麦青儿 - 2023-8-1 20:10:00
近日，瑞星威胁情报中心捕获一个名为“大头”的勒索软件，该勒索软件不仅会加密用户磁盘文件，还会安装开源的窃密程序，进行文件窃取、图片截屏、目录检索、上传或下载文件等恶意行为。现瑞星发布“大头”勒索软件独家免费解密工具，以帮助被加密用户解密受害文件。
（下载地址：http://download.rising.com.cn/for_down/rsdecrypt/BigHeadRansomDecrypt.exe）
瑞星安全专家介绍，“大头”勒索软件最早发现自2023年5月，该勒索软件使用.NET编写，结合了Power Shell脚本来共同完成攻击，至今已出现多个变种。通过分析发现，“大头”勒索软件疑似伪装成虚假的Windows更新或Word安装程序，诱导受害者下载并进行传播。其启动后会遍历所有磁盘，修改受害者屏幕壁纸，并释放勒索信，加密特定文件，在加密完成后弹出Windows PowerShell凭证请求，提示受害者如果需要解密，可通过邮箱联系。
值得注意的是，“大头”勒索软件在进行加密的同时，还会在受害者电脑上下载并安装开源的窃密后门软件——WorldWind Stealer。该后门软件常被用于进行文件和数据资料的窃取，会收集受害者电脑内文件、图片、音频、主机软硬件版本、浏览器等各类信息，回传给攻击者。
在《2022年中国网络安全报告》中，瑞星安全专家就已对未来勒索软件进行过预测分析：勒索攻击者为了更好地保障自身利益，在攻击过程中会将数据窃取作为辅助手段，一旦勒索不成功，便可以通过售卖数据以牟取利益。
（下载地址：http://download.rising.com.cn/for_down/rsdecrypt/BigHeadRansomDecrypt.exe）
图：“大头”勒索软件解密工具
伪装成Windows更新或Word安装程序加密文件
瑞星安全专家介绍，“大头”勒索软件最早发现自2023年5月，该勒索软件使用.NET编写，结合了Power Shell脚本来共同完成攻击，至今已出现多个变种。通过分析发现，“大头”勒索软件疑似伪装成虚假的Windows更新或Word安装程序，诱导受害者下载并进行传播。其启动后会遍历所有磁盘，修改受害者屏幕壁纸，并释放勒索信，加密特定文件，在加密完成后弹出Windows PowerShell凭证请求，提示受害者如果需要解密，可通过邮箱联系。
图：“大头”勒索软件加密后释放的勒索信
图：被勒索软件修改后的屏幕壁纸
下载后门程序窃取数据
值得注意的是，“大头”勒索软件在进行加密的同时，还会在受害者电脑上下载并安装开源的窃密后门软件——WorldWind Stealer。该后门软件常被用于进行文件和数据资料的窃取，会收集受害者电脑内文件、图片、音频、主机软硬件版本、浏览器等各类信息，回传给攻击者。
在《2022年中国网络安全报告》中，瑞星安全专家就已对未来勒索软件进行过预测分析：勒索攻击者为了更好地保障自身利益，在攻击过程中会将数据窃取作为辅助手段，一旦勒索不成功，便可以通过售卖数据以牟取利益。
