最近，有安全研究人員發現一款名為“GIBON”的勒索軟件正在在地下黑客論壇上以500美元的價格出售，并且似乎從今年5月份開始它就已經被上架。
GIBON針對受感染計算機上除了位于Windows文件夾的文件之外的所有文件。目前，研究人員只觀察到他通過釣魚郵件進行分發，但具體的傳播機制尚不清楚。
研究人員描述，GIBON一旦感染了某臺計算機，就會連接到它的C＆C服務器，并通向其發送一條包含時間戳、Windows版本以及采用base64編碼的字符串“ register（注冊）”的消息，用以告知C＆C服務器“這是一個新的受害者”。服務器的響應消息中同樣包含一個采用base64編碼的字符串，GIBON會將其用作贖金票據。這種設置允許GIBON的運營團隊在運行中更新贖金，而不必編譯新的可執行文件。
一旦受害者被注冊，勒索軟件就會在本地生成一個加密密鑰，然后以采用base64編碼字符串的形式將其發送到C＆C服務器。密鑰用于加密計算機上的所有文件，并將.encrypt擴展名附加到每個被加密文件的文件名中。
在加密過程中，攻擊者會繼續對服務器執行ping操作，以獲悉加密是否仍在進行中。當GIBON完成加密進程后，它會向C＆C服務器發送一條最終消息，其中包含字符串“finish”、時間戳、Windows版本以及被加密文件的數量。
GIBON會在每個已加密文件的文件夾放置一個贖金票據（READ_ME_NOW.txt），向受害者提供有關發生的事情的信息，并通過電子郵件[email protected]或[email protected]聯系GIBON的運營團隊以獲取付款說明。
好消息是，研究人員在上周發布了一個關于GIBON的解密器（下載地址：download.bleepingcomputer.com/demonslay335/GibonDecrypter.zip），受害者可以通過它來解密文件而無需支付贖金。
京公網安備 11010502049343號