搜索

[10764] 2016-11-27_分析与总结常见勒索软件的加密算法

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-18
2016-11-27_分析与总结常见勒索软件的加密算法 分 析 与 总 结 常 见 勒 索 软 件 的 加 密 算 法 z z z 6 6 6 8 6   F r e e B u f   2 0 1 6 - 1 1 - 2 7 1 、 引 言 、 引 言 1 、 引 言 、 引 言 1 . 1 勒 索 软 件 勒 索 软 件 勒 索 软 件 ( r a n s o m w a r e ) 是 一 种 运 行 在 计 算 机 上 的 恶 意 软 件 ， 通 过 绑 架 用 户 文 件 ， 使 用 户 数 据 资 产 或 计 算 资 源 无 法 正 常 使 用 ， 并 以 此 为 条 件 向 用 户 勒 索 钱 财 。 这 类 用 户 数 据 资 产 包 括 文 档 、 数 据 库 、 源 代 码 、 图 片 、 压 缩 文 件 等 多 种 文 件 。 赎 金 形 式 通 常 为 比 特 币 ， 少 数 为 真 实 货 币 或 其 他 虚 拟 货 币 。 按 照 已 有 资 料 考 证 ， 早 在 1 9 8 9 年 ， 第 一 款 勒 索 软 件 就 已 经 问 世 ， 但 这 与 本 文 内 容 关 系 不 大 ， 不 做 讨 论 。 而 近 期 的 勒 索 软 件 是 从 2 0 1 2 年 开 始 流 行 ， 并 于   2 0 1 3 年 引 起 了 广 泛 的 重 视 。 截 止 至 当 前 ， 勒 索 软 件 的 受 害 者 已 有 上 千 万 用 户 ， 这 也 使 得 勒 索 软 件 日 益 猖 獗 。 1 . 2 本 文 内 容 本 文 内 容 考 虑 到 勒 索 软 件 所 造 成 的 深 远 影 响 ， 有 必 要 写 一 些 既 可 以 给 广 大 非 技 术 人 员 了 解 勒 索 软 件 和 加 密 算 法 又 可 以 帮 助 技 术 人 员 考 虑 到 勒 索 软 件 所 造 成 的 深 远 影 响 ， 有 必 要 写 一 些 既 可 以 给 广 大 非 技 术 人 员 了 解 勒 索 软 件 和 加 密 算 法 又 可 以 帮 助 技 术 人 员 深 入 分 析 的 文 章 。 笔 者 将 自 己 近 期 在 勒 索 软 件 方 面 的 工 作 进 行 整 理 和 汇 总 ， 并 挑 选 出 深 入 分 析 的 文 章 。 笔 者 将 自 己 近 期 在 勒 索 软 件 方 面 的 工 作 进 行 整 理 和 汇 总 ， 并 挑 选 出 1 0 款 比 较 有 代 表 意 义 的 勒 索 软 件 进 行 款 比 较 有 代 表 意 义 的 勒 索 软 件 进 行 深 入 探 讨 。 深 入 探 讨 。 需 要 注 意 的 是 ， 本 文 着 重 讨 论 1 0 款 勒 索 软 件 样 本 的 加 密 算 法 ， 而 对 其 各 自 的 加 壳 方 法 、 反 沙 箱 手 段 、 提 权 方 法 和 隐 藏 手 段 等 不 做 讨 论 。 所 以 本 文 定 位 于 介 绍 这 些 勒 索 软 件 加 密 算 法 到 底 是 怎 样 的 ， 是 否 可 以 将 其 解 密 等 相 关 问 题 。 而 其 他 的 ， 诸 如 D L L   注 入 等 问 题 ， 还 是 留 给 其 他 人 再 做 分 析 吧 。 出 于 让 更 多 非 技 术 人 员 读 懂 的 目 的 ， 笔 者 倾 向 于 用 更 通 俗 的 语 言 和 描 述 来 整 理 勒 索 软 件 中 的 各 种 问 题 ， 但 这 可 能 导 致 一 些 不 严 谨 或 是 不 准 确 的 地 方 ， 还 请 技 术 人 员 领 会 大 意 即 可 。 最 后 ， 笔 者 由 衷 地 希 望 通 过 本 文 ， 可 以 帮 助 更 多 的 受 害 者 认 识 勒 索 软 件 ， 理 性 对 待 被 加 密 的 文 件 。 也 希 望 可 以 缩 短 其 他 技 术 人 员 的 分 析 时 间 ， 提 高 分 析 效 率 。 