近日，安天 CERT 在梳理網(wǎng)絡(luò)安全事件時發(fā)現(xiàn)一個名為 Tellyouthepass 的勒索軟件，該勒索軟件最早發(fā)現(xiàn)于 2019 年 3 月，主要通過垃圾郵件進(jìn)行傳播，郵件附件為勒索軟件程序，郵件內(nèi)容誘使用戶執(zhí)行該程序，該勒索軟件程序執(zhí)行加密行為結(jié)束后會在 AllUsers 文件目錄下創(chuàng)建日志文件記錄加密文件情況。經(jīng)驗證，安天智甲終端防御系統(tǒng)（簡稱 IEP）的勒索軟件防護(hù)模塊可有效阻止Tellyouthepass 勒索軟件的加密行為。

Tellyouthepass 勒索信

     Tellyouthepass 勒索軟件樣本運行后，在用戶桌面彈出 CMD 命令行工具界面，片刻后開始寫入內(nèi)容，其內(nèi)容為加密文件進(jìn)度、是否成功以及數(shù)量，與此同時加密計算機上的文件，內(nèi)容寫入完成后，自動關(guān)閉命令行界面并完成加密，并在 C 盤目錄下的 Users文件目錄中的 All Users 文件夾創(chuàng)建一個名為“dVBRr.txt”文件，文件內(nèi)容為所有被加密文件的文件路徑、文件名、加密失敗信息和加密文件總數(shù)，在被加密文件原文件后追加“.locked”的后綴。在桌面和所有含有被加密文件的路徑下創(chuàng)建名為“README.html”的勒索信，該勒索信內(nèi)容包含勒索說明、聯(lián)系郵箱和 User_ID 等。

      Tellyouthepass 勒 索 軟 件 采 用“AES+RSA”加密算法，目前被加密的文件在未得到密鑰前暫時無法解密。

     安天提醒廣大用戶，及時備份重要文件，且文件備份應(yīng)與主機隔離；及時安裝更新補丁，避免一切勒索軟件利用漏洞感染計算機；對非可信來源的郵件保持警惕，避免打開附件或點擊郵件中的鏈接；盡量避免打開社交媒體分享的來源不明的鏈接，給信任網(wǎng)站添加書簽并通過書簽訪問；避免使用弱口令或統(tǒng)一的密碼；確保所有的計算機在使用遠(yuǎn)程桌面服務(wù)時采取 VPN 連接等安全方式，如果業(yè)務(wù)上無需使用遠(yuǎn)程桌面服務(wù)，建議將其關(guān)閉；可以使用反病毒軟件（如安天智甲）掃描郵件附件，確認(rèn)安全后再運行。

      目前，安天追影產(chǎn)品已經(jīng)實現(xiàn)了對該類勒索軟件的鑒定；安天智甲已經(jīng)實現(xiàn)了對該勒索軟件的查殺。