近期恶意软件的招数越来越多元，骇客手法已无所不用其极，以为自己很小心谨慎都有可能掉入骇客陷阱里。像过往要你单纯点击下载连结的招数已经落伍，现在网络上开始出现字型勒索诈骗，上网时Chrome可能突然跳出找不到字型的视窗，背景可能还出现乱码让你误以为是Chrome跳出的警告，当你点击之后就可能被勒索病毒入侵，让电脑受到感染。
二月肆虐的勒索病毒家族 SPORA 出现新的变种, SPORA v2 ( RANSOM_SPORA.F117C2)在浏览网页时会出现“找不到字型”的小视窗，背景网页的字体亦变成乱码,故布疑阵让受害者因惊慌而按下“更新”,掉入勒索病毒陷阱。
最近新的版本增加了蠕虫能力。SPORA v2 感染系统的方式是靠使用者点选 Google Chrome 浏览器的弹出视窗，该视窗请使用者更新 Chrome 字型套件以显示“HoeflerText”字型。当使用者点选了弹出视窗，就会下载一个伪装成正常档案的恶意程式。一旦恶意程式执行，电脑即遭到感染。
佯称请使用者更新 Chrome 字型套件的弹出视窗
此一新的 SPORA 变种会将自己复制到硬盘、随身碟及网络共用资料夹。此外，还会搜寻每个磁盘与网络资料夹下的第一层目录。第二版的 SPORA 也和第一版一样，会将系统登录值“HKLM\Software\Classes\lnkfile IsShortcut”删除，让资料夹捷径右下角的小箭头不见，如此一来使用者会以为其捷径档案是一个资料夹。SPORA v2 与旧版的另一个差异是其 RSA 金钥 (RSAPrivKey2) 现在已直接内含在勒索讯息档中，并非一个分开的档案。一旦 SPORA v2 开始执行，就会使用 RSA-1024 算法将系统上的影像档和 Microsoft Office 文件加密。不过在加密之后，该病毒并不会修改副档名。
加密完成之后，SPORA v2 将显示勒索讯息，该讯息的档案名称随电脑而异，格式为： XXOOO-AAAAA-BBBBB-CCCCC-DDDDD.html，开头两个字元 (XX) 是二位数字国码。其余的字元是随机产生的编号，每个受害者皆不同。
SPORA v2 勒索讯息
同场加映：
GC47 (Ransom_HiddenTearGCFS.A)：显示假的 Windows 升级视窗,被加密档案副档名还改为脏话
这只勒索病毒会显示一个假的 Windows 升级视窗来诱骗使用者下载恶意程式。一旦使用者点选了“ok”按钮，就会开始执行加密程序。被加密的档案包括文件、多媒体档、影像档等等，并且档名末端会多了“.Fxck_You”副档名。歹徒在勒索讯息当中要求支付 50 美元的档案解锁费用 (约 0.04 比特币)。
想看更多PC-cillin2017相关文章
【本文由趋势科技赞助提供，来自趋势科技部落格】