但 限 于 笔 者 个 人 知 识 有 限 ， 才 疏 学 浅 ， 文 中 不 当 或 错 误 之 处 还 请 各 位 读 者 包 容 和 指 正 。 1 . 3 行 文 结 构 行 文 结 构 本 文 第 一 章 为 介 绍 本 文 的 文 字 ， 读 者 可 以 通 过 第 一 章 自 行 判 断 本 文 讨 论 的 内 容 是 否 与 读 者 需 要 的 内 容 相 关 ； 第 二 章 开 始 逐 一 介 绍 各 个 样 本 的 加 密 算 法 ； 第 三 章 则 分 析 勒 索 软 件 被 破 解 的 原 因 ， 当 然 还 有 更 多 的 勒 索 软 件 未 能 破 解 ； 第 四 章 就 目 前 勒 索 软 件 的 发 展 趋 势 给 出 笔 者 自 己 的 意 见 。 2 、 样 本 分 析 、 样 本 分 析 2 、 样 本 分 析 、 样 本 分 析 从 本 章 节 开 始 ， 笔 者 将 向 各 位 读 者 逐 一 介 绍 各 种 勒 索 软 件 ， 被 展 示 出 来 的 1 0 款 勒 索 软 件 按 字 母 顺 序 排 序 。 针 对 每 一 款 勒 索 软 件 着 重 介 绍 其 加 密 流 程 ， 如 需 关 注 其 他 方 面 ， 可 以 单 独 找 些 相 应 的 资 料 。 此 外 ， 各 个 勒 索 软 件 除 了 加 密 算 法 之 后 ， 还 有 大 量 的 H a s h 算 法 ， 由 于 这 类 H a s h 算 法 会 增 加 理 解 难 度 ， 所 以 在 本 文 之 中 一 概 将 其 省 略   。 有 兴 趣 的 读 者 可 以 自 行 分 析 其 中 的 各 种 H a s h 算 法 。
2 . 1   A p o c a l y p s e 2 . 1 . 1 A p o c a l y p s e 概 述 概 述 A p o c a l y p s e 勒 索 软 件 出 现 于 2 0 1 6 年 6 月 份 ， 在 得 到 广 泛 传 播 之 前 ， 就 已 经 被 破 解 了 。 但 是 笔 者 仍 然 决 定 把 这 款 勒 索 软 件 拿 出 来 进 行 分 析 ， 因 为 它 同 样 可 以 作 为 某 一 类 勒 索 软 件 加 密 算 法 的 代 表 。 一 个 被   A p o c a l y p s e 勒 索 软 件 加 密 的 文 件 夹 内 容 如 下 ： 从 图 中 可 以 看 到 很 明 显 的 特 征 ， 所 有 被 加 密 的 文 件 都 以 . e n c r y p t e d 为 扩 展 名 ， 并 生 成 了 一 个 与 其 名 称 很 类 似 的 . t x t 文 件 ， 用 于 提 醒 用 户 感 染 了   A p o c a l y p s e 勒 索 软 件 并 索 要 赎 金 。 2 . 1 . 2 A p o c a l y p s e 加 密 流 程 加 密 流 程 与 其 他 所 有 勒 索 软 件 不 同 ， A p o c a l y p s e 勒 索 软 件 使 用 了 一 种 其 自 定 义 的 加 密 算 法 ， 并 将 其 密 钥 也 内 置 在 样 本 之 中 ： 其 中 ， d l 存 着 这 该 样 本 使 用 的 密 钥 ， c l 为 计 数 器 。 完 成 加 密 之 后 ， 将 加 密 内 容 复 写 入 用 户 文 件 ， 并 更 改 其 后 缀 名 便 完 成 其 加 密 过 程 。 2 . 1 . 3 A p o c a l y p s e 解 密 流 程 解 密 流 程 通 过 A p o c a l y p s e 的 加 密 算 法 ， 可 以 了 解 到 其 自 定 义 加 密 算 法 为 一 种 对 称 加 密 算 法 。 所 以 ， 其 解 密 算 法 与 加 密 算 法 是 完 全 相 同 的 。 关 于 对 称 加 密 算 法 的 更 多 细 节 ， 可 以 在 w i k i 上 找 到 ： < 点 击 原 文 查 看 链 接 > 2 . 2   C e r b e r
