2019年5月最新勒索病毒样本分析及数据恢复

1、GANDCRAB病毒
病毒版本：GANDCRAB V5.2
中毒特征：<原文件名>.随机字符串
勒索信息：随机字符串-MANUAL.txt
特征示例： readme.txt.pfdjjafw

---

2、GlobeImposter 3.0病毒（十二×××病毒）
中毒特征：<原文件名>.XXXX4444
勒索信息：HOW_TO_BACK_FILES.txt how_to_back_files.htm
特征示例： readme.txt.Monkey4444
后缀收集：
.China4444 .Help4444 .Rat4444 .Ox4444 .Tiger4444 .Rabbit4444.Dragon4444 .Snake4444 .Horse4444 .Goat4444 .Monkey4444.Rooster4444 .Dog4444 .all4444 .Pig4444 .Alco4444 .Rat4444 .Skunk4444等

---

3、Globelmposterb 5.0病毒
中毒特征：<原文件名>.{邮箱}特征字符
勒索信息：how_to_back_files.htm .rtf后缀文件

特征示例：ReadMe.txt.{Benjamin_Jack2811@aol.com}AOL

后缀收集：

.{Benjamin_Jack2811@aol.com}AOL

.{mattpear@protonmail.com}MTP

.{mrgrayhorse@protonmail.com}MGH

.{CALLMEGOAT@protonmail.com}CMG

.{MOLLYGREENS@PROTONMAIL.COM}MG

.{Killback@protonmail.com}KBK

PedantBack@protonmail.com

.{supportbest@protonmail.com}BET

.{killbillkill@protonmail.com}VC

---

4、Crysis（Dharma）病毒

中毒特征：<原文件名>.ID-<随机8位字符串>.<邮件地址>.特征后缀

勒索信息：FILES ENCRYPTED.txt data files encrypted.txt info.hta

特征示例：readme.txt.ID-16E86DC7.[writehere@qq.com].btc

readme.txt.id-F06E54C7.[decryptmyfiles@qq.com].ETH

后缀收集：

.ETH .btc .adobe .bkpx .tron .bgtx .combo .gamma .block .bip .arrow
.cesar

.[unblock@badfail.info].bat

.[Mailpayment@decoding.biz].bat

.arenabtc@fros.cc

zikr@protonmail.com

zikr@usa.com

decryptmyfiles@qq.com

bebenrowan@aol.com

MailPayment@decoder.com

helpfilerestore@india.com

decryptmyfiles@qq.com

decryptprof@qq.com

1701222381@qq.com

btccrypthelp@cock.li

.[writehere@qq.com].btc

[unlock@cock.li].x3m

---

5、.scaletto后缀病毒

中毒特征：<原文件名>.scaletto

勒索信息：how_to_open_files.html

特征示例：readme.txt.scaletto

勒索邮箱：scaletto@protonmail.com

---

6、.Coockish后缀勒索病毒

勒索文件示例：readme.txt.Coockish

勒索文件：how_to_back_files.html

勒索邮箱：Coockish@protonmail.com fuckish@cock.li

---

7、ITLOCK 病毒

中毒特征：[邮箱].字符-字符.ITLOCK

勒索信息：!README_ITLOCK!

特征示例：[rescompany19@qq.com].63Nv1K7q-xCeWZJaH.ITLOCK

特征后缀收集：.ITLOCK

rescompany19@qq.com

rescompany19@yahoo.com

rescompany19@cock.li

---

8、.firex3m后缀勒索病毒

勒索文件示例：325248.jpg.id-3261642625_[Icanhelp@cock.li].firex3m

后缀特征：.firex3m

勒索文件：!!! DECRYPT MY FILES !!!.txt

勒索邮箱： Icanhelp@cock.li helpme1@cock.li

---

9、.JURASIK后缀勒索病毒

勒索文件示例：readme.txt.[ID-599947564][jurasik@cock.li].JURASIK

勒索文件：JURASIK-DECRYPT.txt

勒索邮箱：jurasik@cock.li

---

10、.phobos后缀勒索病毒

病毒特征：{原文件名}.id[随机字符].[邮箱].phobos

勒索邮箱：

[grunresrife1985@aol.com].phobos

[anticetpt@countermail.com].phobos

.[sigvard.polson@aol.com].phobos 等

---

病毒防范：
1、及时升级操作系统安全补丁，升级Web、数据库等服务程序，防止病毒利用漏洞传播。
2、JBoss、Tomcat、Weblogic、Apache Struts2等服务器组件即时安装安全补丁，更新到最新版本。
3、服务器、Tomcat等登录避免使用弱密码，建议使用“大写字母+小写字母+数字+符号”8位以上密码。
4、重要事情说三遍：异地备份！异地备份！异地备份！

转载于:https://blog.51cto.com/14282593/2398710