當你莫名收到一封號稱“警察”發來的郵件，有何感想？是點擊觀看還是置之不理？這個時候就需要冷靜地判斷一下，這樣的郵件是不是由不法分子偽裝的釣魚郵件？近期，騰訊安全御見威脅情報中心監測發現，部分政府部門的工作人員收到了來自GandCrab5.2勒索病毒的魚叉郵件攻擊。攻擊郵件主題為“你必須在3月11日下午3點向警察局報到！”包含“Min，Gap Ryong”及其他假冒的發件人約70余個，郵件附件名為“03-11-19.rar”，用戶一旦點擊運行該文件，植入其中的GandCrab5.2勒索病毒便會自動運行，電腦上所有工作和個人文件將會被加密，以此進行敲詐勒索牟取非法利益。

（圖：GandCrab5.2勒索病毒偽裝郵件頁面）

作為目前國內最為活躍的勒索病毒之一，GandCrab勒索病毒僅在2018年就先后經過5次大版本更新。該病毒在國內擅長使用弱口令、網頁掛馬、垃圾郵件等多種方式進行傳播。同時，該病毒變種更新速度極快，平均每兩個月即可完成一次變種升級，給用戶網絡帶來極大的安全隱患。值得一提的是，由于該病毒采用RSA+Salsa20的加密方式，意味著中招用戶沒有拿到病毒作者手中私鑰，常規情況下無法進行解密。

不同于以往變種通過Seamless惡意廣告軟件和水坑攻擊，本次GandCrab5.2勒索病毒主要利用投遞惡意軟件完成病毒傳播。據悉，近期GandCrab5.2勒索病毒在國內投遞惡意郵件進行傳播的形式較多，利用各類文件格式誘導用戶運行，目前已發現包括exe文件、使用空格作為偽裝的超長文件名、PDF文件以及doc宏文檔等形式，這樣高超的偽裝手法，往往令用戶防不勝防。

（圖：內含exe文件的病毒附件）

當前，不斷變換作案手法的勒索病毒往往令用戶難以察覺，用戶稍有不慎，便會深陷勒索病毒的魔爪之中，因此做好日常預防工作就顯得十分必要。騰訊安全反病毒實驗室負責人馬勁松提醒政府單位用戶，輕易不要打開來歷不明的郵件，另外如果無法確認文件來源的可靠性，建議不要啟用office的宏功能；盡量關閉不必要的文件共享和端口，對重要文件和數據進行定期非本地備份；采用高強度的密碼，同時對沒有互聯需求的服務器/工作站內部訪問設置相應控制；推薦全網安裝御點終端安全管理系統，終端殺毒和修復漏洞統一管控，以及策略管控等全方位的安全管理功能，可幫助政府單位管理者全面了解、管理政府單位內網安全狀況、保護政府單位網絡安全。

（圖：騰訊御點終端安全管理系統）

據悉，騰訊御點終端安全管理系統除了能夠有針對性地查殺病毒攻擊外，還與騰訊御界高級威脅檢測系統、騰訊御見安全態勢感知平臺以及騰訊御知網絡空間風險雷達等產品，在終端安全、邊界安全、網站監測、統一監測方面為政府單位用戶建立一套集風險監測、分析、預警、響應和可視化為一體的安全體系，提供行業解決方案，全方位立體化保障政府單位用戶的網絡安全。