Popcorn Time Ransomware 是仁慈的還是只是一個騙局？

儘管已經有無數勒索軟件帶來無休止的攻擊，但勒索軟件的作者似乎已經計劃用更新的策略來嚇唬用戶。

我們已經收到勒索軟件毒株，如果未在規定的時限內支付贖金，這些毒株會刪除文件。此外，還有一些變體通過更改文件名來鎖定用戶數據，從而使解密更加困難。然而這一次，勒索軟件作者決定確保 Popcorn Time Ransomware 的輕鬆流動以減少他們的工作量。或者我們應該說，他們決定對受害者有點仁慈。

最近，MalwareHunterTeam 發現了另一種名為 Popcorn Time 的勒索軟件。該變體有一種不尋常的方式向用戶勒索錢財。如果受害者成功地將毒株傳遞給其他兩個用戶，他將獲得一個免費的解密密鑰。也許，如果受害者無法通過，他將不得不付費。更糟糕的是，勒索軟件中有一個未完成的代碼，如果用戶輸入錯誤的解密密鑰 4 次，它可能會刪除文件。

Popcorn Time Ransomware 有什麼可疑之處

該菌株有一個推薦鏈接，保留該鏈接以將其傳輸給其他用戶。當另外兩個支付贖金時，原始受害者獲得解密密鑰。但是，如果他們不這樣做，則主要受害者必須付款。Bleeping Computer 引述道：“為了方便起見，Popcorn Time 贖金記錄將包含一個 URL，該 URL 指向位於勒索軟件 TOR 服務器上的文件。此時服務器已關閉，因此不確定該文件將如何出現或偽裝以欺騙人們安裝它。”

此外，如果用戶碰巧提供了 4 次不正確的解密密鑰，該變體可能會添加另一個功能，該功能將刪除文件。顯然，勒索軟件仍處於開發階段，因此尚不清楚這種策略是否已經存在或只是一個騙局。

另請參閱： 勒索軟件年：簡要回顧

Popcorn Time Ransomware 的工作原理

成功安裝勒索軟件後，它會檢查勒索軟件是否已通過多個文件運行，例如%AppData%\been_here和%AppData%\server_step_one。如果系統已經感染了勒索軟件，則該病毒株會自行終止。如果系統有“been_here”文件，爆米花時間就會理解這一點。如果計算機中沒有這樣的文件，勒索軟件就會繼續傳播惡意。它下載各種圖像以用作背景或啟動加密過程。

由於 Popcorn Time 仍處於開發階段，它只加密名為Efiles的測試文件夾。該文件夾存在於用戶的桌面上，包含各種文件，如 .back、.backup、.ach 等（完整的文件擴展名列表如下）。

