研究人員發現新的 bootlocker 勒索軟件——RedBoot
責編：mhshi ｜2017-09-27 10:38:18近日，研究人員發現一個新的 bootlocker 勒索軟件，被稱為 RedBoot，它對受感染的計算機上的文件進行加密，可以取代系統驅動器的主引導記錄（MBR），并修改分區表。被 RedBoot 攻擊后，無法輸入解密密鑰來恢復 MBR 和分區表，這表明 RedBoot 可能是一種 wiper。
當 RedBoot 勒索軟件在被入侵的計算機上執行時，會將 5 個其他文件解壓到包含啟動器的目錄下的隨機文件夾中：
boot.asm。 – 一個匯編文件，可以被編譯到新的主引導記錄中。 當 boot.asm 被編譯時，將生成 boot.bin 文件；
assembler.exe – 一個重命名的 nasm.exe 副本，用于將 boot.asm 程序集文件編譯到主引導記錄 boot.bin 文件中；
main.exe – 用戶模式加密程序，可以加密計算機上的文件；
overwrite.exe – 利用新編譯的 boot.bin 文件覆蓋主引導記錄；
protect.exe – 可執行文件，能終止并阻止任務管理器、進程入侵程序等各種程序的運行。
提取文件后，主啟動器將編譯生成 boot.bin 的 boot.asm 文件。一旦 boot.bin 被編譯，啟動器將刪除 boot.asm 和 assembly.exe 文件，然后使用 overwrite.exe 程序覆蓋當前主引導記錄。此時，惡意軟件啟動加密過程，啟動器將啟動 main.exe，掃描計算機獲取文件，用于加密 .locked 擴展名下的文件。 main.exe 程序還將執行 protect.exe 組件來阻止殺毒軟件。
所有文件被加密后，RedBoot 勒索軟件將重新啟動計算機，并顯示勒索界面，指示受害者將 ID 密鑰發送到 redboot@memeware.net 以獲得付款說明。
不幸的是，即使受害者聯系了攻擊者并支付了贖金，硬盤驅動器可能也無法恢復，因為 RedBoot 會永久修改分區表。