恶意病毒 IsraBye 伪装勒索软件损毁文件、宣扬反以色列思想

据外媒 8 月 13 日报道，安全公司 Avast 研究人员 Jakub Kroustek 近期发现一款恶意病毒 IsraBye 通过伪装成勒索软件肆意传播并永久损毁系统文件，同时可将用户桌面内容替换成反以色列画面。

以色列政府针对耶路撒冷的阿克萨清真寺采取新安全措施，引发阿克萨危机事件。然而，巴勒斯坦认为这是以色列对伊斯兰教的控制与扩张。调查显示，由于 IsraBye 在阿克萨事件发生不久后被发现，因此研究人员推测该恶意软件的出现并非偶然 。

恶意病毒 IsraBye 由 5 个不同可执行文件组成，其第一个可执行文件名为 IsraBye.exe 。当程序启动时，IsraBye.exe 会自动将以下反以色列字符串消息替换到所有连接驱动器上的文件中：

Fuck-israel, [username] You Will never Recover your Files Until Israel disepeare

事实上 IsraBye 并不会对文件进行加密，而是直接毁坏文件本身内容。一旦完成操作，它将从 IsraBye.exe 可执行文件中提取并启动 4 个名为 Cry.exe、Cur.exe、Lock.exe 与 Index.exe 的文件。其中 Cry.exe 可执行文件将以反以色列的图像取代目标设备的桌面墙纸。

另外，Lock.exe 可执行文件运行以下三个功能：首先，它将寻找 procexp64、ProcessHacker、taskmgr、procexp、xns5 进程并在被检测时终止它们。其次，如果它尚未运行，将启动 Index.exe。最后，它将主 Israbye.exe 文件复制到其他驱动器的 root 目录 ClickMe.exe 中，以便传播恶意软件。

研究人员 Ido Naor 注意到，在 ％Temp％ 文件夹中创建一个名为 ClickMe.exe 的文件，可能会使 IsraBye 在第一次启动时处于崩溃状态。最后，Index.exe 可执行文件将显示锁屏，并提取 wav 文件并进行播放。

原作者：Pierluigi Paganini，译者：青楚

from hackernews.cc.thanks for it.