360顽固木马(360顽固木马专杀官方下载)

前沿拓展：

近几年来，勒索**蔓延态势日益严峻，全球成千上万的服务器、数据库遭受入侵破坏。其中，Phobos勒索**家族以常年作恶多端而臭名昭著。360安全大脑发布的《2020年6月勒索****分析》显示，就在刚刚过去的六月中，Phobos勒索**家族以21.79%的占比，再度斩获6月勒索**占比榜单亚军，其惊人破坏力可见一斑。

作为勒索“悍匪”中的老牌劲旅，Phobos勒索**首次出现于 2018 年 12 月，因当时会在加密文件后添加后缀名Phobos而得名。和大多勒索**相同，之前国内的Phobos勒索**主要通过利用开放或不安全的远程桌面协议RDP，来进行传播感染。

而在近日，360安全大脑监测到Phobos勒索**新变种现身网络，该**以系统激活工具等软件作为载体，诱导用户下载安装后入侵受害者电脑，窃取用户机器信息，并进一步通过木马C&C服务器下载加密勒索相关程序，实施比特币勒索。在短短一周多的时间里，该变种就已传播感染十余个国家。

目前，在360安全大脑的极智赋能下，360安全卫士可有效拦截查杀该勒索**变种，建议广大用户尽快下载安装最新版360安全卫士，全面保障个人隐私及财产安全。

在加密文件的过程中，从AndroidStudio.dll资源段解密并加载的exe程序，会负责实质上的加密任务，其包含的功能有：文件占用解除，“RSA+AES”算法加密等。

勒索**变种第一通过进程快照枚举当前进程，并通过进程名匹配，结束掉可能造成文件占用从而影响加密的40余个进程。

**变种结束指定进程解除文件占用

随后木马会扫描当前机器的网络共享磁盘和本地磁盘，准备进行文件加密。

扫描当前机器的UNC网络共享磁盘和本地磁盘

**会通过AES256算法为网络共享磁盘和本地磁盘生成32字节的AES密钥。然而实际上该密钥只有前16字节是以时间为因子和SHA256摘要算法获取的随机值，而后16字节取自**内置的攻击者RSA公钥的第17-32字节。

**变种生成的AES密钥

对于生成的32字节AES密钥，**使用RSA算法对其进行加密，被加密内容包含AES密钥，磁盘序列号，伪随机数等在内共128字节。

RSA加密 AES密钥

开始文件加密前，**第一判断待加密文件大小。如果文件小于0x180000字节（即1.5Mb）或待加密文件被标记为全加密文件类型，则phobos将待加密文件全部加密；否则只加密文件的部分内容。

判断文件大小区别加密方式

对于全加密文件，该**变种第一创建一个新文件，并为原始文件名拼接上加密文件特定后缀名。第二依次读取待加密文件数据到内存，使用AES随机密钥和16字节的随机初始变量进行CBC模式加密，并将加密内容依次写入新创建文件。

文件数据加密完成后，其会在新文件尾部追加密钥、原文件等相关数据共0xF0个字节，该文件尾主要包含以下内容：已加密原文件名在内的64字节， AES加密初始向量IV，已经RSA加密的AES加密密钥和系统磁盘序列号，占用4字节的尾部空间大小标记（0xF0）,以及疑似标志Phobos**版本号的6字节常量值。