Phobos 是一种勒索软件类恶意软件，使用 AES 256 位加密标准加密用户文件。之后，它要求受害者支付必须以比特币支付的赎金金额。
Phobos 于 2019 年首次被发现，归因于负责 Dharma 勒索软件的同一黑客组织。它主要通过被黑的远程桌面连接分发。
Phobos 加密多种文件，包括可执行文件。通常，加密文件也会添加攻击者的电子邮件。加密的一般模式为：<原始名称>.id[<受害者 ID>-<版本 ID>][<攻击者电子邮件>].<添加的扩展名>。
Phobos 恶意软件病毒能做什么？
就像 Dharma 一样，Phobos 通过利用保护不善的 RDP 端口渗透网络并执行勒索软件攻击来感染计算机。
使用 .phobos 扩展名加密文件后，勒索软件将要求通过 readme.txt 文档共享的暗网地址以比特币支付赎金。一些恶意软件受害者被要求支付高达 3000 美元以换取找回文件的机会。
在执行加密之前，恶意软件实体会终止可能阻止访问目标加密文件的进程。以下是被终止进程的完整列表：
- msftesql.exe
- sqlagent.exe
- sqlbrowser.exe
- sqlservr.exe
- sqlwriter.exeoracle.exe
- ocssd.exe
- dbsnmp.exe
- synctime.exe
- agntsvc.exe
- mydesktopqos.exe
- isqlplussvc.exe
- xfssvccon.exe
- mydesktopservice.exe
- ocautoupds.exe
- agntsvc.exe
- agntsvc.exe
- agntsvc.exe
- encsvc.exe
- firefoxconfig.exe
- tbirdconfig.exe
- ocomm.exe
- mysqld.exe
- mysqld-nt.exe
- mysqld-opt.exe
- dbeng50.exe
- sqbcoreservice.exe
- excel.exe
- infopath.exe
- msaccess.exe
- mspub.exe
- onenote.exe
- outlook.exe
- powerpnt.exe
- steam.exe
- thebat.exe
- thebat64.exe
- thunderbird.exe
- visio.exe
- winword.exe
- wordpad.exe
下图显示了 Phobos 恶意软件代码片段及其如何指导终止进程：
网络犯罪分子能判断 Dharma 和 Phobos 恶意软件实体由同一组织创建（尽管代码不同）的原因之一，是它们共享相同的勒索通知。字体和文本完全相同。
如何清除 Phobos 恶意软件
应对 Phobos 恶意软件的最佳方式是部署反恶意软件解决方案，并避免联系网络犯罪分子。确实，支付赎金可能避免您丢失文件的痛苦，但这不是理想解决方案。
网络犯罪分子不可信，无法保证提供解密密钥，即使他们能做到，也会让他们未来更可能攻击，因为您和其他选择付费的人鼓励他们这样做。
反恶意软件解决方案在计算机处于安全模式时被发现对病毒更有效。因为安全模式仅运行最少量的 Windows 应用和设置，因此投入更多计算资源追踪恶意软件实体。
Phobos 勒索软件还以使用多种持久化进程而闻名，例如将自身安装在 %APPDATA% 和启动文件夹中，添加启动注册表键以自动启动。在安全模式下，自动启动项目被禁用。
您在对抗 Phobos 恶意软件时可能需要的另一款软件是电脑修复工具。它既能清理您的计算机，又能修复损坏的注册表项。
如何保护您的计算机免受 Phobos 恶意软件攻击
作为本 Phobos 恶意软件清除指南的一部分，我们还将分享一些避免勒索软件感染的技巧。Phobos 勒索软件主要针对使用远程桌面协议（RDP）访问的企业实体。因此，企业可以审查 RDP 启用的位置，并禁用或确保凭证足够强，使暴力攻击无法发生。为此，我们建议使用双因素认证。
同时，企业需要就每个人的通用网络安全策略达成一致，因为那样更容易降低风险。
