6 月 4 日，雷鋒網(wǎng)曾報道，愛打“農(nóng)藥”的安卓黨小心了，比來出現(xiàn)一款手機(jī)勒索病毒，冒充熱門手游《王者榮耀》輔助工具，也就是外掛。該勒索病毒被安置進(jìn)手機(jī)后，會對手機(jī)中照片、下載、云盤等目錄下的個人文件進(jìn)行加密，并索要贖金。
究竟怎么回事?這兩天，雷鋒網(wǎng)和發(fā)現(xiàn)此事的 360 安適中心的技術(shù)小哥連結(jié)聯(lián)系，終于獲得了一手分析情報。
是這樣的，6 月 2 號，有童鞋反饋，他只是想下一個“打農(nóng)藥”的“輔助工具”(沒好意思說“外掛”)，然背工機(jī)就被鎖屏了，還出現(xiàn)了類似于“永恒之藍(lán)”的勒索界面。
這位童鞋一下就不淡定了，發(fā)出了“在線等，，挺捉急的”求救。
20 塊都不想給你技術(shù)小哥先進(jìn)行了初步分析后發(fā)現(xiàn)，除了誘惑用戶下載和安置，這款勒索病毒還會通過 PC 端和手機(jī)端的社交平臺、游戲群等渠道進(jìn)行傳播擴(kuò)散。
也許對“永恒之藍(lán)”帶來的邪惡影響帶著極其暗中的崇拜，這款勒索軟件的作者把勒索敲詐頁面做成了高仿電腦版的“永恒之藍(lán)”勒索病毒。軟件運行后，安卓手機(jī)用戶的桌面壁紙、軟件名稱和圖標(biāo)會被篡改。手機(jī)中的照片、下載、云盤等目錄下的文件進(jìn)行加密，并向用戶勒索贖金，金額在 20 元、40 元不等。而且宣稱 3 天不交贖金，價格將翻倍，7 天不交，將刪除所有加密文件。
納尼，你辛辛苦苦做了一個安卓機(jī)鎖屏病毒，然后勒索 20 元到 40 元?你是不是看不起我們“王者榮耀”玩家?
根據(jù)上次 DNF 玩家因為一句“死肥宅”就要求玩家穿西裝直播的套路，王者榮耀玩家可能會妥妥地不平氣啊!
技術(shù)小哥不這么想，敢搬弄我們做安適研究的?20 塊都不給你!
勒索病毒作者已被找到技術(shù)小哥開展了一輪深度分析，發(fā)現(xiàn)該病毒變種較多，通過生成器選擇差別的配置信息，可以在加密算法、密鑰生成算法上進(jìn)行隨機(jī)的變革，甚至可以選擇對生成的病毒樣本進(jìn)行加固混淆。由于其生成器衍生版本眾多，每個生成器又可以進(jìn)行隨機(jī)化的配置，很大程度上增加了修復(fù)難度。
目前發(fā)現(xiàn)的病毒樣本采用的是 AES 和異或的加密方式，其恢復(fù)難點在于隨機(jī)化的配置信息，面對眾多的密鑰隨機(jī)方式，不容易找到統(tǒng)一的恢復(fù)方法。
對已發(fā)現(xiàn)的隨機(jī)方式統(tǒng)計如下：
1、 加密方式：AES、異或;
2、 密鑰生成算法：隨機(jī)數(shù)字加固定值、隨機(jī)字符串;
3、 密鑰使用的固定值在差別版本中差別。
不但發(fā)現(xiàn)了該勒索病毒的“套路”，技術(shù)小哥一發(fā)力，找到了“罪魁禍?zhǔn)住薄?strong>通過對冒充王者榮耀輔助的勒索軟件進(jìn)行詳細(xì)分析發(fā)現(xiàn)，作者在病毒開發(fā)中常使用的 QQ 號為127*****38，由此關(guān)聯(lián)到的多個作者QQ號中，作者大號873***** 8 早在 2016 年就開始在網(wǎng)上傳播病毒生成器。這些病毒生成器使用者需向生成器作者支付必然金額來獲取使用權(quán)限。
病毒作者號稱這是“永恒之藍(lán)”安卓版，并在本身的 QQ 空間，大肆炫耀宣傳(目前已刪除)。
技術(shù)小哥甚至已經(jīng)順藤摸瓜找到了該作者的其他個人信息，對，你跑不掉了。
病毒傳播居然采用“收徒”制言歸正傳，找到了作者和病毒變種，技術(shù)小哥還咬咬牙，分析出了該勒索病毒的傳播路徑和工具。不看不知道，一看嚇一跳。這個傳播制作工具居然采用類似于“收徒”的傳播方式。
1、 病毒作者制作病毒生成器本身使用或授權(quán)他人使用;
2、 通過 QQ 群、QQ 空間、或是上傳教學(xué)視頻傳播制作教程;
3、 作者徒弟修改病毒生成器，本身使用或是授權(quán)他人使用。
仿佛看了一窩傳銷組織，你這是要上天和太陽肩并肩吧。
勒索病毒的傳播主要是通過偽裝成當(dāng)下比較火的軟件，誘使用戶下載，如王者榮耀輔助、王者榮耀美化等工具。是的，不但照顧到“外掛”需求，還看到了“美化”需求。
作者你出來，你說你是不是資深“農(nóng)藥”玩家?
我們來看一下幾個傳播渠道：
通過網(wǎng)站傳播靜態(tài)分析病毒過程中，我們找到疑似病毒作者的QQ號，通過關(guān)聯(lián)分析，我們定位到該病毒作者早在 2016 年就開始傳播病毒生成器。