2 . 2 . 1 C e r b e r 概 述 概 述 C e r b e r 勒 索 软 件 是 2 0 1 6 年 3 月 份 开 始 广 泛 传 播 的 。 被   C e r b e r 加 密 的 用 户 文 件 扩 展 名 为 C e r b e r ， 截 止 至 笔 者 书 写 此 章 节 （ 2 0 1 6 年   9   月 ） 时 ， 最 新 的 C e r b e r 版 本 已 出 现 了 C e r b e r 2 扩 展 名 ， 可 以 通 过 其 扩 展 名 判 断 其 从 属 于   C e r b e r   系 列 。 本 节 所 分 析 的 C e r b e r 勒 索 软 件 样 本 并 非 是 最 新 样 本 ， 如 需 对 最 新 的 加 密 样 本 感 兴 趣 ， 读 者 可 以 自 行 分 析 。 此 外 ， 被 C e r b e r 勒 索 软 件 感 染 之 后 ， 每 个 目 录 下 还 会 生 成 额 外 的 3 个 文 件 ： #   D E C R Y P T   M Y F I L E S   # . t x t   、 #   D E C R Y P T   M Y   F I L E S # . h t m l 、 #   D E C R Y P T   M Y   F I L E S   # . v b s ，   这 三 个 文 件 的 作 用 就 是 提 示 用 户 已 经 感 染 了   C e r b e r 勒 索 软 件 ， 并 索 要 赎 金 。 一 个 感 染 了 C e r b e r 勒 索 软 件 的 文 件 夹 内 容 如 下 图 ： 2 . 2 . 2 C e r b e r 加 密 流 程 加 密 流 程 C e r b e r 勒 索 软 件 的 加 密 算 法 为 R S A 算 法 与 R C 4 算 法 。 其 加 密 流 程 较 为 复 杂 ， 这 里 无 法 完 全 展 示 出 来 ， 只 讨 论 几 处 关 键 点 。 关 于   R S A 算 法 和 R C 4 算 法 的 更 多 细 节 可 以 在 w i k i 上 找 到 ： R S A   :   < 点 击 原 文 查 看 链 接 > R C 4   :   < 点 击 原 文 查 看 链 接 > 粗 略 地 讲 ， C e r b e r 采 用 三 层 加 密 方 法 ： 首 先 ， 用 内 置 R S A 密 钥 加 密 随 机 R S A   密 钥 ； 然 后 ， 利 用 随 机 R S A 密 钥 加 密 随 机 R C 4 密 钥 ； 最 后 ， 利 用 随 机 R C 4   密 钥 加 密 用 户 文 件 。 每 个 C e r b e r 样 本 都 内 置 了 一 份 配 置 文 件 ， 该 被 加 密 存 储 在 C e r b e r 样 本 的 资 源 段 中 ， 将 其 解 密 后 可 以 发 现 一 个 R S A   公 钥 ， 截 图 如 下 ： 此 时 ， R S A 公 钥 被 b a s e 6 4 编 码 了 ， 使 用 时 需 要 进 行 b a s e 6 4   解 码 。
利 用 该 R S A 公 钥 加 密 一 对 随 机 的 R S A 密 钥 。 进 而 ， 利 用 这 随 机 生 成 的 R S A   密 钥 加 密 随 机 的 R C 4 密 钥 。 这 随 机 的 R C 4 密 钥 即 为 加 密 用 户 文 件 的 最 终 密 钥 ， 其 加 密 用 户 文 件 的 R C 4   算 法 核 心 代 码 如 下 ： 此 外 ， 需 要 指 出 的 是 C e r b e r 勒 索 软 件 并 非 对 完 整 的 用 户 文 件 进 行 加 密 ， 而 是 随 机 的 把 用 户 文 件 分 为 了 几 部 分 ， 并 选 择 其 中 的 一 部 分 进 行 加 密 。 在 C e r b e r 最 终 生 成 的 文 件 比 原 用 户 文 件 大 一 些 ， 其 中 保 留 了 分 块 信 息 等 其 他 在 解 密 是 需 要 使 用 到 的 密 钥 信 息 。 2 . 2 . 3 C e r b e r 解 密 流 程 解 密 流 程 如 果 可 以 正 确 理 解 C e r b e r 勒 索 软 件 的 加 密 算 法 ， 那 么 就 不 难 得 出 C e r b e r 的 解 密 算 法 。 