搜索

[16057] 2020-11-06_如何恢复被MaMoCrypt勒索软件加密的数据

文档创建者：s7ckTeam
浏览次数：14
最后更新：2025-01-18
2020-11-06_如何恢复被MaMoCrypt勒索软件加密的数据 如 何 恢 复 被 M a M o C r y p t 勒 索 软 件 加 密 的 数 据 A l p h a _ h 4 c k   F r e e B u f   2 0 2 0 - 1 1 - 0 6 写 在 前 面 的 话 写 在 前 面 的 话 M a M o C r y p t 是 一 款 臭 名 昭 著 的 勒 索 软 件 ， 该 勒 索 软 件 从 去 年 的 十 二 月 份 开 始 活 跃 ， 深 受 其 害 的 用 户 可 以 算 是 不 计 其 数 了 。 那 么 在 这 篇 文 章 中 ， 我 们 将 告 诉 大 家 如 何 恢 复 、 解 密 被 M a M o C r y p t 勒 索 软 件 加 密 的 数 据 。 M a M o C r y p t 是 一 款 非 常 与 众 不 同 的 勒 索 软 件 ， 这 款 勒 索 软 件 采 用 D e l p h i 开 发 ， 并 且 使 用 了 m p r e s s 进 行 封 装 ， 是 M Z R e v e n g e 的 一 个 变 种 版 本 。 勒 索 软 件 行 为 勒 索 软 件 行 为 M a M o C r y p t 能 够 删 除 W i n d o w s 卷 影 （ S h a d o w V o l u m e ） ， 并 禁 用 防 火 墙 以 及 U A C 服 务 。 这 些 功 能 在 恶 意 软 件 领 域 中 其 实 并 不 罕 见 ， 因 此 我 们 在 此 对 其 不 做 更 深 入 的 讨 论 。 它 使 用 了 D e l p h i 的 随 机 生 成 器 （ 基 于 线 性 同 余 生 成 器 ） 以 及 基 于 时 间 的 D W O R D 种 子 （ 使 用 Q u e r y P e r f o r m a n c e C o u n t e r 或 G e t T i c k C o u n t ） ， 此 时 将 会 生 成 两 个 缓 冲 区 ， 其 中 的 数 据 会 使 用 B a s e 6 4 进 行 编 码 ， 并 添 加 M Z R K E Y P U B L I C   /   M Z R K E Y P R I V A T E 字 符 串 。 根 据 上 述 的 两 个 密 钥 以 及 一 个 掩 码 ， 该 勒 索 软 件 将 会 针 对 每 个 文 件 生 成 两 个 加 密 密 钥 ， 随 后 将 会 使 用 它 们 来 进 行 文 件 加 密 。 它 首 先 会 使 用 A E S   1 2 8   C B C 来 进 行 文 件 内 容 加 密 ， 然 后 再 使 用 T w o f i s h 1 2 8   N O F B 来 对 其 进 行 二 次 加 密 。 A E S 加 密 过 程 中 剩 余 的 1 6 % 内 容 将 使 用 A E S   1 2 8   C F B 进 行 加 密 ， 所 有 加 密 文 件 的 后 缀 名 都 会 添 加 一 个 “ . M Z 1 7 3 8 0 1 ” 。 加 密 完 成 之 后 ， 恶 意 软 件 会 再 次 枚 举 所 有 加 密 目 录 ， 并 分 别 存 放 勒 索 信 息 ， 而 勒 索 信 息 中 也 会 包 含 对 应 的 那 两 个 M Z R 密 钥 。 虽 然 M Z R 密 钥 在 密 钥 生 成 或 加 密 的 过 程 中 不 会 发 生 变 化 ， 但 掩 码 会 持 续 更 新 。 它 们 的 生 成 基 于 的 是 S H A 1 、 S H A 5 1 2 和 某 些 自 定 义 算 法 的 混 合 计 算 结 果 。 每 一 个 A E S 和 T w o f i s h 密 钥 还 会 使 用 S H A 5 1 2 进 行 1 6 次 计 算 以 及 字 节 异 或 。 掩 码 和 密 钥 生 成 掩 码 和 密 钥 生 成 * ( i n t * ) m a s k _ i n   =   o f f s e t ;   f o r   ( i n t   i   =   0 ;   i   <   0 x 8 0 0 ;   + + i )   {           S H A 1 ( m a s k _ i n ,   0 x 8 4 ,   m a s k _ o u t ) ;           * ( i n t * ) m a s k _ i n   =   i   +   1   +   o f f s e t ;           * ( m a s k _ i n   +   3   +   ( i   &   0 x 7 F )   +   1 )   ^ =   m a s k _ o u t [ 0 ] ;           m a s k [ i ]   =   m a s k _ o u t [ 1 ] ;   }   o f f s e t   + =   0 x 8 0 0 ;   a e s _ k e y   =   g e n e r a t e _ k e y ( m a s k ,   m z r k e y _ p r i v a t e . c _ s t r ( ) ,   0 x 8 0 0 ,   m z r k e y _ p r i v a t e . s i z e ( ) ) ;   f o r   ( i n t   i   =   0 ;   i   <   0 x 2 0 0 ;   + + i )   {   S H A 1 ( m a s k _ i n ,   0 x 8 4 ,   m a s k _ o u t ) ;           * ( i n t * ) m a s k _ i n   =   i   +   1   +   o f f s e t ;           * ( m a s k _ i n   +   3   +   ( i   &   0 x 7 F )   +   1 )   ^ =   m a s k _ o u t [ 0 ] ;           m a s k [ i ]   =   m a s k _ o u t [ 1 ] ;   }   o f f s e t   + =   0 x 2 0 0 ;   t w o f i s h _ k e y   =   g e n e r a t e _ k e y ( m a s k ,   m z r k e y _ p u b l i c . c _ s t r ( ) ,   0 x 2 0 0 ,   m z r k e y _ p u b l i c . s i z e ( ) ) ; g e n e r a t e _ k e y :
