某勒索样本行为分析：加密前先关闭安全软件

admin

样本来自一个钓鱼压缩包，解压后是伪装成发票的 exe。

行为链大致分为四步：反沙箱检测、持久化、关闭安全软件、批量加密文件。

比较有意思的一点是它会先结束若干安全进程，再通过服务方式驻留。

处置建议：断网保留样本、检查启动项与服务、用备份恢复数据，不要轻易支付赎金。