网络安全公司趋势科技（Trend Micro）于近日爆料称，几家台湾机构不幸成为了定向攻击的最新受害者——服务器遭入侵，文件被加密！

具体来讲，攻击者在拿到目标机构的Active Directory服务器访问权限后，下载并安装了一种名为“ColdLock”的新型勒索病毒，进而对受影响域下的所有计算机上的特定文件进行了加密。

技术分析

ColdLock有效载荷以.NET可执行文件（.DLL文件）的形式被下载。

分析表明，该DLL文件使用了ConfuserEx包装器进行加壳处理，而运行则涉及到使用PowerShell执行反射加载。

运行后，它首先会执行两项检查：

一是，检查赎金票据所使用的“%System Root%\ProgramData\readme.tmp”是否已经存在，以避免系统被重复感染。

二是，检查系统时间——它只会在每天的12:10之后运行。

如果时间早于12:10，则将休眠15秒，然后再次执行该项检查，直到满足上述运行条件为止。

在加密文件之前，ColdLock还会进行另外几项检查以及相应的处理。

首先，它会检查一些特定的服务（各种数据库以及Exchange邮件服务器使用的服务）是否处于运行状态，具体如下：

只要有任何一项处于运行状态，它都会终止其运行。

此外，它还会终止与Outlook相关的进程。

其次，它还会检查系统上运行的Windows版本。如果运行的是Windows 10，那么它将执行多个Windows 10特定的例程，以禁用Windows Defender以及推送通知。

值得一提的是，如果目录满足以下三个条件，那么ColdLock在加密时则会排除包含括号里任何扩展名的文件（.avi、.dll、.gif、.iso、.m2ts、.mkv、.mov、.mp3、.msi、.ocx、.tmp和.wmv

）：

目标目录下的文件数量少于100；
目录的最后写入时间晚于2018年1月1日；
目录名称不包含括号里的任何字符串（.git、appdata、cache、image、lib、log、logs、microsoft、reference、res、resource、script、setup、skin、temp、theme、third_party和thirdparty）。

如果目录仅满足部分条件或完全不满足上述三个条件，那么ColdLock则仅会加密具有如下扩展名的文件：

加密进程在CBC模式下运行，使用的是AES算法。文件在被加密后，将被额外添加一个“.locked”扩展名。

赎金票据将被放置在多个位置，即：

内容与其他大多数勒索病毒相似：

此外，ColdLock还会更改系统壁纸，以提醒受害者查看赎金票据。

结语

勒索病毒仍是一种挥之不去的网络威胁，尤其在这两年更是频频出现。

想要免受勒索病毒的侵害，我仍建议你这样做：