关注恶意软件：

• 名称：赎金木马变种（Trojan-Ransom.Win32.PornoBlocker.amq）
• 大小：179 200 字节  
• 是否加壳：是
• 加壳方式：UPX

   

创建文件：

%WorkDir%\Screen.jpg

修改注册表：

[HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Shell" = "<complete path to original Trojan file>"
[HKLM\Software\Microsoft\Outlook Express]
"pri" = "200"
"galo" = "1079837778"
"num" = "+790***34286"
[HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\system]
"DisableTaskMgr" = "1"
[HKLM\System\CurrentControlSet\Control\SafeBoot]
"Network_"
"Minimal_"

行为描述：

该木马能够锁定受感染计算机，用户只有支付一定赎金后，才能够解锁使用。一旦进行系统，此木马会通过修改和添加注册表项，利用系统进程"WINLOGON.EXE"启动自身。此外，还会阻止任务管理器的启动，防止用户通过任务管理器终止木马进程。不仅如此，该木马还能够阻止计算机以安全模式启动，一般用户很难将其清除。

之后，木马会在桌面显示解锁窗口，并覆盖整个桌面，用户除了输入解锁码外，无法进行其他操作。而解锁码则需要用户向其中指定的号码发送收费短信才能够获取，以此来勒索钱财。

目前，卡巴斯基所有产品均可以对该木马进行查杀。

专家预防建议:

• 建立良好的安全习惯，不打开可疑邮件和可疑网站。
• 不要随意接收聊天工具上传送的文件以及打开发过来的网站链接。
• 使用移动介质时最好使用鼠标右键打开使用，必要时先要进行扫描。
• 现在有很多利用系统漏洞传播的病毒，所以给系统打全补丁也很关键。
• 安装专业的防毒软件升级到最新版本，并开启实时监控功能。
• 为本机管理员账号设置较为复杂的密码，预防病毒通过密码猜测进行传播，最好是数字与字母组合的密码。
• 不要从不可靠的渠道下载软件，因为这些软件很可能是带有病毒的。