当 忽 略 一 些 细 节 问 题 之 后 ， 其 解 密 算 法 可 以 概 述 如 下 ， 首 先 从 攻 击 者   C & C 服 务 器 获 取 R S A 私 钥 ， 用 该 私 钥 解 密 R C 4 算 法 的 密 钥 ， 进 而 利 用   R C 4   密 钥 解 密 用 户 文 件 即 可 。 2 . 3   C r y p t o W a l l 2 . 3 . 1 C r y p t o W a l l 概 述 概 述 C r y p t o W a l l 是 一 款 在 国 外 广 泛 传 播 的 勒 索 软 件 ， 在 2 0 1 4 年 出 现 了 C r y p t o W a l l 的 第 一 个 版 本 ， 截 止 至 笔 者 书 写 本 小 节 时 ， C r y p t o W a l l 勒 索 软 件 的 最 新 版 是 第 4 版 。 本 章 节 以 C r y p t o W a l l 的 第 三 个 版 本 为 分 析 样 本 ， 一 个 感 染 了   C r y p t o W a l l 的 目 录 截 图 如 下 ： 其 中 ， 文 件 扩 展 名 为 随 机 生 成 的 3 个 字 符 。 而 文 件 夹 内 额 外 生 成 的 3 个 文 件 为 ： H E L P _ D E C R Y P T . H T M L 、 H E L P _ D E C R Y P T . P N G 、 H E L P _ D E C R Y P T . T X T ， 这 3   个 文 件 主 要 用 于 提 示 用 户 本 机 已 感 染 了   C r y p t o W a l l 勒 索 软 件 ， 并 向 用 户 索 要 赎 金 。 2 . 3 . 2 C r y p t o W a l l 加 密 流 程 加 密 流 程
C r y p t o W a l l 实 现 加 密 的 方 法 为 R S A 算 法 和 A E S 算 法 ， 其 加 密 过 程 主 要 依 靠 微 软 提 供 的   C r y p t A P I 实 现 。 由 于 C r y p t o W a l l 加 密 公 钥 需 要 从 攻 击 者 C & C 服 务 器 中 获 取 ， 而 攻 击 者 的 几 个   C & C 服 务 器 很 快 就 躺 了 ， 这 在 某 种 程 度 上 抑 制 了 C r y p t o W a l l 的 传 播 。 关 于 A E S 算 法 和 C r y p t A P I 的 更 多 细 节 可 以 在 w i k i   上 找 到 ： A E S   :   < 点 击 原 文 查 看 链 接 > C r y p t o A P I   : < 点 击 原 文 查 看 链 接 > 正 如 之 前 所 述 ， C r y p t o W a l l 从 C & C 服 务 器 获 取 R S A   公 钥 ， 用 该 公 钥 加 密 随 机 生 成 的 A E S 密 钥 ： 进 而 ， 通 过 随 机 生 成 的 A E S 密 钥 加 密 受 害 者 用 户 文 件 ： 并 将 被 加 密 的 用 户 文 件 和 其 他 的 额 外 信 息 一 同 写 入 最 终 生 成 的 文 件 中 。 2 . 3 . 3 C r y p t o W a l l 解 密 流 程 解 密 流 程 C r y p t o W a l l 勒 索 软 件 的 解 密 过 程 与 加 密 过 程 是 及 其 相 似 的 ， 第 一 步 同 样 是 从 攻 击 者 C & C 服 务 器 获 取 密 钥 ， 不 过 这 次 获 取 的 是 R S A   私 钥 。 然 后 用 该 私 钥 解 密 A E S 密 钥 。 针 对 每 个 用 户 文 件 都 有 一 个 随 机 的 A E S 私 钥 ， 通 过 该   A E S   密 钥 解 密 最 终 的 受 害 者 用 户 文 件 即 可 。 2 . 4   C T B _ L o c k e r 2 . 4 . 1 C T B _ L o c k e r 概 述 概 述 C T B _ L o c k e r 勒 索 软 件 同 样 于 2 0 1 4 年 开 始 传 播 ， 被 C T B _ L o c k e r 勒 索 软 件 加 密 的 用 户 文 件 具 有 相 同 的 扩 展 名 ， 均 为 随 机 的   7 个 字 母 文 后 缀 。 一 个 被 C T B _ L o c k e r 勒 索 软 件 加 密 的 用 户 文 件 夹 如 下 ：
