標題：StopCrypt：分佈最廣泛的勒索軟件演變為逃避檢測

StopCrypt 勒索軟件（又名STOP）的新變種在野外被發現，它採用涉及shellcode 的多階段執行過程來逃避安全工具。

StopCrypt，也稱為STOP Djvu，是現有的分佈最廣泛的勒索軟件之一。

因為這種勒索軟件操作通常不針對企業，而是針對消費者，經常產生數万筆400 至1000 美元的小額贖金，以至於很少聽到安全研究人員討論STOP。

STOP勒索軟件通常通過惡意廣告和可疑網站傳播，這些網站會分發偽裝成免費軟件、遊戲作弊和軟件破解的廣告軟件捆綁包。

然而，當安裝這些程序時，用戶就會感染各種惡意軟件，包括密碼竊取木馬和STOP 勒索軟件。

自2018 年首次發布以來，勒索軟件加密器沒有太大變化，發布的新版本主要是為了修復關鍵問題。因此，當新的STOP版本發佈時，由於受到影響的人數較多，值得關注。

新的多階段執行威脅研究團隊在野外發現的STOP 勒索軟件新變種，現在利用多階段執行機制。

最初，惡意軟件加載一個看似不相關的DLL 文件(msim32.dll)，可能是為了轉移注意力。它還實現了一系列長時間延遲循環，可能有助於繞過與時間相關的安全措施。

接下來，它使用堆棧上動態構造的API 調用來為讀/寫和執行權限分配必要的內存空間，從而使檢測變得更加困難。

StopCrypt 使用API 調用進行各種操作，包括拍攝正在運行的進程的快照以了解其運行環境。

下一階段涉及進程空洞，其中StopCrypt 劫持合法進程並註入其有效負載以在內存中謹慎執行。這是通過一系列精心編排的API 調用來操作進程內存和控制流來完成的。

一旦執行了最終的有效負載，就會發生一系列操作來確保勒索軟件的持久性，修改訪問控制列表（ACL）以拒絕用戶刪除重要惡意軟件文件和目錄的權限，並創建一個計劃任務來每隔一段時間執行一次有效負載5分鐘。

StopCrypt的計劃任務

文件已加密，並且新名稱後會附加“.msjd”擴展名。然而，有數百個與STOP 勒索軟件相關的擴展。

最後，在每個受影響的文件夾中都會創建名為“_readme.txt”的勒索字條，向受害者指示支付贖金以檢索數據。

勒索信樣本

StopCrypt 正逐漸演變為更加隱秘和強大的威脅，儘管StopCrypt 的金錢要求並不高，而且其運營商也不會進行數據盜竊，但它仍會對許多人造成巨大損失。