Guer Ransomware（.guer 文件）

Guer 病毒是勒索软件的一种，属于 STOP/Djvu 家族。像任何其他勒索软件一样，它的目的是为了钱财。此恶意软件使用强加密算法对您的文件进行加密，然后要求您支付赎金（约1000美元）以进行文件解密。为了防止通过其他方式进行文件解密，Guer 病毒对您的系统进行了一些更改。

这些更改涉及安全设置。首先，恶意软件会停止您的 Microsoft Defender，并阻止第三方安全工具的运行，如果您有的话。然后，它更改了组策略，以阻止安装 杀毒软件 程序的文件启动。最后一步是阻止访问包含有关文件解密和恶意软件删除的网站。这些更改可能会影响未来的电脑使用，因此最好尽快将其删除。

关于 Guer 勒索软件的传播方式，我们需要了解一些知识：这种病毒并不是无中生有，您很可能是与某个程序一起安装了它。未知用户创建的“免费”程序本来需要付费。在黑客攻击过程中，他们可以自由地向其产品的可执行代码添加任何内容 - 间谍软件、加密货币挖矿程序、勒索软件或窃取程序等。最好避免这种风险，尤其是当您无法通过警方惩罚这些人时。

Read also: Donex, DarkRace, fake LockBit 3.0 and Muse Ransomware Decryptor Released

加密过程

Guer勒索软件使用Salsa20加密算法。虽然它不是最强大的方法，但仍然提供了巨大数量的可能解密密钥。要暴力破解这个78位数的密钥，即使使用最强大的常规PC，也需要3.5 unvigintillion年（1*10^65）。量子计算机可以显示出更好的结果，但仍然太慢，无法在您还活着时找回您的文件。

加密的确切算法如下：恶意软件扫描每个文件夹以查找它能够加密的文件。然后，当它找到目标时，它会复制您的文件，删除原文件，加密副本并将其留在原文件的位置。这样做是为了防止您已经打开文件的情况下，勒索软件无法读取它，因为受到Windows的限制。对于每个加密副本，病毒都会添加特定的扩展名-“.guer”。然后，勒索软件在包含加密文件的文件夹中创建一个_readme.txt文件，然后进入下一个文件夹。

这种加密方法可以用于文件恢复。由于原始文件被删除，您可以尝试使用文件恢复工具来恢复它。经过的时间越少，恢复文件的机会就越大，所以要抓紧时间！

另一个有助于在加密后使用文件的特定瞬间是，Guer勒索软件仅加密每个文件的前150KB。因此，您可以尝试运行大文件，如视频或音乐，而不进行加密。其他勒索软件系列也具有类似功能- Dharma、Conti和Makop加密相同的150KB。

勒索信息: _readme.txt

勒索信息对于整个勒索软件系列都是相同的。实际上，这是确定特定勒索软件系列的主要迹象之一。这是STOP/Djvu系列的典型说明：

Read also: How can an attacker execute malware through a script?

威胁指标（IOC）

文件名称	MD5	文件大小
📜 SAMPLE.EXE	8e0e7c954a64e5e0e0ef02d8c115afa4	869376