近日，安天 CERT 在梳理网络安全事件时发现了一个名为 Hive 的勒索软件。该勒索软件最早被发现于 2021 年 6 月，主要通过垃圾邮件进行传播。经验证，安天智甲终端防御系统（简称 IEP）的勒索软件防护模块可有效阻止 Hive 勒索软件的加密行为。
Hive 勒索软件运行后释放并运行一个名为“shadow.bat”的 bat 脚本文件，该脚本主要功能为调用 vssadmin.exe 命令删除系统卷影，防止恢复被加密的文件；随后创建多个线程，对特定后缀名的文档、压缩包、图片、音视频等文件进行加密，采用 AES 对称加密算法进行加密，加密后的文件名为“原始文件名 +一段编码 +.hive”。文件加密过程中，该勒索软件在自身同目录下释放一个名为“hive.bat”文件，同时后台运行该脚本文件，功能为监控勒索软件的运行，一旦勒索软件停止运行将删除该勒索软件和 hive.bat 脚本文件。文件加密完成后，用内置的硬编码 RSA 公钥对 AES 密钥进行加密，将其写入到一个名为“一段编码 +.key.hive”的文件中并在 D 盘释放。勒索软件在每个被加密文件的同目录下生成名为“HOW_TO_DECRYPT.txt”勒索信，该勒索信内容有勒索说明、暗网聊天室的联系方式、7 条勒索警告，其中包括在勒索信中警告，如果删除以 key.hive 为后缀的文件，加密文件将无法解密。
▲ Hive 勒索软件勒索信息
Hive 勒索软件采用“AES+RSA”加密算法组合的形式加密文件，目前被加密的文件暂时无法解密。
安天提醒广大用户，及时备份重要文件，且文件备份应与主机隔离；及时安装更新补丁，避免勒索软件利用漏洞感染计算机；对非可信来源的邮件保持警惕，避免打开附件或点击邮件中的链接；尽量避免打开社交媒体分享的来源不明的链接，给信任网站添加书签并通过书签访问；避免使用弱口令或统一的密码；确保所有的计算机在使用远程桌面服务时采取VPN 连接等安全方式，如果业务上无需使用远程桌面服务，建议将其关闭；可以使用反病毒软件（如安天智甲）扫描邮件附件，确认安全后再运行。目前，安天追影产品已经实现了对该类勒索软件的鉴定；安天智甲已经实现了对该勒索软件的查杀。