其 中 ， 最 后 两 个 文 件 分 别 以 图 片 和 文 本 的 形 式 提 示 用 户 感 染 了 C T B _ L o c k e r 勒 索 软 件 ， 并 要 求 支 付 赎 金 。 2 . 4 . 2 C T B _ L o c k e r 加 密 流 程 加 密 流 程 C T B _ L o c k e r 勒 索 软 件 的 加 密 算 法 比 较 完 善 ， 也 比 较 复 杂 ， 与 C e r b e r 类 似 ， 本 小 节 选 择 用 不 严 谨 地 语 言 描 述 其 完 整 的 加 密 算 法 ， 专 业 人 员 读 到 此 处 时 ， 理 解 笔 者 的 意 思 即 可 ， 不 要 做 太 深 的 推 敲 。 C T B _ L o c k e r 勒 索 软 件 加 密 用 户 文 件 的 所 用 算 法 主 要 是 A E S 算 法 和 E C D H 算 法 。 其   E C D H 算 法 选 用 c u r v e 2 5 5 1 9 曲 线 。 关 于 E C D H 算 法 和 c u r v e 2 5 5 1 9 曲 线 的 更 多 细 节 可 以 在 w i k i   上 找 到 ： E C D H   :   < 点 击 原 文 查 看 链 接 > c u r v e 2 5 5 1 9   :   < 点 击 原 文 查 看 链 接 > 必 须 指 出 的 是 ， E C D H 是 一 种 密 钥 协 商 算 法 ， 但 对 于 非 技 术 人 员 ， 理 解 这 种 算 法 是 有 困 难 的 。 所 以 ， 笔 者 姑 且 将 E C D H 算 法 比 作 R S A 算 法   ， 这 种 类 比 虽 然 不 是 完 全 正 确 ， 但 是 可 以 很 好 地 帮 助 我 们 理 解 勒 索 软 件 。 C T B _ L o c k e r 勒 索 软 件 的 加 密 过 程 可 以 粗 略 地 理 解 为 3 层 加 密 ， 第 一 层 是 运 用 内 置 在 样 本 中 的 公 钥 通 过 E C D H 算 法 加 密 随 机 生 成 的   E C D H 密 钥 ： 上 图 中 的 P b l K e y 即 为 随 机 生 成 的 E C D H 密 钥 ； 进 而 第 二 层 的 结 果 通 过 随 机 生 成 的 E C D H   密 钥 加 密 随 机 生 成 的 A E S 密 钥 ； 第 三 层 为 通 过 随 机 生 成 的 A E S 密 钥 加 密 用 户 文 件 。
最 后 ， 将 加 密 之 后 的 用 户 文 件 ， 以 及 解 密 时 需 要 用 到 的 其 他 额 外 信 息 覆 盖 保 存 于 用 户 文 件 。 2 . 4 . 3 C T B _ L o c k e r 解 密 流 程 解 密 流 程 C T B _ L o c k e r 勒 索 软 件 的 正 常 解 密 流 程 是 无 法 获 得 其 主 密 钥 的 ， 即 正 常 的 C T B _ L o c k e r 勒 索 软 件 的 解 密 流 程 只 包 含 两 层 ， 首 先 ， 通 过 从 攻 击 者 C & C   服 务 器 拿 到 的 关 于 随 机 生 成 的 E C D H 密 钥 相 关 信 息 ， 通 过 E C D H 算 法 获 得 随 机 生 成 的 A E S   密 钥 ； 进 而 ， 通 过 该 随 机 生 成 的   A E S 密 钥 解 密 用 户 文 件 即 可 。 2 . 5   J i g s a w 2 . 5 . 1 J i g s a w 概 述 概 述 J i g s a w 勒 索 软 件 也 是 一 款 . n e t 托 管 类 勒 索 软 件 ， 并 与 2 0 1 6 年   4 月 开 始 流 传 。 