Neer Ransomware（.neer 文件）

Neer 勒索软件属于 STOP/Djvu 勒索软件 家族。该恶意软件家族通常针对个人。除了统计数据外，可以通过特定的传播方式和注入后的操作来确定此恶意软件的定位。它使用强大的密码 - Salsa20 加密文件，这是不可能 “破解” 的。所有解密密钥都保存在由网络犯罪分子控制的远程服务器上。

此恶意软件会对您的系统配置进行一些更改。其中最重要的之一是停止 Microsoft Defender 并防止反恶意软件软件安装文件启动。这些更改是通过组策略完成的 - Windows 中用于与深度系统设置进行交互的特定接口。

Neer 勒索软件 通常通过提供免费程序的可疑网站传播。通常，您需要购买这些程序，但这些网页提供非常诱人的优惠 - 免费获得它。他们通过破解源代码使程序可用而不需要许可证。这些骗子可以轻松在源代码编辑时添加任何病毒。哪一种？这取决于他们支付了多少钱购买某种恶意软件。

Neer 勒索软件的其他来源是所谓的黑客工具。像 keygens、Windows 激活工具、作弊引擎等应用程序是任何恶意软件的完美载体。使用它们，您不仅冒着被 Neer 病毒感染的风险，还会因使用未经许可的软件而被当地政府罚款。

Read also: Donex, DarkRace, fake LockBit 3.0 and Muse Ransomware Decryptor Released

加密过程

Neer勒索软件使用Salsa20加密算法。虽然它不是最强大的方法，但仍然提供了巨大数量的可能解密密钥。要暴力破解这个78位数的密钥，即使使用最强大的常规PC，也需要3.5 unvigintillion年（1*10^65）。量子计算机可以显示出更好的结果，但仍然太慢，无法在您还活着时找回您的文件。

加密的确切算法如下：恶意软件扫描每个文件夹以查找它能够加密的文件。然后，当它找到目标时，它会复制您的文件，删除原文件，加密副本并将其留在原文件的位置。这样做是为了防止您已经打开文件的情况下，勒索软件无法读取它，因为受到Windows的限制。对于每个加密副本，病毒都会添加特定的扩展名-“.neer”。然后，勒索软件在包含加密文件的文件夹中创建一个_readme.txt文件，然后进入下一个文件夹。

这种加密方法可以用于文件恢复。由于原始文件被删除，您可以尝试使用文件恢复工具来恢复它。经过的时间越少，恢复文件的机会就越大，所以要抓紧时间！

另一个有助于在加密后使用文件的特定瞬间是，Neer勒索软件仅加密每个文件的前150KB。因此，您可以尝试运行大文件，如视频或音乐，而不进行加密。其他勒索软件系列也具有类似功能- Dharma、Conti和Makop加密相同的150KB。

勒索信息: _readme.txt

勒索信息对于整个勒索软件系列都是相同的。实际上，这是确定特定勒索软件系列的主要迹象之一。这是STOP/Djvu系列的典型说明：

Read also: How can an attacker execute malware through a script?

威胁指标（IOC）

文件名称	MD5	文件大小
📜 SAMPLE.EXE	69abef387f5e6f1374228d93e99b49b2	1153632