制文件，，，，，，，并通过PowerShell执行它。。。。。。


鉴黑担保网(jhdbw)·最具权威唯一维权担保平台

【VIBOROT键盘纪录功效代码截图】


VIBOROT勒索病毒使用被熏染机械的Microsoft Outlook自动向被害者的通讯录发送垃圾邮件，，，，，，，其附件为VIBOROT勒索病毒或者是从C&C效劳器下载的恶意文件。。。。。。

鉴黑担保网(jhdbw)·最具权威唯一维权担保平台


鉴黑担保网(jhdbw)·最具权威唯一维权担保平台

【VIBOROT使用Microsoft Outlook发送垃圾邮件代码截图】


熏染该勒索病毒后，，，，，，，其桌面图纸酿成如下勒索信息：

鉴黑担保网(jhdbw)·最具权威唯一维权担保平台

【VIBOROT勒索信息截图】


提防要领


1.不要点击泉源不明的邮件以及附件；；；；；；；
2.不要点击邮件中的可疑链接；；；；；；；
3.实时升级系统，，，，，，，打全系统补�。。。。。�；；；；；；；
4.只管关闭不须要的文件共享权限和不须要的端口；；；；；；；

5.请注重备份主要文档。。。。。。备份的最佳做法是接纳3-2-1规则，，，，，，，即至少做三个副本，，，，，，，用两种差别名堂生涯，，，，，，，并将副本放在异地存储。。。。。。


IOCs


Hash detected as RANSOM_VIBOROT.THIAHAH (SHA256):    
911b25a4d99e65ff920ba0e2ef387653b45789ef4693ef36d95f14c9777a568b
Related malicious URLs:
hxxps://viro(.)mleydier(.)fr
hxxps://viro(.)mleydier(.)fr/noauth/order/
hxxps://viro(.)mleydier(.)fr/noauth/keys/
hxxps://viro(.)mleydier(.)fr/noauth/attachment/

hxxps://viro(.)mleydier(.)fr/noauth/attachment/


参考链接


https://blog.trendmicro.com/trendlabs-security-intelligence/virobot-ransomware-with-botnet-capability-breaks-through/