关 于 . n e t 框 架 的 更 多 相 关 信 息 ， 可 以 在 w i k i 上 找 到 ： . n e t   f r a m e w o r k   :   < 点 击 原 文 查 看 链 接 > 截 止 至 笔 者 书 写 此 章 节 是 ， J i g s a w 勒 索 软 件 出 现 了 2 个 版 本 ， 本 小 节 分 析 的 J i g s a w   勒 索 软 件 为 第 一 个 版 本 ， 其 特 征 是 被 加 密 的 用 户 文 件 以 . f u n 为 后 缀 。 一 个 被 J i g s a w 勒 索 软 件 加 密 的 文 件 夹 如 下 ： 此 外 ， J i g s a w 勒 索 软 件 并 未 生 成 额 外 的 其 他 文 件 用 于 提 醒 用 户 ， 仅 仅 生 成 了 一 个 窗 口 ， 显 示 了 索 要 赎 金 等 相 关 信 息 。 2 . 5 . 2 J i g s a w 加 密 流 程 加 密 流 程 J i g s a w 勒 索 软 件 选 用 A E S 算 法 作 为 其 加 密 算 法 ， 其 加 密 密 钥 和 初 始 向 量 被 编 码 存 储 于 样 本 中 ： J i g s a w 勒 索 软 件 对 文 件 的 加 密 过 程 也 是 一 目 了 然 的 ， 先 是 读 取 目 标 文 件 内 容 ， 然 后 加 密 ， 最 后 写 入 目 标 文 件 ， 即 可 完 成 其 完 全 流 程 ：
最 后 在 增 加 一 个 文 件 名 后 缀 ， 即 完 成 了 其 加 密 流 程 。 2 . 5 . 3 J i g s a w 解 密 流 程 解 密 流 程 J i g s a w 勒 索 软 件 自 身 携 带 了 其 解 密 算 法 ， 当 选 择 解 密 时 ， 该 软 件 会 首 先 查 询 是 提 交 了 赎 金 。 如 果 已 经 提 交 ， 那 么 则 以 加 密 时 使 用 的 密 钥 和 初 始 向 量 完 成 解 密 流 程 ； 如 果 没 有 提 交 赎 金 ， 则 继 续 计 时 。 2 . 6   L o c k y 2 . 6 . 1 L o c k y 概 述 概 述 L o c k y 勒 索 软 件 是 另 一 款 需 要 从 C & C 服 务 器 申 请 公 钥 的 勒 索 软 件 ， 是 2 0 1 6 年   2 月 开 始 传 播 ， 由 于 L o c k y 需 要 从 攻 击 者 的 C & C 服 务 器 申 请 公 钥 ， 而   C & C   服 务 器 很 快 就 挂 掉 了 ， 使 L o c k y 无 法 与 其 C & C 服 务 器 进 行 通 信 ， 导 致 无 法 申 请 到 密 钥 ， 所 以 就 不 会 继 续 运 行 下 去 。 截 止 至 笔 者 书 写 本 章 时 ， 已 出 现 了 多 款 不 同 的 L o c k y 版 本 ， 不 同 版 本 的 L o c k y 略 有 不 同 ， 这 里 选 择 了 一 个 早 期 的   L o c k y   版 本 ， 一 个 感 染 了 L o c k y 勒 索 软 件 的 文 件 夹 如 下 ： 其 中 ， _ H E L P _ i n s t r u c t i o n s . b m p 和 _ H E L P _ i n s t r u c t i o n s . h t m l 是 L o c k y   勒 索 软 件 生 成 的 ， 用 于 提 示 用 户 感 染 了 L o c k y 并 索 要 赎 金 。 2 . 6 . 2 L o c k y 加 密 流 程 加 密 流 程 L o c k y 勒 索 软 件 选 用 R S A 算 法 和 A E S 算 法 作 为 其 加 密 算 法 。 但 不 同 的 样 本 对   A E S 和 R S A 的 实 现 略 有 不 同 ， 本 小 节 分 析 的 样 本 中 ， 其 R S A 算 法 使 用 微 软 提 供 的   C r y p t A P I   实 现 ：
