勒索病毒冒充《王者荣耀》外挂敲诈20元黑客被找到-巨人网络通讯

勒索病毒冒充《王者荣耀》外挂敲诈20元黑客被找到

爱打“农药”的安卓党小心了，比来出现一款手机勒索病毒，冒充热门手游《王者荣耀》辅助工具，也就是外挂。该勒索病毒被安置进手机后，会对手机中照片、下载、云盘等目录下的个人文件进行加密，并索要赎金。

究竟怎么回事？这两天，雷锋网和发现此事的360安适中心的技术小哥连结联系，终于获得了一手分析情报。

是这样的，6月2号，有童鞋反馈，他只是想下一个“打农药”的“辅助工具”（没好意思说“外挂”），然背工机就被锁屏了，还出现了类似于“永恒之蓝”的勒索界面。

20块都不想给你

技术小哥先进行了初步分析后发现，除了诱惑用户下载和安置，这款勒索病毒还会通过 PC 端和手机端的社交平台、游戏群等渠道进行传播扩散。

也许对“永恒之蓝”带来的邪恶影响带着极其暗中的崇拜，这款勒索软件的作者把勒索敲诈页面做成了高仿电脑版的“永恒之蓝”勒索病毒。软件运行后，安卓手机用户的桌面壁纸、软件名称和图标会被篡改。手机中的照片、下载、云盘等目录下的文件进行加密，并向用户勒索赎金，金额在 20 元、40 元不等。而且宣称 3 天不交赎金，价格将翻倍，7 天不交，将删除所有加密文件。

纳尼，你辛辛苦苦做了一个安卓机锁屏病毒，然后勒索 20 元到 40 元？你是不是看不起我们“王者荣耀”玩家？

根据上次 DNF 玩家因为一句“死肥宅”就要求玩家穿西装直播的套路，王者荣耀玩家可能会妥妥地不平气啊！

技术小哥不这么想，敢搬弄我们做安适研究的？20 块都不给你！

勒索病毒作者已被找到

技术小哥开展了一轮深度分析，发现该病毒变种较多，通过生成器选择差别的配置信息，可以在加密算法、密钥生成算法上进行随机的变革，甚至可以选择对生成的病毒样本进行加固混淆。由于其生成器衍生版本众多，每个生成器又可以进行随机化的配置，很大程度上增加了修复难度。

目前发现的病毒样本采用的是 AES 和异或的加密方式，其恢复难点在于随机化的配置信息，面对众多的密钥随机方式，不容易找到统一的恢复方法。

对已发现的随机方式统计如下：

1、加密方式：AES、异或；

2、密钥生成算法：随机数字加固定值、随机字符串；

3、密钥使用的固定值在差别版本中差别。

不但发现了该勒索病毒的“套路”，技术小哥一发力，找到了“罪魁祸首”。通过对冒充王者荣耀辅助的勒索软件进行详细分析发现，作者在病毒开发中常使用的 QQ 号为127*****38，由此关联到的多个作者QQ号中，作者大号873*****8早在2016年就开始在网上传播病毒生成器。这些病毒生成器使用者需向生成器作者支付必然金额来获取使用权限。

病毒作者号称这是“永恒之蓝”安卓版，并在本身的 QQ 空间，大肆炫耀宣传（目前已删除）。