Ehiz Ransomware（.ehiz 文件）

如果您的文件扩展名为.ehiz，并且在各个文件夹中有_readme.txt文件，则表明您已感染了Ehiz勒索软件。此类恶意软件旨在勒索用户，先加密计算机上的文件，然后勒索钱财。通常，没有特殊软件是无法解密文件的。

Ehiz病毒和STOP/Djvu家族的其他成员使用Salsa20加密机制。这种密码有大量的可能解密密钥，因此无法通过暴力破解等方式来破解。即使使用量子计算机，您也可能需要花费的时间比地球的存在时间还要长。但不要担心——使用专门用于文件解密的应用程序，您可以在几个小时内恢复文件。

Ehiz勒索软件的主要传播方式是第三方网站，它们为用户提供免费获取某些程序或使用不同可疑工具的机会。黑客通过在程序中突破许可检查程序（这个操作允许他们在不支付任何费用的情况下使用该程序）来注入恶意代码，甚至整个病毒，到他们的“产品”中。恶意软件开发人员支付这样的人。

可疑工具甚至更容易用于此目的。通常，它们是为非法行动而创建的，例如生成特定程序的许可证密钥或在不支付任何费用的情况下激活Windows。防病毒程序检测到所有这些应用程序，因此骗子总是指示您禁用安全工具或将黑客工具添加到白名单中。不幸的是，等到您发现问题时，往往为时已晚。

Read also: Arma dei Carabinieri Virus

加密过程

Ehiz勒索软件使用Salsa20加密算法。虽然它不是最强大的方法，但仍然提供了巨大数量的可能解密密钥。要暴力破解这个78位数的密钥，即使使用最强大的常规PC，也需要3.5 unvigintillion年（1*10^65）。量子计算机可以显示出更好的结果，但仍然太慢，无法在您还活着时找回您的文件。

加密的确切算法如下：恶意软件扫描每个文件夹以查找它能够加密的文件。然后，当它找到目标时，它会复制您的文件，删除原文件，加密副本并将其留在原文件的位置。这样做是为了防止您已经打开文件的情况下，勒索软件无法读取它，因为受到Windows的限制。对于每个加密副本，病毒都会添加特定的扩展名-“.ehiz”。然后，勒索软件在包含加密文件的文件夹中创建一个_readme.txt文件，然后进入下一个文件夹。

这种加密方法可以用于文件恢复。由于原始文件被删除，您可以尝试使用文件恢复工具来恢复它。经过的时间越少，恢复文件的机会就越大，所以要抓紧时间！

另一个有助于在加密后使用文件的特定瞬间是，Ehiz勒索软件仅加密每个文件的前150KB。因此，您可以尝试运行大文件，如视频或音乐，而不进行加密。其他勒索软件系列也具有类似功能- Dharma、Conti和Makop加密相同的150KB。

勒索信息: _readme.txt

勒索信息对于整个勒索软件系列都是相同的。实际上，这是确定特定勒索软件系列的主要迹象之一。这是STOP/Djvu系列的典型说明：

Read also: Donex, DarkRace, fake LockBit 3.0 and Muse Ransomware Decryptor Released

威胁指标（IOC）

文件名称	MD5	文件大小
📜 SAMPLE.EXE	edd2a9f4aa570577744809cb12b478d5	1113112
📜 SAMPLE.EXE	c1032095f1d38f5d268c169c9c231b8e	1069080
📜 SAMPLE.EXE	be23bf21f50efe03646c00428769da08	18461966