新變種 Trojan-Ransom.Win32.PornoBlocker.amq 行為分析
- 持久化：修改/新增註冊表鍵值，掛載至
WINLOGON.EXE 系統進程，開機即運行。
- 反分析/反清除：禁用任務管理器、阻止安全模式啟動、關閉註冊表編輯器、修改系統策略。
- 鎖屏勒索：全螢幕覆蓋鎖定畫面，僅保留輸入解鎖碼介面，禁止一切操作。
- 收費解鎖：解鎖碼需發送高費率短信至指定號碼獲取，單次收費數十至上百元，屬典型「贖金木馬」。
防護與應急
- 卡巴斯基全線產品已覆蓋查殺，保持病毒庫每日更新即可攔截。
- 來源不明檔案（郵件附件、網盤分享、破解補丁、成人內容下載）絕不直接執行，先上傳 VirusTotal/Hybrid Analysis 多引擎掃描。
- 定期離線備份關鍵資料（3-2-1 原則），中毒後可拒付贖金直接還原。
- 啟用 Windows「受控資料夾存取」、AppLocker/WDAC 限制未簽名程式執行，從執行層面阻斷。
贖金木馬已演進為 RaaS (Ransomware-as-a-Service) 產業鏈，防禦重心必須前移至「防止初始入侵」與「確保備份可用」。