勒索病毒冒充王者榮耀外掛敲詐20元 黑客已被找到

通過視頻傳播

近期該作者在網(wǎng)上發(fā)布測試視頻進(jìn)行傳播。https://v.qq.com/x/page/i05086gw4a5.html。

技術(shù)流：病毒詳細(xì)分析

在驚嘆之后，作為雷鋒網(wǎng)網(wǎng)絡(luò)安全頻道的讀者，你也許是一個技術(shù)控，所以來看一波技術(shù)小哥傾情奉獻(xiàn)的病毒詳細(xì)分析。

核心流程分析

勒索病毒運(yùn)行后首先會生成[10000000,19999999]區(qū)間內(nèi)的一個8位隨機(jī)數(shù)

1、加密入口

首次進(jìn)入軟件時啟動加密線程，否則主頁替換為勒索頁面

2、文件遍歷

遍歷根目錄/storage/emulated/0/下所有文件，過濾路徑中包含android、com.、miad的目錄;如果路徑中包含download(系統(tǒng)下載)、dcim(相機(jī)照片)、baidunetdisk(百度云盤)，則對該目錄下的所有文件進(jìn)行加密處理。病毒只加密10kb到50mb之間、文件名中包含“.”的文件。

3、加密邏輯

調(diào)用getsss()生成AES加密/解密密鑰。

調(diào)用AES算法加密文件。

加密成功之后，對文件進(jìn)行更名，更名為:原始文件名+.勿卸載軟件解密加QQ3135078046bahk+隨機(jī)數(shù)。

4、文件刪除操作

指定時間內(nèi)未交贖金后，勒索病毒將會對加密的文件進(jìn)行刪除操作。

變種特征

變種1： 替換密鑰附加值

類似變種還有隨機(jī)數(shù)+666、隨機(jī)數(shù)+520、隨機(jī)數(shù)+1122330等幾個版本。

變種2： 增強(qiáng)加密密鑰生成算法

隨機(jī)生成字母+數(shù)字混合的10位字符串。

變種3： 異或加密算法