《資安要注意‼️》Chrome 彈出「找不到字型」視窗，別急著按更新，勒索病毒假冒的 !
二月肆虐的勒索病毒家族 SPORA 出現新的變種, SPORA v2 ( RANSOM_SPORA.F117C2)在瀏覽網頁時會出現「找不到字型」的小視窗，背景網頁的字體亦變成亂碼,故佈疑陣讓受害者因驚慌而按下「更新」,掉入勒索病毒陷阱。
最近新的版本增加了蠕蟲能力。SPORA v2 感染系統的方式是靠使用者點選 Google Chrome 瀏覽器的彈出視窗，該視窗請使用者更新 Chrome 字型套件以顯示「HoeflerText」字型。當使用者點選了彈出視窗，就會下載一個偽裝成正常檔案的惡意程式。一旦惡意程式執行，電腦即遭到感染。
此一新的 SPORA 變種會將自己複製到硬碟、隨身碟及網路共用資料夾。此外，還會搜尋每個磁碟與網路資料夾下的第一層目錄。第二版的 SPORA 也和第一版一樣，會將系統登錄值「HKLM\Software\Classes\lnkfile IsShortcut」刪除，讓資料夾捷徑右下角的小箭頭不見，如此一來使用者會以為其捷徑檔案是一個資料夾。SPORA v2 與舊版的另一個差異是其 RSA 金鑰 (RSAPrivKey2) 現在已直接內含在勒索訊息檔中，並非一個分開的檔案。一旦 SPORA v2 開始執行，就會使用 RSA-1024 演算法將系統上的影像檔和 Microsoft Office 文件加密。不過在加密之後，該病毒並不會修改副檔名。
加密完成之後，SPORA v2 將顯示勒索訊息，該訊息的檔案名稱隨電腦而異，格式為： XXOOO-AAAAA-BBBBB-CCCCC-DDDDD.html，開頭兩個字元 (XX) 是二位數字國碼。其餘的字元是隨機產生的編號，每個受害者皆不同。
本文章出處：
TREND LABS 趨勢科技全球技術支援與研發中心
https://blog.trendmicro.com.tw/?p=48920
勒索病毒副檔名亂碼 在 [問題] office檔案被加上.jawjyynv副檔名- 看板AntiVirus 的推薦與評價
晚上忽然發現，所以跟office相關的檔案都被加上副檔名.jawjyynv
把這串消掉後再打開檔案，就顯示為亂碼了。
請問各位，這是中毒了嗎？看前面文章，有人中勒索病毒，也是有一串怪的副檔名。
這個還有得救嗎？
除了office，影片檔或是圖片檔都還正常。
現在已把網路線拔掉，小紅傘沒掃到任何病毒...
------------------------------
20180719 補充
現在不敢接上網路線，怕其他檔案繼續被加密。還是說重開機之後就沒關係了？病毒會繼
續作動嗎？
防毒的話，只有用小紅傘，平常會用ie搜尋一些種子，有些網站都會跳出快顯，我都是直
接關掉，不會點開。但是這次病毒可能是直接跳出來吧。有可能藏在種子裡面？
請問我如果現在用隨身硬碟備份的話，病毒有可能會蔓延過去嗎？不接網路的情況下。
病毒類型，下班回家之後再把訊息更新上來。
謝謝大家
-------------------------------
20180720
更新病毒資訊
今天鼓起勇氣把電腦接上網路，仔細看了一下，
大概是2018/07/18 23:00開始被加秘，2018/07/18 23:57 發現擋案怪怪的
拔掉網路線。
現在接上網路，好像沒繼續被加秘，但沒有把握
https://www.nomoreransom.org/zh/index.html
這個網站，把資料上傳後，沒跳出分析結果
https://id-ransomware.malwarehunterteam.com/identify.php?case=ac9f957f5ce0e0201ee86c9212aff38b788a4ac9
這個出現以下結果，看起來目前是沒有解藥。
This ransomware has no known way of decrypting data at this time.
It is recommended to backup your encrypted files, and hope for a solution in
the future.
Identified by
custom_rule: Matching Tor address pattern (5 addresses)
ransomnote_url: https://bruoicwqjztnhbu5995.plainme.space/jawjyynv
另外發現一點，我的電腦顯示273天沒更新了。
按了更新出現以下訊息，可能是更新很早之前就被鎖住了。
------------------------------------------------
20180723 更新狀態
Windows可以更新了。打算先拿另一顆硬碟，感染的硬碟先留著等解藥。
仔細把全部硬碟都檢查過一次。很幸運的有一顆硬碟逃過一劫。
希望解藥還有機會出現。
------------------------------------------------
20180727 更新狀態
硬碟已格式化，重新安裝作業系統win7，有考慮升到win10
再繼續補充些知識，增加自我防護能力
受感染的檔案，先存放在另一顆硬碟，等待解密的機會
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 118.166.62.31
※ 文章網址: https://www.ptt.cc/bbs/AntiVirus/M.1531931002.A.F90.html
... <看更多>