A E S   C B C 的 I V 将 使 用 A E S   1 2 8   E C B 生 成 ， 位 置 在 一 个 1 6 字 节 缓 冲 区 内 。 类 似 的 ， T w o f i s h   N O F B 的 I V 将 使 用 T w o f i s h   1 2 8   E C B 生 成 ， 位 置 同 样 在 一 个 1 6 字 节 缓 冲 区 内 。 掩 码 的 初 始 内 容 生 成 如 下 ： 实 际 上 ， 这 种 加 密 机 制 我 们 此 前 从 未 在 其 他 勒 索 软 件 中 见 到 过 ， 而 且 恶 意 代 码 还 会 对 整 个 文 件 系 统 进 行 加 密 ， 该 勒 索 软 件 的 硬 编 码 文 件 和 驱 动 器 列 表 如 下 ：   i n t   m z r k e y _ s i z e _ b s w a p   =   _ b y t e s w a p _ u l o n g ( m z r k e y _ l e n ) ;   i n t   m a s k _ s i z e _ b s w a p   =   _ b y t e s w a p _ u l o n g ( m a s k _ l e n ) ;   f o r   ( i n t   i   =   0 ;   i   <   k e y _ S I Z E ;   + + i )   {       ( ( i n t * ) i n ) [ 0 ]   =   _ b y t e s w a p _ u l o n g ( i ) ;       f o r   ( i n t   j   =   0 ;   j   <   i ;   + + j )             i n [ j   +   4 ]   =   k e y [ j ] ;       * ( ( i n t * ) ( i n   +   4   +   i ) )   =   _ b y t e s w a p _ u l o n g ( 1 ) ;       * ( ( i n t * ) ( i n   +   8   +   i ) )   =   m a s k _ s i z e _ b s w a p ;       m e m c p y ( i n   +   3   *   s i z e o f ( i n t )   +   i ,   m a s k ,   m a s k _ l e n ) ;       m e m c p y ( i n   +   3   *   s i z e o f ( i n t )   +   m a s k _ l e n   +   i ,   & m z r k e y _ s i z e _ b s w a p ,   4 ) ;       m e m c p y ( i n   +   3   *   s i z e o f ( i n t )   +   m a s k _ l e n   +   4   +   i ,   m z r k e y ,   m z r k e y _ l e n ) ;       S H A 5 1 2 ( i n ,   m a s k _ l e n   +   m z r k e y _ l e n   +   4   *   s i z e o f ( i n t )   +   i ,   o u t ) ;       f o r   ( i n t   j   =   0 ;   j   <   S H A 5 1 2 _ D I G E S T _ L E N G T H ;   + + j )               k e y [ i ]   ^ =   o u t [ j ] ;   } m e m s e t ( m a s k _ i n ,   M A S K _ I N _ S Z ,   0 ) ;   m e m s e t ( m a s k _ o u t ,   M A S K _ O U T _ S Z ,   0 ) ;   f o r   ( i n t   i   =   0 ;   i   <   0 x 8 0 ;   + + i )   {       S H A 1 ( m a s k _ i n ,   0 x 8 4 ,   m a s k _ o u t ) ;       * ( i n t * ) m a s k _ i n   =   i   +   1 ;       * ( m a s k _ i n   +   3   +   i   +   1 )   =   m a s k _ o u t [ 0 ] ;   } C : P r o g r a m   F i l e s S t e a m C : P r o g r a m   F i l e s   ( x 8 6 ) S t e a m [ D R I V E S   A - Z ,   W I T H O U T   C ] C : U s e r s % u s e r % A p p D a t a R o a m i n g M i c r o s o f t W i n d o w s R e c e n t C : U s e r s % u s e r % P i c t u r e s C : U s e r s % u s e r % M u s i c C : U s e r s % u s e r % V i d e o s C : U s e r s % u s e r % D o c u m e n t s C : U s e r s P u b l i c D o c u m e n t s C : U s e r s P u b l i c V i d e o s C : U s e r s P u b l i c M u s i c C : U s e r s P u b l i c P i c t u r e s C : U s e r s % u s e r % D o w n l o a d s C : U s e r s % u s e r % F a v o r i t e s : : { 6 4 5 F F 0 4 0 - 5 0 8 1 - 1 0 1 B - 9 F 0 8 - 0 0 A A 0 0 2 F 9 5 4 E }   ( R e c y c l e   B i n ) C : U s e r s A d m i n i s t r a t o r
