以传说中的怪物命名的Kraken Cryptor勒索软件
▲ 电影“加勒比海盗”中的怪物“Kraken”（* 来源：官网 https://pirates.disney.com）
此勒索软件以“加勒比海盗”中出现的巨型章鱼“Kranken”命名。Kraken Cryptor从今年8月份开始引起关注，当时它使用最新的攻击工具Fallout Exploit Kit传播了1.2版本。
Fallout Expoit Kit是一种相对较新的攻击工具，它通过利用恶意在线广告手法传播勒索软件。据悉，从7月下旬到8月下旬，在韩国、日本、南欧和中东地区传播了包括GrandCrab勒索软件在内的SmokeLoader和挖矿（Miner）恶意代码等。
特别是，Fallout Expoit Kit会检查用户PC上安装的浏览器的信息，并且仅在满足特定条件时才使用恶意在线广告手法感染恶意代码（如勒索软件）。然而，在9月份，它攻击了特定网站并用恶意文件替换了正常的安装文件，以传播Kraken Cryptor勒索软件。
【图1】Kraken Cryptor v1.6 勒索笔记本
此Kranken Cryptor v1.6在Torrent和成人网站上发布了恶意广告横幅。当用户访问包含恶意广告的网站时，通过Fallout Expoit Kit检查用户的PC环境，并且如果用户的PC环境满足特定条件时，将用户重定向到特定页面以感染勒索软件。
通过这种方式渗透到用户PC的Kraken Cryptor v1.6在%Temp%文件夹路径中创建名为krakentemp0000.exe的文件，并尝试绕过Windows的用户帐户控制（UAC：User Account Control）。这样可以防止创建“运行勒索软件时询问是否运行程序”的提示窗口。
【图2】Kraken Cryptor v1.6的主要代码
Kraken Cryptor在特定路径（%Temp%）中安装的krakentemp0000.exe文件利用Windows操作系统的事件查看器（eventvwr.exe）的漏洞绕过UAC并运行恶意代码。但是，由于Windows 10已对此漏洞进行了修补，因此不会发生绕过UAC。
当Kraken Cryptor被运行，它会加密受感染PC上的文件并下载文件删除程序，完全删除受感染系统驱动器上剩余的原始文件的痕迹。这样可以防止使用文件恢复程序恢复原始文件。
如【图3】所示，Kraken Cryptor在加密文件时将文件扩展名更改为5位的随机字符。加密完成后，会创建一个名为“# How to Decrypt Files-[加密扩展名].html”的勒索笔记本。
【图3】被加密的文件和勒索笔记本文件
目前，V3产品系列通过以下诊断名检测Kraken Cryptor v1.6。
<V3产品群诊断名>
Trojan/Win32.Ransom
Malware/Win32.Generic
一旦被Kraken Cryptor勒索软件感染，就连原始文件的痕迹也会丢失，因此预防感染更为重要。最好不要访问不安全的网站并将重要文件备份到另外的存储设备。此外，由于Kraken Cryptor勒索软件会在感染之前检查用户的PC环境，因此将最新的安全补丁应用于操作系统和主要程序也非常重要。
