avast许可文件专题之Mallox病毒家族.devicZz、.consultransom，avast，.exploit后缀

前言：简介

.devicZz后缀勒索病毒是国外著名勒索病毒家族Mallox(TargetCompany)的新型传播病毒，最近我们已经得到了一些公司的咨询和帮助，各公司必须加强预防。

近日，国内某企业披露遭遇.devicZz勒索病毒攻击，据知情人士称，攻击者对多台设备进行了加密。为了防止攻击进一步蔓延，该公司关闭了部分服务器系统，使得部分员工无法进行工作。据了解，设备中的文件被添加了“.devicZz”后缀，并且无法正常打开。通过后缀可确定该病毒为Mallox家族勒索病毒。该病毒主要通过RDP远程桌面弱口令进行攻击，由于很多用户设置的密码过于简单，很容易被攻击者暴力破解，并将勒索病毒植入机器中执行加密文件。

一、什么是.devicZz后缀勒索病毒？

根据专家进行的研究，devicZz勒索病毒是一种高度危险的加密病毒，.devicZz 勒索病毒旨在加密数据文件，用于附加用户主要使用的几乎所有可能的文件类型。在加密过程中，在文件名后附加新的文件扩展名（“ .devicZz ”），例如，它将名为“ 1.jpg ”的文件重命名为“ 1.j ”，将“ 2.jpg ”重命名为“ 2.jpg..devicZz”。

.devicZz勒索病毒与大多数勒索病毒一样，.devicZz勒索病毒通过加密阻止对文件的访问，更改文件名并向受害者提供有关如何恢复其文件的说明。

Mallox勒索病毒家族通过名为.devicZz的新加密病毒再次活跃。该特定的病毒家族通过添加.devicZz扩展名来修改所有流行的文件类型，从而使数据绝对不可用。受害人根本无法打开他们的重要文件。勒索病毒还分配其唯一的识别密钥，就像病毒家族的所有先前代表一样。一旦该文件被勒索软件加密，它将获得一个特殊的新扩展名，成为次要扩展名。该文件病毒还会生成赎金记录，向用户提供据称想要恢复数据的指令。

该病毒会终止许多重要的Windows进程，以便更快速地加密数据。我们对中毒机器进行了分析并得出结论，Mallox勒索病毒家族混合使用了Chacha20和AES-128算法，在加密数据上写入了坚固的密码并留下勒索信说明文件。

勒索说明文件内容：

YOUR FILES ARE ENCRYPTED !!!

TO DECRYPT, FOLLOW THE INSTRUCTIONS:

To recover data you need decrypt tool.

To get the decrypt tool you should:

1.In the letter include your personal ID! Send me this ID in your first email to me!

2.We can give you free test for decrypt few files (NOT VALUE) and assign the price for decryption all files!

3.After we send you instruction how to pay for decrypt tool and after payment you will receive a decryption tool!

4.We can decrypt few files in quality the evidence that we have the decoder.

CONTACT US:

deviceZz@mail

mallox@

recohelper@cock.li

YOUR PERSONAL ID: AC998DE56C41

与该病毒同类的后缀病毒还有以下各种后缀，都是同一个病毒家族的，我们团队均可以恢复处理：

.devicZz

.consultransom

.mallox

.avast

.carone

.exploit

.architek

.brg

.herrco

.artiis

二.devicZz后缀勒索病毒是如何传播感染的？

经过分析多家公司感染勒索病毒后的机器环境及系统日志判断，Mallox勒索病毒家族基本上是通过以下几种方式入侵，请大家可逐一了解并检查以下防范入侵方式，毕竟事前预防比事后恢复容易的多。

三、中了.devicZz后缀勒索病毒文件怎么恢复？

此后缀病毒文件由于加密算法的原因，每台感染的电脑服务器文件都不一样，需要独立检测与分析加密文件的病毒特征与加密情况，才能确定最适合的恢复方案。

考虑到数据恢复需要的时间、成本、风险等因素，建议如果数据不太重要，建议直接全盘扫描杀毒后全盘格式化重装系统，后续做好系统安全防护工作即可。如果受感染的数据确实有恢复的价值与必要性，可添加我们的技术服务号（sjhf91）进行免费咨询获取数据恢复的相关帮助。

系统安全防护措施建议：

①　及时给办公终端和服务器打补丁，修复漏洞，包括操作系统以及第三方应用的补丁，防止攻击者通过漏洞入侵系统。

②　尽量关闭不必要的端口，如139、445、3389等端口。如果不使用，可直接关闭高危端口，降低被漏洞攻击的风险。

③　不对外提供服务的设备不要暴露于公网之上，对外提供服务的系统，应保持较低权限。

④　企业用户应采用高强度且无规律的密码来登录办公系统或服务器，要求包括数字、大小写字母、符号，且长度至少为8位的密码，并定期更换口令。

⑤　数据备份保护，对关键数据和业务系统做备份，如离线备份，异地备份，云备份等， 避免因为数据丢失、被加密等造成业务停摆，甚至被迫向攻击者妥协。

⑥　敏感数据隔离，对敏感业务及其相关数据做好网络隔离。避免双重勒索病毒在入侵后轻易窃取到敏感数据，对公司业务和机密信息造成重大威胁。

⑦　尽量关闭不必要的文件共享。

⑧　提高安全运维人员职业素养，定期进行木马病毒查杀。