由 于 掩 码 / 密 钥 生 成 使 用 了 一 个 偏 移 量 来 代 表 每 一 个 文 件 的 递 增 ， 那 么 解 密 的 过 程 将 依 赖 于 文 件 的 加 密 文 件 夹 。 这 款 勒 索 软 件 支 持 的 文 件 加 密 类 型 如 下 ： 这 款 勒 索 软 件 支 持 的 文 件 加 密 类 型 如 下 ： 加 密 成 功 之 后 ， 该 勒 索 软 件 将 枚 举 全 部 加 密 目 录 ， 并 一 一 存 放 勒 索 信 息 ， 勒 索 文 本 文 件 名 为 “ H o w   D o   I   R e c o v e r   M y   F i l e s   ( R e a d m e ) . t x t ” ： 如 何 解 密 如 何 解 密 第 一 步 ： 首 先 点 击 【 h t t p : / / d o w n l o a d . b i t d e f e n d e r . c o m / a m / m a l w a r e _ r e m o v a l / B D M a M o D e c r y p t T o o l . e x e 】 下 载 解 密 工 具 ， 并 存 储 在 本 地 设 备 中 。 第 二 步 ： 双 击 下 载 下 来 的 B D M a M o D e c r y p t T o o l . e x e 应 用 程 序 文 件 ， 然 后 在 弹 出 的 U A C 提 示 中 点 击 “ Y e s ” ： 第 三 步 ： 读 取 并 接 受 终 端 用 户 许 可 证 协 议 ： C : U s e r s P u b l i c C : U s e r s D e f a u l t C : U s e r s % u s e r % D e s k t o p C : U s e r s P u b l i c D e s k t o p C : U s e r s % u s e r % A p p D a t a R o a m i n g M i c r o s o f t I n t e r n e t   E x p l o r e r Q u i c k   L a u n c h U s e r   P i n n e d T a s k B a r C : U s e r s % u s e r % A p p D a t a R o a m i n g M i c r o s o f t W i n d o w s S t a r t   M e n u C : P r o g r a m D a t a M i c r o s o f t W i n d o w s S t a r t   M e n u . c s ; . l n k ; . m p 3 ; . j p g ; . j p e g ; . r a w ; . t i f ; . g i f ; . p n g ; . b m p ; . 3 d m ; . m a x ; . a c c d b ; . d b ; . d b f ; . m d b ; . p d b ; . s q l ; . d w g ; . d x f ; . c ; . c p p ; . c s ; . h ; . p h p ; . a s p ; . r b ; . j a v a ; . j a r ; . c l a s s ; . p y ; . j s ; . a a f ; . a e p ; . a e p x ; . p l b ; . p r e l ; . p r p r o j ; . a e t ; . p p j ; . p s d ; . i n d d ; . i n d l ; . i n d t ; . i n d b ; . i n x ; . i d m l ; . p m d ; . x q x ; . x q x ; . a i ; . e p s ; . p s ; . s v g ; . s w f ; . f l a ; . a s 3 ; . a s ; . t x t ; . d o c ; . d o t ; . d o c x ; . d o c m ; . d o t x ; . d o t m ; . d o c b ; . r t f ; . w p d . w p s ; . m s g ; . p d f ; . x l s ; . x l t ; . x l m ; . x l s x ; . x l s m ; . x l t x ; . x l t m ; . x l s b ; . x l a ; . x l a m ; . x l l ; . x l w ; . p p t ; . p o t ; . p p s ; . p p t x ; . p p t m ; . p o t x ; . p o t m ; . p p a m ; . p p s x ; . p p s m ; . s l d x ; . s l d m ; . w a v ; . a i f ; . i f f ; . m 3 u ; . m 4 u . m i d ; . m p a ; . w m a ; . r a ; . a v i ; . m o v ; . m p 4 ; . 3 g p ; . m p e g ; . 