網絡安全公司ProofPoint的研究人員Matthew Mesa（馬修·梅薩）發現一款新勒索軟件“GIBON”通過惡意垃圾郵件（Malspam）感染目標。這款勒索軟件自今年5月就已在暗網上架，售價500美元（約合人民幣3319元）的價格出售。
勒索軟件“GIBON”的攻擊方式攻擊者將包含宏的惡意文件作為垃圾郵件附件，一旦啟用宏，惡意文件便會在受害者的設備上下載并安裝這款勒索軟件。
Mesa之所以將這款軟件命名為“GIBON”，正是因為有兩處出現了“GIBON”。專家首先在這款惡意軟件的User Agent字符串中注意到“GIBON”，其用來與命令與控制服務器（C&C Server）通信。
此外，管理面板（Admin Panel）也出現了“GIBON”字符串。
黑客可以隨意修改贖金大小GIBON勒索軟件初次執行時會連接到C&C服務器，并發送包含時間戳、Windows版本和“注冊”字符串的base64編碼字符串注冊新的受害者。服務器的響應消息中同樣包含一個采用base64編碼的字符串，GIBON會將其用作贖金票據。這種設置允許GIBON的運營團隊在運行中更新贖金，而不必編譯新的可執行文件。
C&C服務器將會返回包含base64編碼字符串的響應。 一旦被感染設備與C&C服務器注冊，這臺設備將在本地生成加密密鑰，并將其作為base64編碼字符串發送至這臺C&C服務器。這款惡意軟件將使用該密鑰加密目標設備上的所有的文件，并在加密文件的名稱附加.encrypt擴展名。
網絡安全編輯Lawrence Abrams（勞倫斯·艾布拉姆斯）表示，由于受害者已被注冊，密鑰也已傳輸至C&C服務器，這款惡意軟件將開始加密目標設備。GIBON加密的同時還會將目標瞄向非Windows文件夾內的所有文件。GIBON在加密過程中定期連接到C&C服務器，攻擊者會繼續對服務器執行ping操作，以確認加密是否仍在進行中。
這款惡意軟件會在包含加密文件的每個文件中釋放勒索信息，此外還會生成名為“READ_ME_NOW.txt”的勒索信息，其內容如下：
一旦完成文件加密，GIBON將會向C&C服務器發送“Finish”字符串、時間戳、Windows版本和加密的文件數量。所幸的是，這款惡意軟件加密的文件可通過GibonDecrypter（獲取地址：請戳?。┙饷堋?/p>
京公網安備 11010502049343號