近年来，因感染敲诈类木马而被迫支付赎金的事时常发生，更有甚者损失高达数万美元。因此，敲诈木马已逐渐成为安全领域内的重点关注对象，据安全公司统计，敲诈木马在所有恶意软件中所占比例，从2015年的第三位上升到了2016年的首位，形势十分严峻。
据腾讯安全专家介绍，虽然最早的敲诈木马可以追溯到1989年的“PC Cyborg”，但随着加密算法的完善，当前的敲诈木马已与之前大不相同，主要以高强度密码学算法加密受害者电脑上的文件，并要求其支付赎金以换取文件解密为主，因此在部分场合也被称为密锁类木马。除此之外，近年来在Android手机上也逐渐流行一种锁屏类敲诈木马，这类木马同样是通过锁定受害者手机屏幕，使受害者无法正常使用手机，借机进行敲诈。
针对近两年此类木马的爆发，腾讯安全专家除了持续跟进，通过分析众多木马样本输出针对性方案，向用户提供防御手段，保障上网安全之外，还在近期通过腾讯电脑管家旗下哈勃分析系统，详细溯源和解密了这类危害极大的木马。
（腾讯电脑管家拦截“敲诈者”示意图）
借助邮件传播 敲诈者木马加密破坏文件
在2013年，一个名为“CryptoLocker”木马被曝入侵了超过25万台电脑，成为较早引起人们关注的敲诈木马之一。而在国内最早产生反响的要数“CTB-Locker”敲诈木马，该木马主要通过邮件附件传播，并在2015年年初，随一部分邮件流入国内，导致一批受害者被敲诈。此外，还有针对游戏玩家的“TeslaCrypt”木马，通过在网页中植入恶意构造的文件，利用Flash播放器、pdf阅读器等各种漏洞，在受害者不知情的情况下下载并执行恶意payload，加密其电脑上的文件。
不仅如此，目前安全界内已先后发现曾敲诈某组织数万美金的“Locky”、首款使用简体中文的“Shujin”、首款加密磁盘引导扇区的“Petya”、简体中文界面的以国内受害者为目标的“国产C#”以及已更新至第五代的“Cerber”等众多敲诈木马。
（“CTB-Locker”木马敲诈界面）
腾讯安全专家表示，当前敲诈者木马主要通过邮件的方式进行传播，并使用成熟的、高强度的加密算法，对受害者电脑上的文件进行加密操作后，删除原文件。一般来说，因比特币使用者具有匿名性，通过比特币收款地址很难追踪到对应的拥有者，往往不法分子会要求受害者使用比特币支付赎金，以掩藏身份。此外，为了进一步防止被追踪，赎金支付说明指向暗网中的页面，暗网依托于现有的互联网而建，只有使用特定的软件、协议或权限才能访问，给不法分子提供匿名性，防止通过正常的途径追踪到位置、身份等信息。
（敲诈者木马伪造的应聘简历邮件）
据了解，敲诈者木马在传播时一般会使用大量以带宏的Office文档为代表的非PE载体，但近一段时间以来，腾讯安全专家发现，包括js、vbs、chm等在内的其它非PE文件也被用于传播敲诈木马。这样的传播方式可以避免木马直接放在邮件中时被安全类软件和网关直接拦截，同时通过不断变换下载地址对应的木马文件，也能躲过部分安全类软件的检测和查杀。
事实上，敲诈木马通常会结合使用非对称加密算法、对称加密算法，以充分利用二者各自的优点。使用这样的方法，既可以迅速完成整个电脑大量文件的加密，又避免了对称加密算法的密钥进行传输交换中存在被记录和泄漏的风险。经腾讯安全专家分析发现，如果加密算法使用得当的话，被加密的文件是无法在没有密钥的情况下恢复的；不过，各类敲诈木马在具体的实现上，可能遗留了一些漏洞，如果发现了此类漏洞，就有可能可以使用一些较低的代价恢复文件。
移动端敲诈木马愈演愈烈 伪装应用致手机锁屏
与Windows操作系统类似，Android操作系统上的敲诈木马在近几年也有愈演愈烈的趋势。腾讯安全专家表示，一方面，Android系统对应用权限的严格限制，使得未root的手机上，恶意应用并没有太多办法去读写大量文件；另一方面，由于手机的便携性，使得手机系统的开发者需要更多地考虑手机在未授权的物理访问场景下也能受到良好的保护，这反过来又使得受害者在面对锁屏敲诈的时候能够用上的手段不多。