其 中 ， R S A 算 法 用 于 加 密 随 机 生 成 的 A E S 密 钥 ， R S A   算 法 的 公 钥 在 L o c k y 勒 索 软 件 运 行 时 从 攻 击 者 C & C 服 务 器 中 获 取 。 A E S   算 法 用 于 加 密 受 害 者 的 用 户 文 件 ， 其 主 要 由   a e s e n c 指 令 实 现 ， 该 指 令 具 有 较 高 的 执 行 效 率 ： 完 成 加 密 之 后 ， 会 将 相 关 的 信 息 与 被 加 密 的 文 件 内 容 一 同 写 入 用 户 文 件 。 2 . 6 . 3 L o c k y 解 密 流 程 解 密 流 程 L o c k y 勒 索 软 件 的 解 密 算 法 相 对 比 较 简 单 ， 首 先 需 要 从 攻 击 者 C & C 服 务 器 中 拿 到 R S A 私 钥 ， 用 于 解 密   A E S 密 钥 ， 进 而 使 用 A E S 密 钥 完 成 用 户 文 件 的 解 密 工 作 即 可 ， 此 外 ， 需 要 删 除 用 户 文 件 中 额 外 的 保 留 信 息 。 2 . 7   P e t y a 2 . 7 . 1 P e t y a 概 述 概 述 P e t y a 勒 索 软 件 于 2 0 1 6 年 3 月 开 始 流 传 。 与 其 他 勒 索 软 件 不 同 的 是 ，   P e t y a 勒 索 软 件 并 不 对 用 户 文 件 本 身 下 手 ， 其 主 要 的 恶 意 功 能 可 概 述 为 两 点 ： 其 一 ， 破 坏 计 算 机 的 主 引 导 代 码 ， 使 不 能 启 动 w i n d o w s 操 作 系 统 ； 其 二 ， 加 密 主 文 件 表 ， 使 文 件 不 能 被 访 问 。 关 于 主 引 导 代 码 和 主 文 件 表 的 更 多 描 述 可 以 在   w i k i   中 找 到 ： M B R   :   < 点 击 原 文 查 看 链 接 > N T F S   M F T   :   < 点 击 原 文 查 看 链 接 > P e t y a 勒 索 软 件 还 有 一 款 名 为 M i s c h a 的 改 进 版 本 ， 本 小 节 以 P e t y a 勒 索 软 件 为 分 析 样 本 。 一 个 感 染 了   P e t y a 勒 索 软 件 的 计 算 机 开 机 后 ， 会 显 示 如 下 内 容 ：
其 内 容 主 要 是 提 示 用 户 感 染 了 P e t y a 勒 索 软 件 并 索 要 赎 金 。 2 . 7 . 2 P e t y a 加 密 流 程 加 密 流 程 P e t y a 勒 索 软 件 的 加 密 算 法 并 不 复 杂 ， 可 简 述 为 E C D H 算 法 和 S A L S A 2 0 算 法 。 其 中 ，   E C D H 算 法 采 用 s e c p 1 9 2 k 1 曲 线 ， 用 于 加 密 S A L S A 2 0 算 法 的 密 钥 。 关 于   S A L S A 2 0   算 法 的 更 多 描 述 可 以 在 w i k i 中 找 到 ： S A L S A 2 0   :   < 点 击 原 文 查 看 链 接 > 为 了 帮 助 更 多 的 读 者 理 解 ， 本 节 中 同 样 把 E C D H 算 法 类 比 为 R S A 算 法 ， 感 兴 趣 的 读 者 可 以 在 此 基 础 之 上 继 续 深 入 研 究 。 下 图 展 示 了 调 用   s e c p 1 9 2 k 1 加 密 随 机 生 成 S A L S A 2 0 密 钥 的 截 图 ： 而 S A L S A 2 0 算 法 用 于 加 密 主 文 件 表 ， 该 算 法 运 行 在 操 作 系 统 引 导 之 前 的 1 6 位 环 境 之 中 ， 截 图 为 引 导 程 序 调 用   S A L S A 2 0   算 法 ： 当 完 成 上 述 加 密 步 骤 之 后 ， 程 序 会 显 示 出 其 勒 索 页 面 并 索 要 赎 金 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理