勒索软件是一种非常恶劣的恶意软件，因为攻击者要求受害者付费以释放被劫持的重要数据。勒索软件隐秘地感染受害者设备，加密重要数据（包括备份文件），然后留下关于应支付多少赎金及如何支付的说明。经过所有这些麻烦，受害者无法保证攻击者实际上会释放解密密钥解锁文件。即使他们真的这样做了，某些文件可能已损坏，最终变得毫无用处。
多年来，勒索软件的使用日益流行，因为它是黑客赚钱最直接的方式。他们只需投放恶意软件，然后等待用户通过比特币汇款。根据 Emsisoft 数据，2019 年勒索软件攻击数量比上一年增加 41%，影响约 1,000 家美国组织。Cybersecurity Ventures 甚至预测勒索软件将每 11 秒攻击一家企业。
今年早些时候，一种新的恶意软件变种 Ragnar Locker 攻击了葡萄牙电力公用事业公司 Energias de Portugal (EDP)，总部位于里斯本。攻击者要求 1,580 枚比特币作为赎金，相当于约 1,100 万美元。
什么是 Ragnar Locker 勒索软件？
Ragnar Locker 是一种勒索软件类恶意软件，不仅用于加密数据，还用于终止托管服务提供商常用的已安装应用程序（如 ConnectWise 和 Kaseya）以及多项 Windows 服务。Ragnar Locker 通过附加由单词 ragnar 后跟随随机数字和字符串组成的唯一扩展名来重命名加密文件。例如，名为 A.jpg 的文件将被重命名为 A.jpg.ragnar_0DE48AAB。
加密文件后，它会使用文本文件创建勒索消息，命名格式与上述示例相同。勒索消息可能命名为 RGNR_0DE48AAB.txt。
此勒索软件仅在 Windows 计算机上运行，但尚不确定该恶意软件作者是否也设计了 Ragnar Locker 的 Mac 版本。它通常针对托管服务提供商常用的进程和应用程序，以防止其攻击被检测和阻止。Ragnar Locker 仅针对英语用户。
Ragnar Locker 勒索软件于 2019 年 12 月底首次被检测到，当时被用作针对受损网络攻击的一部分。根据安全专家称，Ragnar Locker 对欧洲能源巨头的攻击是经过深思熟虑和周密计划的攻击。
以下是 Ragnar Locker 勒索消息示例：
Hello * !
********************
如果您正在阅读此消息，则您的网络已被渗透，所有文件和数据已被 RAGNAR_LOCKER 加密！
********************
*********您的系统发生了什么？************
您的网络被渗透，所有文件和备份被锁定！所以从现在起，除了我们，没人能帮您找回文件。
您可以谷歌搜索，没有我们的秘密密钥，没有任何机会解密数据。
但别担心！您的文件未损坏或丢失，只是被修改了。付款后即可找回。
我们只求钱，所以我们对窃取或删除您的信息不感兴趣，这只是生意 $-)
然而，如果您尝试使用任何其他软件解密，而没有我们的特定加密密钥，您可能会自己损坏数据！
此外，我们收集了您所有敏感和私人信息，如果您决定不付款，
我们将公开发布！
****
***********如何找回文件？******
要解密所有文件和数据，您必须支付加密密钥费用：
BTC 支付钱包：*
支付金额（比特币）：25
****
***********您有多少时间付款？**********
* 您应在发现加密后 2 天内与我们联系以获得更好价格。
* 如果 14 天内无联系，价格将增加 100%（翻倍）。
* 如果 21 天内无联系或无交易，密钥将被彻底擦除。
从文件服务器窃取的某些敏感信息将被公开上传或转售。
****
***********如果文件无法恢复怎么办？******
为证明我们真能解密您的数据，我们将免费解密您的一个锁定文件！
发送给我们，您将免费拿回。
解密器价格基于网络规模、员工数量、年收入。
请随时联系我们了解应支付的 BTC 金额。
****
! 如果您不知道如何获取比特币，我们将建议如何兑换资金。
!!!!!!!!!!!!!
! 这是如何与我们取得联系的简单手册！
!!!!!!!!!!!!!
