FileCoder macOS 勒索软件

网络犯罪分子不断开发新的方法来利用毫无戒心的用户，勒索软件仍然是最具破坏性的威胁之一。在 macOS 用户中，FileCoder 勒索软件（也称为 Patcher 或 Findzip）就是一个臭名昭著的例子。一旦激活，它会加密您的个人文件并要求付费才能恢复。不幸的是，FileCoder 的编码质量很差，即使付费也无法恢复您的数据，因此，强有力的预防策略至关重要。

什么是 FileCoder 勒索软件？

FileCoder 是一款针对 macOS 系统的文件加密勒索软件。它经常伪装成 Adobe Premiere Pro CC 和 Microsoft Office 2016 等热门软件的修补工具。研究人员最初发现它通过 BitTorrent 平台传播，寻求盗版软件的用户成为其主要受害者。

该恶意软件主要影响运行 OS X 10.11.x (El Capitan) 和 macOS 10.12.x 的系统，但旧版本和新版本也可能受到影响。其可执行文件未经 Apple 签名，这应该引起用户的警惕。

FileCoder 如何感染设备？

当用户从种子网站下载看似高级软件“补丁程序”或“破解程序”的程序时，感染过程就开始了。启动后，这个虚假的补丁程序会显示一个包含三个步骤的进度窗口，但这只是为了分散注意力。用户点击“开始”后，加密过程会立即开始。当界面显示步骤 2/3 时，损害已经造成。

FileCoder 会加密“用户”文件夹中的所有内容，而不会影响系统和应用程序文件。执行时连接的外部驱动器和网络卷也成为攻击目标。该恶意软件会在本地生成一个 25 个字符的随机加密密钥，并使用 rm 命令删除原始文件。它甚至尝试使用 diskutil 擦除可用空间，但由于文件路径错误而失败，这使得部分数据恢复的可能性微乎其微。

加密后会发生什么？

加密完成后，用户的桌面上会充斥着诸如 README.txt 和 DECRYPT!.txt 之类的勒索信息。受害者被要求支付 280 美元的比特币，以便在 24 小时内解锁文件；或者支付 500 美元，即可获得更快的解密速度。然而，这种要求具有欺骗性，因为 FileCoder 无法与命令与控制服务器通信或发送解密密钥。换句话说，支付赎金并不能恢复对文件的访问权限。

此外，勒索软件还会将加密文件的修改日期更改为2010年2月13日，原因不明。系统重启后会显示“登录iCloud”界面，因为用户的偏好设置和数据都会被加密。

弱点和恢复选项

尽管 FileCoder 具有破坏潜力，但它也存在一些缺陷：

• 加密速度较慢，250 MB 的视频文件大约需要 30 秒。快速操作可能会停止加密。
• 中途退出应用程序将停止进一步的文件加密。
• 不正确的磁盘工具路径会阻止完全的安全擦除，从而为使用 Data Rescue 等工具进行部分恢复提供了窗口。

研究人员还开发了一种解密FileCoder加密文件的方法。这个过程繁琐且需要技术知识，但它为受害者提供了最后的手段。

为了尝试恢复文件，受害者需要多种资源：第二台可以运行的计算机、至少一个加密文件的未加密副本、可靠的文本编辑器、Xcode 命令行工具和 pkcrack（一种对 ZIP 文件加密执行已知明文攻击的实用程序）。

然而，拥有原始的、未加密的文件版本并非总是必需的。如果没有这样的文件，用户可能会利用勒索软件攻击自身。如果 FileCoder 应用程序是在用户文件夹（例如 Downloads 目录）内执行的，则该恶意软件很可能加密了自身的可执行文件。受害者可以下载受感染应用程序的新副本来协助解密过程。

研究人员警告称，这种方法速度慢且耗费人力，因为无法进行批量解密。然而，对于那些决心恢复数据访问权限的人来说，这种方法不失为一种可行的最后手段。

预防感染的有效安全措施

预防像 FileCoder 这样的勒索软件感染远比恢复容易得多。请遵循以下安全措施来保护您的系统：

1.安全的计算习惯

• 避免从种子网站或其他未经验证的来源下载软件或补丁。
• 始终检查应用程序签名并仅安装来自受信任的开发人员或官方 Mac App Store 的应用程序。
• 随时了解最新的威胁和安全警告。

2. 强大的系统保护

• 启用信誉良好的反恶意软件解决方案并保持其更新。

通过结合这些做法，您可以显著减少遭受勒索软件威胁的风险，并确保即使在最坏的情况下，您的数据仍然是安全且可恢复的。