.1cd, .3dm, .3ds, .3fr, .3g2, .3gp, .3pr, .7z, .7zip, .aac, .aaf, .ab4, .accdb, .accde, .accdr, .accdt, .ach, .acr, .act, .adb, .adp, .ads, .aep, .aepx, .aes, .aet, .agdl, .ai, .aif, .aiff, .ait, .al, .amr, .aoi, .apj, .apk, .arch00, .arw, .as, .as3, .asf, .asm, .asp, .aspx, .asset, .asx, .atr, .avi, .awg, .back, .backup, .backupdb, .bak, .bar, .bay, .bc6, .bc7, .bdb, .bgt, .big, .bik, .bin, .bkf, .bkp, .blend, .blob, .bmd, .bmp, .bpw, .bsa, .c, .cas, .cdc, .cdf, .cdr, .cdr3, .cdr4, .cdr5, .cdr6, .cdrw, .cdx, .ce1, .ce2, .cer, .cfg, .cfr, .cgm, .cib, .class, .cls, .cmt, .config, .contact, .cpi, .cpp, .cr2, .craw, .crt, .crw, .cs, .csh, .csl, .css, .csv, .d3dbsp, .dac, .dar, .das, .dat, .dazip, .db, .db0, .db3, .dba, .dbf, .dbx, .db_journal, .dc2, .dcr, .dcs, .ddd, .ddoc, .ddrw, .dds, .der, .des, .desc, .design, .dgc, .dir, .dit, .djvu, .dmp, .dng, .doc, .docb, .docm, .docx, .dot, .dotm, .dotx, .drf, .drw, .dtd, .dwg, .dxb, .dxf, .dxg, .easm, .edb, .efx, .eml, .epk, .eps, .erbsql, .erf, .esm, .exf, .fdb, .ff, .ffd, .fff, .fh, .fhd, .fla, .flac, .flf, .flv, .flvv, .forge, .fos, .fpk, .fpx, .fsh, .fxg, .gdb, .gdoc, .gho, .gif, .gmap, .gray, .grey, .groups, .gry, .gsheet, .h, .hbk, .hdd, .hkdb, .hkx, .hplg, .hpp, .htm, .html, .hvpl, .ibank, .ibd, .ibz, .icxs, .idml, .idx, .iff, .iif, .iiq, .incpas, .indb, .indd, .indl, .indt, .inx, .itdb, .itl, .itm, .iwd, .iwi, .jar, .java, .jnt, .jpe, .jpeg, .jpg, .js, .kc2, .kdb, .kdbx, .kdc, .key, .kf, .kpdx, .kwm, .laccdb, .layout, .lbf, .lck, .ldf, .lit, .litemod, .log, .lrf, .ltx, .lua, .lvl, .m, .m2, .m2ts, .m3u, .m3u8, .m4a, .m4p, .m4u, .m4v, .map, .max, .mbx, .mcmeta, .md, .mdb, .mdbackup, .mdc, .mddata, .mdf, .mdi, .mef, .menu, .mfw, .mid, .mkv, .mlb, .mlx, .mmw, .mny, .mos, .mov, .mp3, .mp4, .mpa, .mpeg, .mpg, .mpp, .mpqge, .mrw, .mrwref, .msg, .myd, .nc, .ncf, .nd, .ndd, .ndf, .nef, .nk2, .nop, .nrw, .ns2, .ns3, .ns4, .nsd, .nsf, .nsg, .nsh, .ntl, .nvram, .nwb, .nx2, .nxl, .nyf, .oab, .obj, .odb, .odc, .odf, .odg, .odm, .odp, .ods, .odt, .ogg, .oil, .orf, .ost, .otg, .oth, .otp, .ots, .ott, .p12, .p7b, .p7c, .pab, .pages, .pak, .pas, .pat, .pcd, .pct, .pdb, .pdd, .pdf, .pef, .pem, .pfx, .php, .pif, .pkpass, .pl, .plb, .plc, .plt, .plus_muhd, .pmd, .png, .po, .pot, .potm, .potx, .ppam, .ppj, .ppk, .pps, .ppsm, .ppsx, .ppt, .pptm, .pptx, .prel, .prf, .prproj, .ps, .psafe3, .psd, .psk, .pst, .ptx, .pwm, .py, .qba, .qbb, .qbm, .qbr, .qbw, .qbx, .qby, .qcow, .qcow2, .qdf, .qed, .qic, .r3d, .ra, .raf, .rar, .rat, .raw, .rb, .rdb, .re4, .rgss3a, .rim, .rm, .rofl, .rtf, .rvt, .rw2, .rwl, .rwz, .s3db, .safe, .sas7bdat, .sav, .save, .say, .sb, .sd0, .sda, .sdf, .ses, .shx, .sid, .sidd, .sidn, .sie, .sis, .sldasm, .sldblk, .sldm, .sldprt, .sldx, .slm, .snx, .sql, .sqlite, .sqlite3, .sqlitedb, .sr2, .srf, .srt, .srw, .st4, .st5, .st6, .st7, .st8, .stc, .std, .sti, .stl, .stm, .stw, .stx, .sum, .svg, .swf, .sxc, .sxd, .sxg, .sxi, .sxm, .sxw, .syncdb, .t12, .t13, .tap, .tax, .tex, .tga, .thm, .tif, .tlg, .tor, .txt, .upk, .v3d, .vbox, .vcf, .vdf, .vdi, .vfs0, .vhd, .vhdx, .vmdk, .vmsd, .vmx, .vmxf, .vob, .vpk, .vpp_pc, .vtf, .w3x, .wab, .wad, .wallet, .wav, .wb2, .wma, .wmo, .wmv, .wotreplay, .wpd, .wps, .x11, .x3f, .xf, .xis, .xla, .xlam, .xlk, .xll, .xlm, .xlr, .xls, .xlsb, .xlsb3dm, .xlsm, .xlsx, .xlt, .xltm, .xltx, .xlw, .xml, .xqx, .xxx, .ycbcra, .yuv, .zip, .ztmp

此後，勒索軟件會尋找與特定擴展名匹配的文件，並開始使用 AES-256 加密對文件進行加密。使用 Popcorn Time 加密文件後，它會附加 .filock 作為其擴展名。例如，如果文件名是“abc.docx”，那麼它將更改為“abc.docx.filock”。感染成功後，它會轉換兩個 base64 字符串並將它們保存為名為restore_your_files.html和restore_your_files.txt 的贖金票據。此後，勒索軟件展示了 HTML 贖金記錄。

圖片來源：bleepingcomputer.com

防範勒索軟件

雖然到目前為止還沒有開發出檢測器或勒索軟件清除器可以在感染後幫助用戶，但是，建議用戶採取預防措施以避免勒索軟件攻擊。其中最重要的是備份您的數據。隨後，您還可以確保安全上網，啟用廣告攔截擴展，保留正宗的反惡意軟件工具，並及時更新系統上安裝的軟件、工具、應用程序和程序。顯然，您需要依靠可靠的工具來做到這一點。其中一個工具是 Right Backup，它是一種雲存儲解決方案。它通過 256 位 AES 加密幫助您保存有關雲安全的數據。