1) 访问 TOX 即时通讯官网 ( hxxps://tox.chat/download.html )
2) 在电脑上下载安装 qTOX，选择平台（Windows、OS X、Linux 等）
3) 打开通讯软件，点击“新建配置文件”并创建配置文件。
4) 点击“添加好友”按钮搜索我们的联系人 *
5) 为识别身份，发送 —RAGNAR SECRET— 的数据给我们的支持
重要！如果因某些原因您无法在 qTOX 联系我们，这是我们的备用邮箱（*）发送带有 —RAGNAR SECRET— 数据的消息
警告！
- 请勿尝试使用任何第三方软件解密文件（将永久损坏）
- 请勿重装操作系统，这会导致数据完全丢失且文件无法解密。永远不要！
- 您的解密秘钥在我们服务器上，但不会永久存储。别浪费时间！
********************
—RAGNAR SECRET—
*
—RAGNAR SECRET—
********************
Ragnar Locker 能做什么？
Ragnar Locker 通常通过 MSP 工具（如 ConnectWise）投递，网络犯罪分子投放高度针对性的勒索软件可执行文件。此传播技术曾被前期高恶意勒索软件（如 Sodinokibi）使用。发生此类攻击时，勒索软件作者通过不安全或保护不善的 RDP 连接渗透组织或设施。然后使用工具向所有可访问的端点发送 Powershell 脚本。脚本随后通过 Pastebin 下载载荷，旨在执行勒索软件并加密端点。在某些情况下，载荷以可执行文件形式作为基于文件攻击的一部分启动。也有情况是下载额外脚本作为完全无文件攻击的一部分。
Ragnar Locker 专门针对托管服务提供商常用的软件，包括以下字符串：
- vss
- sql
- memtas
- mepocs
- sophos
- veeam
- backup
- pulseway
- logme
- logmein
- connectwise
- splashtop
- kaseya
勒索软件首先窃取目标文件并上传到其服务器。Ragnar Locker 的独特之处在于，它们不仅加密文件，还威胁受害者如果不支付赎金将公开发布数据，如 EDP 案例所示。针对 EDP，攻击者威胁发布所谓的 10TB 被盗数据，这可能是历史上最大的数据泄露之一。攻击者声称所有合作伙伴、客户和竞争对手将被告知违规情况，其泄露数据将被发送给新闻和媒体来源供公众消费。尽管 EDP 发言人宣布攻击未影响公用事业的电力服务和基础设施，但迫在眉睫的数据泄露令他们担忧。
禁用服务和终止进程是恶意软件用于禁用安全程序、备份系统、数据库和邮件服务器的常用战术。一旦这些程序终止，其数据即可被加密。
首次启动时，Ragnar Locker 将扫描配置的 Windows 语言偏好。如果语言偏好为英语，恶意软件将继续下一步。但如果 Ragnar Locker 检测到语言设置为前苏联国家之一，恶意软件将终止进程，不加密计算机。
Ragnar Locker 在 MSP 安全工具阻止勒索软件执行前就妥协了它们。一旦进入内部，恶意软件启动加密过程。它使用嵌入的 RSA-2048 密钥加密重要文件。
Ragnar Locker 不加密所有文件。它会跳过某些文件夹、文件名和扩展名，例如：
- kernel32.dll
- Windows
- Windows.old
- Tor browser
- Internet Explorer
- Opera
- Opera Software
- Mozilla
- Mozilla Firefox
- $Recycle.Bin
- ProgramData
- All Users
- autorun.inf
- boot.ini
- bootfont.bin
- bootsect.bak
- bootmgr
- bootmgr.efi
- bootmgfw.efi
- desktop.ini
- iconcache.db
- ntldr
- ntuser.dat
- ntuser.dat.log
- ntuser.ini
- thumbs.db
- .sys
- .dll
- .lnk
- .msi
- .drv
- .exe
除了向加密文件附加新文件扩展名外，Ragnar Locker 还在每个加密文件末尾添加“RAGNAR”文件标记。
Ragnar Locker 随后投放名为“.RGNR_[extension].txt”的勒索消息，包含赎金金额详情、比特币支付地址、用于与攻击者通信的 TOX 聊天 ID，以及 TOX 出现问题时的备用电子邮件地址。与其他勒索软件不同，Ragnar Locker 没有固定赎金金额。它因目标而异，单独计算。据一些报告，赎金金额可能在 20 万至 60 万美元之间。在 EDP 案例中，要求赎金为 1,580 枚比特币或 1,100 万美元。
如何清除 Ragnar Locker
如果您的计算机不幸感染 Ragnar Locker，首先要检查所有文件是否已加密。您还需要检查备份文件是否也被加密。此类攻击凸显了备份重要数据的重要性，因为至少您不必担心失去文件访问权。
请勿尝试支付赎金，因为这将毫无用处。无法保证攻击者会发送正确的解密密钥且您的文件永远不会泄露给公众。事实上，攻击者极可能继续向您勒索钱财，因为他们知道您愿意付款。
您可以做的是先从计算机中删除勒索软件，然后再尝试解密。您可以使用杀毒软件或反恶意软件应用扫描计算机中的恶意软件，并按照说明删除所有检测到的威胁。接下来，卸载任何可能与恶意软件相关的可疑应用或扩展。
最后，寻找与 Ragnar Locker 匹配的解密工具。已有多款针对勒索软件加密文件设计的解密工具，但您应先检查您的安全软件制造商是否有可用工具。例如，Avast 和 Kaspersky 有自己的解密工具供用户使用。以下是您可以尝试的其他解密工具列表。
如何保护自己免受 Ragnar Locker 攻击
勒索软件可能非常麻烦，特别是如果没有现有解密工具能撤销恶意软件完成的加密。为保护设备免受勒索软件（特别是 Ragnar Locker）攻击，以下是您需要牢记的一些提示：
- 采用强密码策略，如可能使用双因素或多因素认证 (MFA)。如果不可能，生成难以猜测的随机唯一密码。
- 离开办公桌时务必锁定计算机。无论您是去吃午饭、短暂休息还是上洗手间，锁定计算机以防止未经授权访问。
- 制定数据备份和恢复计划，特别是计算机上的关键信息。如可能，将最关键信息存储在网络外部或外部设备上。定期测试这些备份，确保在真实危机发生时功能正常。
- 确保系统更新并安装最新安全补丁。勒索软件通常利用系统漏洞，因此确保设备安全无懈可击。
- 警惕网络钓鱼的常见载体，这是勒索软件最常见的分发方式。不要点击随机链接，下载邮件附件前务必用杀毒程序扫描。
- 在设备上安装强大的安全软件，并使用最新威胁保持数据库更新。
