小心了，新版Thanos勒索软件服务采用了可绕过大多数防毒软件的RIPlace技术

资安业者Nyotron在去年11月揭露了可供勒索软件绕过安全侦测机制的RIPlace技术，当时尚未有任何勒索软件采用该技术，不过，另一资安业者Recorded Future最近发现，新版的Thanos勒索软件已经加入了RIPlace技术，还把它纳入“企业版”功能中。

Nyotron解释，勒索软件的攻击有三个标准步骤，先开启及读取原始档案，再于内存中加密档案，继之破坏原始档案。而破坏原始档案的方法有3种，把加密档案写进原始档案中；或是直接将加密档案存入硬盘，再利用DeleteFile功能删除原始档案；也能选择把原始档案存入硬盘，再透过Rename功能置换原始档案，几乎所有骇客都采用前面两种，而第三种则属于Windows操作系统的设计漏洞，尚未被骇客利用，但只需要两行程式就能开采，并将它命名为RIPlace技术。

当时Nyotron还公布了RIPlace的概念性验证攻击程式，而且测试了坊间号称可侦测勒索软件的十多种防毒工具，发现它们全都无法逮到透过RIPlace技术所执行的攻击行动。

而Recorded Future则发现，外号为Nosophoros的骇客今年1月在地下论坛中兜售的Thanos勒索软件，便采用了RIPlace技术，很可能是市场上第一个采用RIPlace的勒索软件。

骇客将Thanos定位为勒索软件产生器，具备43种配置选项，还提供只订阅一个月的轻量版（Light），以及可订阅整个Thanos生命周期的企业版（Company），而进阶的RootKit、RIPlace或是在目标组织中横向移动的功能，都只出现在企业版中。

Recorded Future预期，勒索软件即服务（ransomware-as-a-service）的市场将会继续茁壮，且订阅轻量版的用户都能成为Thanos会员，而Thanos的企业客户，则能建立自己的勒索软件即服务业务。