FileCoder macOS 勒索軟體

網路犯罪分子不斷開發新的方法來利用毫無戒心的用戶，勒索軟體仍然是最具破壞性的威脅之一。在 macOS 用戶中，FileCoder 勒索軟體（也稱為 Patcher 或 Findzip）就是一個臭名昭著的例子。一旦激活，它會加密您的個人文件並要求付費才能恢復。不幸的是，FileCoder 的編碼品質很差，即使付費也無法恢復您的數據，因此，強有力的預防策略至關重要。

什麼是 FileCoder 勒索軟體？

FileCoder 是一款針對 macOS 系統的檔案加密勒索軟體。它經常偽裝成 Adobe Premiere Pro CC 和 Microsoft Office 2016 等熱門軟體的修補工具。研究人員最初發現它透過 BitTorrent 平台傳播，尋求盜版軟體的用戶成為其主要受害者。

該惡意軟體主要影響運行 OS X 10.11.x (El Capitan) 和 macOS 10.12.x 的系統，但舊版本和新版本也可能受到影響。其可執行檔未經 Apple 簽名，這應該引起用戶的警惕。

FileCoder 如何感染設備？

當使用者從種子網站下載看似高級軟體「修補程式」或「破解程式」的程式時，感染過程就開始了。啟動後，這個虛假的補丁程式會顯示一個包含三個步驟的進度窗口，但這只是為了分散注意力。用戶點擊「開始」後，加密過程會立即開始。當介面顯示步驟 2/3 時，損害已經造成。

FileCoder 會加密「使用者」資料夾中的所有內容，而不會影響系統和應用程式檔案。執行時連接的外部磁碟機和網路磁碟區也成為攻擊目標。該惡意軟體會在本地產生一個 25 個字元的隨機加密金鑰，並使用 rm 指令刪除原始檔案。它甚至嘗試使用 diskutil 擦除可用空間，但由於檔案路徑錯誤而失敗，這使得部分資料恢復的可能性微乎其微。

加密後會發生什麼事？

加密完成後，使用者的桌面上會充斥著諸如 README.txt 和 DECRYPT!.txt 之類的勒索訊息。受害者被要求支付 280 美元的比特幣，以便在 24 小時內解鎖文件；或支付 500 美元，即可獲得更快的解密速度。然而，這種要求具有欺騙性，因為 FileCoder 無法與命令與控制伺服器通訊或發送解密金鑰。換句話說，支付贖金並不能恢復對文件的存取權。

此外，勒索軟體也會將加密檔案的修改日期改為2010年2月13日，原因不明。系統重新啟動後會顯示「登入iCloud」介面，因為使用者的偏好設定和資料都會加密。

弱點和恢復選項

儘管 FileCoder 具有破壞潛力，但它也存在一些缺陷：

• 加密速度較慢，250 MB 的影片檔案大約需要 30 秒。快速操作可能會停止加密。
• 中途退出應用程式將停止進一步的文件加密。
• 不正確的磁碟工具路徑會阻止完全的安全性擦除，從而為使用 Data Rescue 等工具進行部分復原提供了視窗。

研究人員也開發了一種解密FileCoder加密檔案的方法。這個過程繁瑣且需要技術知識，但它為受害者提供了最後的手段。

為了嘗試恢復文件，受害者需要多種資源：第二台可以運行的電腦、至少一個加密文件的未加密副本、可靠的文字編輯器、Xcode 命令列工具和 pkcrack（一種對 ZIP 文件加密執行已知明文攻擊的實用程式）。

然而，擁有原始的、未加密的文件版本並非總是必要的。如果沒有這樣的文件，使用者可能會利用勒索軟體攻擊自身。如果 FileCoder 應用程式是在使用者資料夾（例如 Downloads 目錄）內執行的，則該惡意軟體很可能加密了自身的可執行檔。受害者可以下載受感染應用程式的新副本來協助解密過程。

研究人員警告稱，這種方法速度慢且耗費人力，因為無法進行批量解密。然而，對於那些決心恢復資料存取權的人來說，這種方法不失為一種可行的最後手段。

預防感染的有效安全措施

預防像 FileCoder 這樣的勒索軟體感染遠比恢復容易得多。請遵循以下安全措施來保護您的系統：

1.安全的計算習慣

• 避免從種子網站或其他未經驗證的來源下載軟體或修補程式。
• 始終檢查應用程式簽名並僅安裝來自受信任的開發人員或官方 Mac App Store 的應用程式。
• 隨時了解最新的威脅和安全警告。

2. 強大的系統保護

• 啟用信譽良好的反惡意軟體解決方案並保持其更新。

透過結合這些做法，您可以顯著減少遭受勒索軟體威脅的風險，並確保即使在最壞的情況下，您的資料仍然是安全且可恢復的。