每周典型威胁分析

 
     近日，安天 CERT 在梳理网络安全事 件时发现了一个基于 PowerShell 脚本的勒 索软件 FTCode。该勒索软件最早在 2013 年被发现，主要通过垃圾邮件进行传播。 邮件附件中包含恶意宏代码的 Word 文档。 该文档诱使用户启用宏查看文档内容，当 用户启用宏后，恶意宏代码将连接 C2 下 载并执行恶意脚本。

      FTCode 运 行 后， 创 建 名 为 “WindowsApplicationService”的计划任务 项，解密内置字符串生成一个 RSA 加密密 钥，删除磁盘卷影和操作系统备份禁止修复。对指定的文件后缀名进行加密，并追 加 后 缀 名“.FTCODE”。 加 密 结 束 后， FTCode 会在每个加密的文件目录中创建 一 个 名 为“READ_ME_NOW.htm” 的 网 页格式的勒索信，勒索信中包含解密说明、 勒索病毒解密网址、安装 Tor 浏览器教程 和 UEER_ID。目前被加密的文件在得到 密钥前暂时无法解密。

      安天提醒广大用户，及时备份重要文 件，且文件备份应与主机隔离；及时安装 更新补丁，避免一切勒索软件利用漏洞感 染计算机；对非可信来源的邮件保持警惕，避免打开附件或点击邮件中的链接；尽量 避免打开社交媒体分享的来源不明的链 接，给信任网站添加书签并通过书签访问； 避免使用弱口令或统一的密码；确保所有 的计算机在使用远程桌面服务时采取 VPN 连接等安全方式，如果业务上无需使用远 程桌面服务，建议将其关闭；可以使用反 病毒软件（如安天智甲）扫描邮件附件， 确认安全后再运行。

      目前，安天追影产品已经实现了对该 类勒索病毒的鉴定；安天智甲已经实现了 对该勒索病毒的查杀。