近日，安天 CERT 在梳理網絡安全事件時發現了一個勒索信為國語的勒索軟件。該勒索軟件釋放相關標識內容為“6688123”字符串作為加密標識文件。安天將此勒索軟件命名為“6688123”，該勒索軟件最早出現于 2020 年 9 月，通過對該勒索軟件分析，該勒索軟件具有三種加密方式分為 RSA 加密方式、AES 加密方式以及 XOR 加密方式。在本次所分析的樣本中采用的加密策略 XOR 加密方式，所以該方式加密的文件可以解密。該勒索軟件主要通過垃圾郵件進行傳播。經驗證，安天智甲終端防御系統（簡稱 IEP）的勒索軟件防護模塊可有效阻止該勒索軟件的加密行為。

        該勒索軟件使用 .NET 框架開發。該勒索軟件運行后，判斷 C:\Users\XXX\Documents\Driver 目錄下是否存在 b.print 文件且文件內容為“6688123”，若存在則表示用戶文件已加密過，無需再次加密，則退出程序。該勒索軟件會對常見后綴名如 txt、doc、bat 等文件進行加密，在本次分析的樣本中所采用的加密策略是 XOR 加密方式。具體加密方式為采用指定長度的字符 XOR 指定文件前 100byte 字符，并追加文件名后綴 ".locky"。加密完成后會在桌面彈出窗口，要求用戶向指定比特幣地址支付0.05 個比特幣。

▲ “6688123”勒索軟件勒索信

        “6688123”勒索軟件采用 XOR 形式加密文件，目前被加密的文件可以解密。

        安天提醒廣大用戶，及時備份重要文件，且文件備份應與主機隔離；及時安裝更新補丁，避免勒索軟件利用漏洞感染計算機；對非可信來源的郵件保持警惕，避免打開附件或點擊郵件中的鏈接；盡量避免打開社交媒體分享的來源不明的鏈接，給信任網站添加書簽并通過書簽訪問；避免使用弱口令或統一的密碼；確保所有的計算機在使用遠程桌面服務時采取 VPN連接等安全方式，如果業務上無需使用遠程桌面服務，建議將其關閉；可以使用反病毒軟件（如安天智甲）掃描郵件附件，確認安全后再運行。目前，安天追影產品已經實現了對該類勒索軟件的鑒定；安天智甲已經實現了對該勒索軟件的查殺。