不能低估的对手：FONIX勒索软件及服务

FONIX ，一种新的勒索软件即服务(RaaS)产品。

事实上，FONIX于 2020 年 7 月才首次出现在威胁环境中，与这种威胁相关的感染数量仍然很少，但绝不能被轻易低估。

专家指出，该勒索软件作者不要求威胁分发者支付任何费用来加入其中，只需要拿走威胁分发者获得的赎金的一定百分比。和许多其他当前 RaaS 产品略有不同，FONIX对每个文件采用四种加密方法，并且感染后解密周期过于复杂。

威胁分发者通过电子邮件与作者进行通信，以获得针对受害者的解密程序和密钥。与之相对的，分发者会为作者保留25%赎金。

根据当前情报，FONIX关联公司或者说威胁分发者一开始不会获得解密程序或密钥。正常情况下，在受害者通过电子邮件联系威胁分发者后，威胁分发者受害者会要求受害者提供一些文件。其中包括两个用于解密的小文件：一个是证明被加密的证据，另一个是来自受感染主机的文件"cpriv.key"。然后，威胁分发者会将这些文件发送给FONIX作者，作者解密文件后发送给受害者。当受害者确信解密是可信的，分发者就会提供付款地址(BTC 钱包)。然后，受害者支付报酬，然后分发者会和FONIX 作者分成。

显然，上述流程比大多数 RaaS 服务更复杂，用户友好程度也更低。

目前，FONIX 勒索软件仅针对 Windows 系统，默认情况下它加密所有文件类型，不包括关键的 Windows OS 文件。此外，该勒索软件使用 AES、Chacha、RSA 和 Salsa20 的组合来加密受害者的文件，并且添加了一个XINOF 扩展。这类多种加密协议使得加密过程比其他勒索软件慢得多，而使用管理权限执行有效负载后，将进行以下系统更改：

• 禁用任务管理器
• 通过计划任务、启动包含和注册表(运行和运行一次)的文件夹实现持久性
• 修改系统文件权限
• 有效负载的持久副本将其归因于隐藏
• 为持久性创建隐藏服务(Windows 10)
• 更改驱动器/音量标签(更改为"XINOF")
• 删除卷卷副本将(vssadmin，wmic)
• 系统恢复选项被操控 / 禁用( bcdedit )
• 安全引导选项被操控

FONIX 感染具有明显攻击性，即加密系统文件以外的所有内容 ，并且一旦设备完全加密，就很难恢复。不过，目前FONIX似乎并没有通过数据公开来威胁受害者。

参考来源：securityaffairs