BACKJOHN 勒索软件加密受害者文件

在分析恶意软件样本的过程中，我们的研究人员发现了 BACKJOHN，这是一种属于 Phobos 家族的勒索软件。 BACKJOHN 通过加密数据、修改加密文件的文件名以及生成“info.hta”和“info.txt”文件形式的勒索票据来运行。

对于文件名，BACKJOHN 会附加受害者的 ID、电子邮件地址 (backjohn131@gmail.com) 和“.BACKJOHN”扩展名。例如，“1.jpg”变为“1.jpg.id[9ECFA84E-3143].[backjohn131@gmail.com].BACKJOHN”，而“2.png”变为“2.png.id[9ECFA84E- 3143].[backjohn131@gmail.com].BACKJOHN”，等等。

勒索信指示受害者通过 backjohn131@gmail.com 联系攻击者，并在邮件标题中包含一个特定的 ID。如果 24 小时内没有回复，受害者应该发送消息到 backjohn@tutanota.com。

攻击者要求用比特币支付解密受害者文件的费用，金额取决于受害者与攻击者联系的速度。赎金票据提供最多五个文件的免费解密作为付款前的保证，但对文件大小和类型有限制。

赎金票据还警告受害者不要重命名加密文件或尝试使用第三方软件解密，因为这可能导致永久性数据丢失或增加赎金成本。

BACKJOHN 使用标准的 Phobos 赎金票据

BACKJOHN 生成的赎金消息全文如下：

您的所有文件都已加密！
由于您的 PC 存在安全问题，您的所有文件都已加密。如果您想恢复它们，请写信给我们的电子邮件 backjohn131@gmail.com
在您的消息标题中写下此 ID -
如果在 24 小时内没有得到答复，请写信给我们：backjohn@tutanota.com
您必须用比特币支付解密费用。价格取决于您给我们写信的速度。付款后，我们将向您发送解密所有文件的工具。
免费解密为保证
在付款之前，您最多可以向我们发送 5 个文件以供免费解密。文件总大小必须小于 4Mb（非存档），并且文件不应包含有价值的信息。（数据库、备份、大型 Excel 工作表等）
如何获得比特币
购买比特币最简单的方法是 LocalBitcoins 网站。您必须注册，点击“购买比特币”，然后通过付款方式和价格选择卖家。
hxxps://localbitcoins.com/buy_bitcoins
您还可以在此处找到其他购买比特币和初学者指南的地方：
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/
注意力！
不要重命名加密文件。
不要尝试使用第三方软件解密您的数据，这可能会导致永久性数据丢失。
在第三方的帮助下解密您的文件可能会导致价格上涨（他们向我们收取费用）或者您可能成为骗局的受害者。