3 g 2 ; . a s f ; . a s x ; . f l v ; . m p g ; . w m v ; . v o b ; . m 3 u 8 ; . m k v ; . d a t ; . c s v ; . e f x ; . s d f ; . v c f ; . x m l ; . s e s ; . r a r ; . z i p ; . 7 z i p ; . d t b ; . b a t ; . a p k ; . v b ; . s l n ; . c s p r o j ; . v b p r o j ; . h p p ; . a s m ; . l u a ; . i b a n k ; . d e s i g n ; . a s p x ; . b a k ; . o b j ; . s q l i t e ; . s q l i t e 3 ; . s q l i t e d b ; . b a c k ; . b a c k u p ; . o n e ; . p s t ; . u r l ; . o n e t o c 2 ; . m 4 a ; . m 4 v ; . o g g ; . h w p ; . H W P ; . O G G ; . M 4 V ; . M 4 A ; . O N E T O C 2 ; . U R L ; . P S T ; . O N E ; . B A C K U P ; . B A C K ; . S Q L I T E D B ; . S Q L I T E 3 ; . S Q L I T E ; . O B J ; . B A K ; . A S P X ; . D E S I G N ; . I B A N K ; . L U A ; . A S M ; . H P P ; . V B P R O J ; . C S P R O J ; . S L N ; . C S ; . V B ; . L N K ; . J P G ; . J P E G ; . R A W ; . T I F ; . G I F ; . P N G ; . B M P ; . 3 D M ; . M A X ; . A C C D B ; . D B ; . D B F ; . M D B ; . P D B ; . S Q L ; . D W G ; . D X F ; . C ; . C P P ; . C S ; . H ; . P H P ; . A S P ; . R B ; . J A V A ; . J A R ; . C L A S S ; . P Y ; . J S ; . A A F ; . A E P ; . A E P X ; . P L B ; . P R E L ; . P R P R O J ; . A E T ; . P P J ; . P S D ; . I N D D ; . I N D L ; . I N D T ; . I N D B ; . I N X ; . I D M L ; . P M D ; . X Q X ; . X Q X ; . A I ; . E P S ; . P S ; . S V G ; . S W F ; . F L A ; . A S 3 ; . A S ; . T X T ; . D O C ; . D O T ; . D O C X ; . D O C M ; . D O T X ; . D O T M ; . D O C B ; . R T F ; . W P D ; . W P S ; . M S G ; . P D F ; . X L S ; . X L T ; . X L M ; . X L S X ; . X L S M ; . X L T X ; . X L T M ; . X L S B ; . X L A ; . X L A M ; . X L L ; . X L W ; . P P T ; . P O T ; . P P S ; . P P T X ; . P P T M ; . P O T X ; . P O T M ; . P P A M ; . P P S X ; . P P S M ; . S L D X ; . S L D M ; . W A V ; . M P 3 ; . A I F ; . I F F ; . M 3 U ; . M 4 U ; . M I D ; . M P A ; . W M A ; . R A ; . A V I ; . M O V ; . M P 4 ; . 3 G P ; . M P E G ; . 3 G 2 ; . A S F ; . A S X ; . F L V ; . M P G ; . W M V ; . V O B ; . M 3 U 8 ; . M K V ; . D A T ; . C S V ; . E F X ; . S D F ; . V C F ; . X M L ; . S E S ; . R A R ; . Z I P ; . 7 Z I P ; . D T B ; . B A T ; . A P K ;
第 四 步 ： 考 虑 到 这 款 勒 索 软 件 家 族 的 特 殊 性 ， 工 具 将 会 以 特 定 的 顺 序 来 扫 描 系 统 ， 而 无 法 允 许 用 户 指 定 需 要 解 密 的 文 件 夹 或 文 件 数 据 ， 因 此 我 们 强 烈 建 议 用 户 选 择 “ 备 份 文 件 ” 选 项 。 第 五 步 ： 点 击 “ S t a r t   T o o l ” 按 钮 ， 剩 下 的 就 交 给 解 密 工 具 来 完 成 吧 ！ 如 果 你 选 择 了 备 份 选 项 ， 那 么 加 密 文 件 和 解 密 文 件 都 将 同 时 出 现 ， 你 还 可 以 在 % t e m p % B D R e m o v a l T o o l 目 录 中 查 看 到 解 密 过 程 的 日 志 记 录 。 解 密 工 具 解 密 工 具 B D M a M o D e c r y p t T o o l . e x e ： 【 h t t p s : / / d o w n l o a d . b d s t o r e . c o m . c n / a m / m a l w a r e _ r e m o v a l / B D M a M o D e c r y p t T o o l . e x e 】 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理