文章大纲：

• 1、新型PC勒索病毒WannaRen大范围传播是怎么回事？
• 2、bip勒索病毒是什么类
• 3、勒索病毒在硬盘上大部分文件的后面新加了一个后缀缀名，

新型PC勒索病毒WannaRen大范围传播是怎么回事？

据IT之家4月6日消息，近日 *** 上出现了一种名为“WannaRen”的新型勒索病毒，与此前的“WannaCry”的行为类似，加密Windows系统中几乎所有文件，后缀为.WannaRen，赎金为0.05个比特币。

目前病毒存在两个变体，区别仅为通过文字或图片发送勒索信息，语言为繁体中文，比特币地址相同，基本可确定作者为同一人。

据360社区反馈的消息来看，感染过程中360等杀毒软件未报毒，之一时间手动查杀后电脑依然被感染。有反馈称系统安装了微软”永恒之蓝“补丁后仍会被感染。

扩展资料

2017年的“WannaCry”（中文名：想哭）的勒索病毒

自2017年5月12日起，一种名为“WannaCry”（中文名：想哭）的勒索病毒开始肆虐全球。据新华社报道，勒索病毒引起的 *** 袭击波及150多个国家的10万多家机构，至少20万人受害。

这种病毒带有加密功能，它利用 Windows 在 445 端口的安全漏洞潜入电脑并对多种文件类型加密并添加后缀(.onion)使用户无法打开，用户电脑存在文档被加密的情况，攻击者以此勒索受害者支付价值300美元的比特币解锁。

参考资料来源：凤凰网- 新型 PC 勒索病毒“WannaRen”开始传播：大部分杀毒软件无法拦截

参考资料来源：人民网-勒索病毒席卷全球 个人电脑防范全攻略

bip勒索病毒是什么类

. BIP后缀的勒索病毒是Crysis的最新变种，

您的位置： 网站首页  技术乐园  阅读文章

勒索病毒 CrySiS 的运行原理及防范 ***

CrySiS 是一个知名的勒索病毒， 在去年5月被安全厂商围攻后找到了破解的万能密钥，该病毒就销声匿迹了，可最近该病毒经过升级导致万能密钥失效，又满血复活出来祸害万千网民了 — 其加密后的文件的后缀名为.java，由于 CrySiS 采用 AES+RSA 的加密方式，目前无法解密，只能等黑客公布新的密钥。下面简单说说它的运行原理。

CrySiS 成功激活后，会先创建一个互斥变量，这个东西就是用来防止病毒多次运行的，也就是病毒在一台电脑上只能激活一次。接着，拷贝自身到系统的 %windir%\System32、%appdata%、%sh (Startup)%、%sh (Common Startup)%目录中，还会释放一个勒索信息的配置文件Info.hta，并为它设置—个自启动项，如此就可以在用户重启电脑或者开机时弹出一个勒索界面，之后枚举系统的 Windows Driver Foundation、User mode Driver Framework、wudfsvc、Windows Update、wuauserv、Security Center、wscsvc、Windows Management、Instrumentation、Winmgmt、Diagnostic Service Host、WdiServiceHost、VMWare Tools、VMTools.Desktop、Window Manager Session Manager 服务和1c8.exe、1cv77.exe、outlook.exe、postgres.exe、mysqld-nt.exe、mysqld.exe、sqlserver.exe 进程, 如果发现这些服务和进程干扰了病毒的数据库文件就会发出终止指令。

然后，寻找电脑的高价值文件并对之进行加密（类似boot.ini、bootfont.bin、io.sys之类的文件就跳过)，加密后的文件的后缀变成.java，加密的密钥大小块为184字节，前32字节存放RC4加密后的随机数密钥, 该密钥用于之后加密文档。为了加强随机性，病毐通过RDTST函数读取时间计数器，最后通过RC4加密得到密钥。最后，病毒通过调用rundll32.exe或mshta.exe进程，执行勒索病毒的勒索信息文件Info.hta,弹出勒索界面。

需要注意的是，CrySiS勒索病毐的传播是通过RDP暴力破解的方式进行的，因此建议用户关闭系统的RDP服务。什么是RDP服务？它是远程桌面协议的英文缩写（Remote Desktop Protocol)，Windows 系统的标配功能，这个协议的主要用处是管理员可以远程操作管理用户的电脑，不过在人多数情况下普通人是用不到这个功能的。在实际生活中，开启RDP服务的电脑一般设置有账号和密码，CrySiS勒索病毒就通过暴力破解的方式猜出账号和密码，特别是那些常见的组合，很容易被破解，例如账号admin、密码admin等。

另外，CrySiS勒索病毐的变种还有本土化特征，也就是进行了多重免杀，以干扰杀毒软件的判断。不过，随着安全厂商对CrySiS勒索病毐的变种的重视，主流杀毐软件都能査杀此类病毒。

最后，要防范勒索病毒，要注意以下几点：关闭共享目录文件；及时给系统打补丁，修复系统漏洞； 不要点击来源不明的邮件以及附件； 保证杀毒软件的正常运行；对重要的数据文件定期进行非本地备份；尽量关闭不必要的文件共享权限以及关闭不必要的端口，例如445、135、139、3389等。

勒索病毒在硬盘上大部分文件的后面新加了一个后缀缀名，

中了勒索病毒的，您用这个脚本只去除后缀名是没用的。文件内部数据已经被加密了，就算您把那个添加的后缀名去除了，文件也无法正常打开。

好了，现在说说我那个代码，它是针对所有文件，又不是针对一种后缀格式的文件。您直接运行，当然会把原始后缀名的文件都更改了。如果针对一种或多种后缀格式的，那么在dir /a-d/s/b那里加上后缀名即可，比如

dir /a-d/s/b *.jm,*.pw

但言归正传，因中勒索病毒，而被修改的文件，就别指望我的代码了，那个是救不了您的文件的。