病毒概述

当今社会，，，，，，，Office已经成为全球办公的必备神器，，，，，，，使用职员险些时时刻刻都在举行着新建、翻开、编辑、关闭等行为。。。。。为了简化操作办法，，，，，，，进一步提高办公效率，，，，，，，Office提供了宏录制功效，，，，，，，可是Office宏在利便办公的同时，，，，，，，也利便了黑客使用其举行病毒撒播。。。。。

克日，，，，，，，3377体育网官网入口EDR清静实验室捕获到一个使用Office宏病毒举行撒播的勒索病毒样本，，，，，，，该样本诱骗用户启动宏，，，，，，，通过宏天生伪装为PDF文档的动态库文件，，，，，，，然后通过Rundll32.exe执行该文件，，，，，，，从而抵达下载并执行勒索病毒的目的。。。。。病毒制造者可谓良苦专心、狡诈至极，，，，，，，可是魔高一尺、道高一丈，，，，，，，3377体育网官网入口EDR可精准查杀和防御此类攻击行为，，，，，，，提醒宽大用户做好提防步伐。。。。。

病毒剖析

双击翻开带宏病毒的Word文档后，，，，，，，会显示一条启用宏的告警信息，，，，，，，指导被攻击者单击“启用内容”按钮；；；；；；；；

用户一但点击“启用内容”按钮，，，，，，，宏病毒即被触发。。。。。在公共文件夹中天生xls文件，，，，，，，之后通过宏天生伪装为PDF文档的动态库文件，，，，，，，然后挪用Rundll32.exe加载执行此文件；；；；；；；；

动态库文件被执行后，，，，，，，将从指定服务器下载真正的勒索病毒文件并执行。。。。。至此，，，，，，，真正的勒索病毒文件才被执行；；；；；；；；

为避免数据恢复，，，，，，，勒索病毒执行后首先举行删除卷影、删除备份、榨取修复等操作，，，，，，，然后天生勒索病毒ID；；；；；；；；

统一为被勒索的文件天生后缀名.eking；；；；；；；；

获取盘算机名，，，，，，，准备对文件举行加密；；；；；；；；

释放大招，，，，，，，挪用AES算法最先对文件加密；；；；；；；；

加密完成后，，，，，，，在C盘根目录释放勒索信，，，，，，，提醒用户已经被勒索。。。。。

防护建议

1. 实时备份电脑上的文件；；；；；；；；

2. 不要点击泉源不明的Microsoft Office文档，，，，，，，如Word、Excel、PPT等；；；；；；；；

3. 翻开Office文档提醒“启用内容”时，，，，，，，建议审慎操作，，，，，，，非必需启用时不建议启用，，，，，，，如必需启用，，，，，，，应先举行病毒查杀，，，，，，，确保文档清静后再启用；；；；；；；；

4. 建议装置3377体育网官网入口EDR清静产品举行实时防护，，，，，，，可有用检测和防御该类病毒。。。。。

3377体育网官网入口EDR获取方法

1. 3377体育网官网入口EDR企业版试用：可通过3377体育网官网入口各地分公司获取。。。。。

（盘问网址：http://www.topsec.com.cn/contact/）

2. 3377体育网官网入口EDR单机版下载地点：

http://edr.topsec.com.cn