Saba 勒索软件是一个新的 Djvu 克隆
在检查恶意软件样本期间，我们发现了 Saba，它是属于 Djvu 勒索软件家族的勒索软件变体。 Saba 通过附加“.saba”扩展名来加密文件并修改文件名。它还会以名为“_readme.txt”的文本文件的形式生成赎金票据。
例如，Saba 将“1.jpg”的文件名更改为“1.jpg.saba”，将“2.png”更改为“2.png.saba”等。值得注意的是，Djvu 勒索软件变体经常与 Vidar 和 RedLine 等信息窃取程序一起分发。
Saba 创建的赎金票据提供了两个电子邮件地址（support@freshmail.top 和 datarestorehelp@airmail.cc），指示受害者在 72 小时内与攻击者联系，以避免增加赎金。初始付款金额为 490 美元，但未能在指定时限内采取行动将导致解密工具的付款增加 980 美元。
此外，赎金票据强调，如果不从攻击者那里购买解密软件和唯一密钥，就不可能恢复加密文件。该说明还提到了单个文件的免费解密优惠，但该文件不能包含重要信息。
Saba 赎金票据要求初始赎金 480 美元
完整的 Saba 赎金票据遵循通常的 Djvu 模板，索要 480 美元的赎金，并威胁要在三天内将赎金翻一番。全文如下：
注意力！
别担心，您可以归还所有文件！
您的所有文件，如图片、数据库、文档和其他重要文件都使用最强的加密和唯一密钥进行加密。
恢复文件的唯一方法是为您购买解密工具和唯一密钥。
该软件将解密您所有的加密文件。
你有什么保证？
您可以从您的 PC 发送您的加密文件之一，我们免费对其进行解密。
但是我们只能免费解密 1 个文件。文件不得包含有价值的信息。
您可以获取并查看视频概览解密工具：
hxxps://we.tl/t-iN0WoEcmv0
私钥和解密软件的价格是 980 美元。
如果您在 72 小时内与我们联系，可享受 50% 的折扣，价格为 490 美元。
请注意，您永远不会在不付款的情况下恢复您的数据。
如果超过 6 小时仍未收到回复，请检查您的电子邮件“垃圾邮件”或“垃圾邮件”文件夹。要获得此软件，您需要在我们的电子邮件中写下：
support@freshmail.top保留电子邮件地址以联系我们：
datarestorehelp@airmail.cc您的个人ID：
威胁参与者通常如何分发 Saba 等勒索软件？
威胁行为者通常通过各种方法分发像 Saba 这样的勒索软件，包括：
- 恶意电子邮件附件 - 勒索软件可以通过电子邮件附件传播，尤其是来自未知或可疑来源的附件。这些附件可能包含伪装的可执行文件或恶意宏，打开后会触发勒索软件感染。
- 恶意广告 - 攻击者可以使用通常在高流量网站上的恶意广告来分发勒索软件。这些广告看似合法，但在点击后会将用户重定向到一个网站，该网站会将勒索软件下载到他们的系统中。
- 利用软件漏洞——攻击者可以利用已知的软件漏洞向未安装最新安全补丁和更新的系统发送勒索软件。
- 社会工程——攻击者可以使用各种社会工程策略来诱骗用户下载和安装勒索软件。例如，攻击者可能会创建虚假的软件更新或防病毒警报，单击这些警报后，实际上会将勒索软件下载到系统中。
- 盗版软件 - 盗版软件通常与恶意软件（包括勒索软件）捆绑在一起。从不受信任的来源下载和安装此类软件可能会导致勒索软件感染。
在下载或打开附件、单击链接或下载软件时保持警惕和谨慎至关重要。保持防病毒软件处于最新状态、安装安全补丁和更新以及为重要文件创建定期备份也有助于抵御 Saba 等勒索软件。
