敲诈者病毒VirLocker病毒win10电脑如何防范 _云知道

敲诈者病毒VirLocker病毒win10电脑如何防范？敲诈者病毒VirLocker再次来袭?如何防范VirLocker病毒(内含恢复指南) 。VirLocker绝对不是什么新的病毒, 它把受害者的计算机搞得一团糟已多达数年。VirLocker是主流多态性敲诈者病毒的首例并且它不给它的受害者留下痛苦的代价。
VirLocker 能够像其他恶意软件一样从它的作者那里传播开来, 但是VirLocker在感染其他用户时做了优化。因为每一份被VirLocker感染的文件都变成了它自身，许多用户会不小心地把一份受感染的文件发送给朋友和同事，所以备份也被感染了,甚至应用程序和可执行文件都会不安全。基本上, 被VirLocker感染后, 你不可以信任受影响计算机上的任一单个文件。当尝试去清理计算机时就遇到一个难题，因为没有什么可以信任并且每个你使用的工具都被感染了。甚至当你尝试去下载一个工具来帮你都成了问题，因为如果 VirLocker 运行在计算机上的话，它会试图去感染新的文件即使在那个文件被打开之前。然而，如果你发现自己的计算机被这个变体感染了，千万不要尝试去移除它!本文不仅讨论敲诈者病毒是如何运行的, 还会向你展示如何在不支付赎金的情况下取回你的文件。

VirLocker的多态功能
VirLocker的多变能力使得每个人都头疼，研究员、受害者和安全公司等等。每次VirLocker 把自身添加到一个文件, 实际上该文件在许多方面都不同于它自身的其他版本。VirLocker 可以添加“伪代码”到它自身的某些部分从而使得文件不同, 它可以在恶意软件的主要加载器中使用不同的API以避免部分指纹识别，它可以使用不同的 XOR 和 ROL 种子使得可执行文件的加密内容完全不同等等。多态功能的这种级别使得它非常难以处理。即使当每个文件中的解压存根不同时，它通常被用来识别每个变种，它只留下行为和启发作为一种可行的检测方法。

正如你看到的上面的VirLocker感染文件图表所示，在每个创建请求中如果有效负载存根可以不一样,并且加密代码总是被不同地seed化, 嵌入的原始文件当然也会总是不同,取决于它所攻击的文件, 并且资源仅仅是他所攻击的原始文件的一个小图标。这留下了的非常少的适用于检测。
VirLocker的执行链

VirLocker的执行绝不简单,比起我们已经看到的在单一情况下敲诈者病毒场景，它真正反映了多种保护类型。当执行感染时, FUD包装器(可以在某些方面多态本身)解包第一个由Base64和XOR混合的解密函数且总是不同地seed化。这个新的解密函数然后解密另一个新的由XOR/ROL混合的解密函数且总是不同地seed化。这个解密函数最后得到恶意代码并打算在计算机上运行。此时此刻，敲诈者病毒检查它是否已经感染了计算机，如果是，那么是否支付赎金?如果得到赎金，它就会变得善良且马上解密并提取被它植入自身的原始文件，最后关闭。如果用户被感染但是没有支付赎金，它就会在没有打开的情况下再次打开屏幕锁。如果是一个新的受害者，敲诈者病毒就会打开植入它自身的文件使得用户认为一切正常。比如，如果用户B接到一张来自朋友A的受感染的图片，一旦用户B打开那个文件，敲诈者病毒就会向他们展示植入自身的图片，但是在后台继续感染计算机。这是敲诈者病毒如何自我复制的背景。