國家計(jì)算機(jī)病毒應(yīng)急處理中心通過對互聯(lián)網(wǎng)的監(jiān)測發(fā)現(xiàn)了Locked勒索病毒正在攻擊國內(nèi)企業(yè)。該勒索病毒使用Go語言編寫，會通過永恒之藍(lán)漏洞傳播自身，同時加密計(jì)算機(jī)中的重要文件，將文件后綴修改為.locked，之后向受害用戶索要贖金，根據(jù)其加密后綴將其稱為locked勒索病毒。
攻擊者可以通過永恒之藍(lán)漏洞入侵企業(yè)中的一臺計(jì)算機(jī)，并利用這臺計(jì)算機(jī)作為跳板入侵企業(yè)內(nèi)網(wǎng)中的其他計(jì)算機(jī)。攻擊者成功入侵第一臺計(jì)算機(jī)后從指定地址下載勒索病毒加載器。勒索病毒加載器會釋放兩個模塊。一個是locked勒索病毒，另一個則是永恒之藍(lán)傳播模塊。永恒之藍(lán)傳播模塊會將當(dāng)前計(jì)算機(jī)作為FTP服務(wù)器，入侵內(nèi)網(wǎng)其他計(jì)算機(jī)后通過FTP下載locked勒索病毒運(yùn)行。永恒之藍(lán)傳播模塊是由python語言編寫并打包成exe文件。在加密文件之前，locked勒索病毒會結(jié)束系統(tǒng)中運(yùn)行的數(shù)據(jù)庫相關(guān)的進(jìn)程以確保勒索病毒能成功修改文件內(nèi)容。
locked勒索病毒為每臺計(jì)算機(jī)生成一對RSA密鑰對。這對密鑰對中的私鑰會通過硬編碼在勒索病毒程序文件中的一個RSA公鑰進(jìn)行加密并格式化后作為PersonID，RSA密鑰對中的公鑰則用來加密為每個待加密文件生成的AES密鑰，加密后的內(nèi)容將直接存儲在被加密的文件中，而這個AES密鑰才是最終加密文件的密鑰。
此次傳播的locked勒索病毒為今年3月在國外傳播的Tellyouthepass勒索病毒變種。Tellyouthepass勒索病毒與此次傳播的Locked勒索病毒擁有幾乎完全相同的勒索信息，并且在函數(shù)命名上也幾乎完全相同。
針對該惡意程序所造成的危害，建議用戶多臺機(jī)器不要使用相同的賬號和口令，口令要有足夠的長度和復(fù)雜性，并定期更換。重要資料的共享文件夾應(yīng)設(shè)置訪問權(quán)限控制，并進(jìn)行定期備份。在所使用的計(jì)算機(jī)中安裝安全防護(hù)軟件，并將病毒庫版本升級至最新版。同時，關(guān)閉不必要的端口，并安裝防火墻，以免使電腦受到該惡意程序的危害。