什么是 CryWiper 恶意软件？

CryWiper 是一种雨刷恶意软件，它模仿勒索软件留下赎金条，但被 CryWiper 更改的文件无法恢复--即使目标选择支付赎金。CryWiper 不是加密目标系统文件，而是用随机数据覆盖文件，使原始数据无法恢复。

CryWiper 于 2022 年末首次被发现针对俄罗斯政府实体，包括市长办公室和地区法院。虽然 CryWiper 的攻击没有归属，但很可能与俄乌冲突中的代理网络战有关。

CryWiper 會永久銷毀文件、檔案和資料庫檔案，例如 MySQL 和 Microsoft SQL Server，而 Windows 作業系統檔案和一般可執行檔則不受影響。CryWiper 不与其他雨刷恶意软件家族共享源代码，如 DoubleZero、IsaacWiper、HermeticWiper、CaddyWiper、WhisperGate、AcidRain 或 Industroyer2。不过，它在伪造的赎金说明中使用了与 Trojan-Ransom.Win32.Xorist 和 Trojan-Ransom.MSIL.Agent 相同的电子邮件地址。

CryWiper 如何工作

CryWiper 有效载荷是一个用 C++ 编写的 64 位 Windows 可执行文件，通常被命名为browserupdate.exe。CryWiper 感染系统后，会收集系统信息并将其发送到攻击者控制的命令与控制（C2）服务器，由该服务器决定是否进入恶意软件的数据破坏阶段。如果指示继续执行，CryWiper 会使用伪随机数生成器的输出来替换文件的实际内容，并在每个包含被销毁文件的目录中投放名为README.txt 的典型赎金说明，索要 0.5 比特币。

CryWiper 恶意软件使用的技术包括

使用 WinAPI 函数调用来执行大部分恶意活动
CryWiper 的第一阶段有效载荷会休眠四天，以掩盖感染原因
创建一个每五分钟运行一次的计划任务，联系命令与控制 (C2) 服务器，发送有关主机的信息，并接收是否继续销毁文件的决定
关闭阻止访问 MySQL、MS SQL Server、Microsoft Exchange、Microsoft Active Directory 等敏感文件的进程
删除受影响文件的影子副本，防止文件恢复
修改 Windows 注册表 HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\fDenyTSConnections 设置，阻止 RDP 访问受感染系统
不加密 C:\Windows 目录、启动目录和选定文件扩展名列表（.exe、.dll、.lnk、.sys 或 .msi）中的文件，以保持 Windows 操作系统的核心功能
使用名为 "梅森漩涡 "的已知伪随机数生成器覆盖目标文件内容

CryWiper 攻击的迹象

根据有关 CryWiper 的有限信息，它通常以可移植可执行文件（PE）格式提供，文件名为browserupdate.exe。CryWiper 在覆盖文件时，会在每个被改动的文件中添加.CRY或.cry 扩展名，并在每个目录中放置一个名为README.txt的文件，要求用户用 0.5 比特币购买解密器。赎金说明包含令人信服的信息，如联系人电子邮件地址、感染 ID 编号和钱包地址。然而，对恶意软件有效载荷的分析证实，受 CryWiper 影响的文件并没有被加密，而是被赎金数据覆盖，导致无法恢复。

如何防范 CryWiper 攻击

防范 CryWiper 攻击至关重要，因为文件无法恢复--即使您愿意支付所要求的赎金。这意味着要安装和实施可靠的端点安全解决方案，如防病毒软件或先进的端点检测和响应（EDR）产品，并定期更新。CryWiper 的无情影响还意味着，可靠的数据备份策略对于恢复受影响文件的访问至关重要。

CylanceOPTICS 防止恶意软件攻击

Blackberry Cylance Blackberry Cylance 利用数百万个安全和不安全的文件，训练人工智能^（AI）代理进行威胁检测。

Blackberry Cylance 根据对多个恶意文件属性而非特定文件签名的检测，阻止恶意软件变种的执行。这种方法使我们的客户能够实施预防为主的安全态势，有效抵御未知、新兴和多态威胁以及传统威胁。

了解更多

CryWiper 恶意软件