近日，安全專家K7 Lab惡意軟件研究員Dinesh Devadoss發現了一種名為ThiefQuest(最初以EvilQuest的名稱標識)的新勒索軟件，旨在對macOS系統進行加密，并能夠安裝其他有效負載，甚至可能接管被感染的計算機。

好在網絡安全公司SentinelOne發布了一個免費的解密器應用程序，可以幫助ThiefQuest勒索軟件的受害者恢復其加密文件。

與其他MacOSx威脅不同，EvilQuest還安裝了鍵盤記錄程序，反向外殼并從受感染的主機上竊取了加密貨幣錢包。

研究專家表示，自6月以來，EvilQuest勒索軟件已經在野外分發。

攻擊者們開始通過torrent門戶網站和在線論壇上被污染的盜版macOS軟件分發勒索軟件，一旦對受感染主機上的文件進行加密后，將會向受害者顯示一個彈出窗口，告知其文件已被加密。

受害者將被指示打開放置在其桌面上的贖金票據，其中包含有關支付勒索軟件的說明，勒索軟件當前針對以下文件擴展名：

MalwareBytes的研究人員注意到，惡意軟件還會試圖修改GoogleSoftwareUpdate中的一些特定文件，并試圖利用它們來實現對受感染主機的持久入侵。

帕特里克·沃德(Patrick Wardle)發現了一些惡意軟件樣本被隱藏在流行的DJ軟件Mixed In Key的盜版中，里德(Reed)甚至在macOS安全工具Little Snitch中也發現了該惡意軟件。

于是，安全公司SentinelOne的研究人員分析了勒索軟件的源代碼，并能夠對加密機制進行逆向工程，他們還發布了免費的解密器軟件，可使TiefQuest勒索軟件的受害者恢復其加密文件。

研究人員說“自定義加密程序是一件特別有趣的事情，雖然ThiefQuest一旦感染macOS系統就會對文件進行加密，但該惡意軟件沒有跟蹤支付贖金要求的用戶的機制，它也沒有提供一種聯系方式，這樣用戶就可以聯系ThiefQuest團隊，了解他們的支付細節，并獲得如何解鎖文件的指示。

GitHub上有一個加密文件的解密程序。它是一個命令行工具，所以如果您已經對文件進行了加密，那么您需要從終端運行解密程序。SentinelOne安全公司已經發布了ThiefQuest解密器二進制文件，并計劃將其代碼作為開源發布，該公司還上傳了一個視頻演示教程，可以幫助人們更好的使用解密器。