在2021年底，出现了一种名为“Covid-22”的恶作剧病毒，其使用新冠病毒的命名方式，表明其可能会在2022年进行传播，主要对受害者进行恐吓及破坏MBR导致系统无法启动。
2022年初，深信服终端安全团队捕获到一种自称“Covid-666勒索病毒”的恶意程序，该程序运行后会将文件加上“.covid-666”后缀，在将桌面背景改为冠状病毒的图片后，要求支付一定金额的比特币作为赎金，如图1所示。
图1 Covid-666勒索病毒
通过分析发现，被加上”.covid-666”后缀的文件其实并未被加密，仅仅只是重命名，去掉”.covid-666”后缀后就能正常打开，可以说是“假勒索，真恶作剧”，演技逼真到堪称病毒界的“影帝”。
病毒分析
病毒伪装为Photoshop程序文件，推测其可能通过盗版软件进行传播，如图2所示。
图2 病毒伪装为Photoshop程序文件
将脚本文件Covid666.bat写入到temp目录，见图3。
图3 将脚本文件Covid666.bat写到temp目录
Covid666.bat脚本内容如下（见图4）：
1、通过修改注册表禁用任务管理器、禁用快速用户切换、禁止修改密码、禁止锁屏、禁止注销；
2、运行mbr.exe；
3、将note.bmp复制到C盘根目录并将其设置为桌面背景，刷新桌面，并禁止修改桌面背景；
4、将桌面文件重命名，加上“.covid666”后缀；
5、运行MainWindow.exe；
6、运行命令使系统在240秒后重启并提示“你只有4分钟完成支付，否则你的所有文件都将永久丢失”。
图4 Covid666.bat脚本内容
将文件mbr.exe、mbr.cpp、note.bmp、MainWindow.exe释放到temp目录，见图5。
图5 将相关文件释放到temp目录
mbr.exe为mbr擦除程序，其会将mbr内容覆盖为0，如图6所示。
图6 mbr.exe为mbr擦除程序
mbr.cpp为mbr.exe的源代码，见图7。
图7 mbr.cpp为mbr.exe的源代码
note.bmp为用于修改桌面背景的图片，见图8。
图8 用于修改桌面背景的图片
MainWindow.exe为一个窗口程序，内容为要求支付一定金额的比特币作为赎金，但点击支付按钮却显示为“支付未完成或无法连接服务器”，如图9所示。
图9 勒索页面
运行脚本Covid666.bat，如图10所示。
图10 Covid666.bat运行脚本
病毒运行结束并重启后，由于mbr被覆盖为0，将无法进入系统，如图11所示。
图11 用户无法进入系统
日常加固
1.日常生活工作中的重要的数据文件资料设置相应的访问权限，关闭不必要的文件共享功能并且定期进行非本地备份；
2.使用高强度的主机密码，并避免多台设备使用相同密码，不要对外网直接映射3389等端口，防止暴力破解；
3.避免打开来历不明的邮件、链接和网址附件等，尽量不要在非官方渠道下载非正版的应用软件，发现文件类型与图标不相符时应先使用安全软件对文件进行查杀；
4.定期检测系统漏洞并且及时进行补丁修复。
声明：本文来自安全牛，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
