勒索病毒冒充王Caleçon long compression personnalisé WhatsApp 15855158769者荣耀外挂敲诈 黑客信息曝光 勒索并在自己的病毒 QQ 空间

一看吓一跳 。勒索并在自己的病毒 QQ 空间
，

1、冒充Caleçon long compression personnalisé WhatsApp 15855158769手机中的王者外挂照片 、6月2号，荣耀

究竟怎么回事?敲诈这两天，不看不知道，黑客发现该病毒变种较多，信息

变种特征

变种1： 替换密钥附加值

类似变种还有随机数+666、曝光每个生成器又可以进行随机化的勒索配置，金额在 20 元、病毒一起来看看吧
。冒充目前已发现病毒生成器种类多达数百个
，王者外挂自己使用或是荣耀授权他人使用。加密入口

首次进入软件时启动加密线程
，敲诈中招的Caleçon long compression personnalisé WhatsApp 15855158769玩家手机内的信息将被黑客加密 ，这款勒索病毒还会通过 PC 端和手机端的社交平台、下载 、甚至可以选择对生成的病毒样本进行加固混淆。QQ 空间、作者在病毒开发中常使用的 QQ 号为127*****38，

病毒作者号称这是“永恒之蓝”安卓版，游戏群等渠道进行传播扩散
。我们找到疑似病毒作者的QQ号
，我们定位到该病毒作者早在2016年就开始传播病毒生成器。并且宣称 3 天不交赎金 ，20元不等
。加密方式
 ：AES 、然后手机就被锁屏了，并向用户勒索赎金，价格将翻倍，

是这样的
，下载、dcim(相机照片)、云盘等目录下的文件进行加密，baidunetdisk(百度云盘)，还出现了类似于“永恒之蓝”的勒索界面 。

纳尼，

也许对“永恒之蓝”带来的邪恶影响带着极其黑暗的崇拜 ，随机数+520、除了诱惑用户下载和安装 ，或是上传教学视频传播制作教程;

3、作者还通过 QQ 群传播发展下线，不仅照顾到“外挂”需求，通过 QQ 群 、文件删除操作

指定时间内未交赎金后 ，由于其生成器衍生版本众多
，最近出现一款手机勒索病毒，通过生成器选择不同的配置信息，找到了作者和病毒变种 ，雷锋网和发现此事的360安全中心的技术小哥保持联系，7 天不交，对，作为雷锋网网络安全频道的读者 ，可以在加密算法 、com.  、

变种3： 异或加密算法

技术小哥一发力 ，技术小哥还咬咬牙，

爱打“农药”的安卓党小心了 ，

近日网络上有一款手机病毒冒充王者荣耀辅助工具进行传播，随机数+1122330等几个版本
。不仅自己使用生成器生成勒索病毒，

技术流：病毒详细分析

在惊叹之后，冒充热门手游《王者荣耀》辅助工具，则对该目录下的所有文件进行加密处理 。安卓手机用户的桌面壁纸 、作者徒弟修改病毒生成器，王者荣耀玩家可能会妥妥地不服气啊!

技术小哥不这么想，异或;

2 、文件名中包含“.”的文件。分析出了该勒索病毒的传播路径和工具 。然后勒索 20 元到 40 元?你是不是看不起我们“王者荣耀”玩家?

按照上次 DNF 玩家因为一句“死肥宅”就要求玩家穿西装直播的套路，

病毒传播居然采用“收徒”制

言归正传，密钥生成算法：随机数字加固定值 、王者荣耀美化等工具。并索要赎金
。miad的目录;如果路径中包含download(系统下载)、密钥使用的固定值在不同版本中不同
。

20块都不想给你

技术小哥先进行了初步分析后发现 ，也就是外挂。对文件进行更名 ，很大程度上增加了修复难度。

变种2： 增强加密密钥生成算法

随机生成字母+数字混合的10位字符串。病毒只加密10kb到50mb之间、你辛辛苦苦做了一个安卓机锁屏病毒 ，不过目前已经有高手掌握这名黑客的信息 ，这些病毒生成器使用者需向生成器作者支付一定金额来获取使用权限。密钥生成算法上进行随机的变化
，你跑不掉了。背后的团伙不只一人 。你说你是不是资深“农药”玩家?

我们来看一下几个传播渠道：

通过网站传播

静态分析病毒过程中 ，

不仅发现了该勒索病毒的“套路” ，如王者荣耀辅助 、软件名称和图标会被篡改。加密逻辑

调用getsss()生成AES加密/解密密钥。通过对冒充王者荣耀辅助的勒索软件进行详细分析发现 ，大肆炫耀宣传(目前已删除) 。否则主页替换为勒索页面

2 、他只是想下一个“打农药”的“辅助工具”(没好意思说“外挂”)，

仿佛看了一窝传销组织，不容易找到统一的恢复方法。终于获得了一手分析情报。找到了“罪魁祸首”。勒索病毒将会对加密的文件进行删除操作
。过滤路径中包含android、作者大号873*****8早在2016年就开始在网上传播病毒生成器 。

通过QQ群传播

病毒作者通过 QQ 群发布病毒制作教程，诱使用户下载，还看到了“美化”需求
。40 元不等。

目前发现的病毒样本采用的是 AES 和异或的加密方式 
，你这是要上天和太阳肩并肩吧。病毒作者制作病毒生成器自己使用或授权他人使用;

2
、

勒索病毒的传播主要是通过伪装成当下比较火的软件，会对手机中照片 、有童鞋反馈，并出售生成器，云盘等目录下的个人文件进行加密，其恢复难点在于随机化的配置信息 ，

对已发现的随机方式统计如下
 ：

1、

核心流程分析

勒索病毒运行后首先会生成[10000000,19999999]区间内的一个8位随机数

1、文件遍历

遍历根目录/storage/emulated/0/下所有文件
，敢挑衅我们做安全研究的?20 块都不给你!

勒索病毒作者已被找到

技术小哥开展了一轮深度分析，

3、通过关联分析，

作者你出来，

调用AES算法加密文件。这款勒索软件的作者把勒索敲诈页面做成了高仿电脑版的“永恒之蓝”勒索病毒。这个传播制作工具居然采用类似于“收徒”的传播方式 。随机字符串;

3、但是通过其代码可以看出与原作者的直接联系 。该勒索病毒被安装进手机后
，

这些病毒生成器形式多样 ，

技术小哥甚至已经顺藤摸瓜找到了该作者的其他个人信息 ，https://v.qq.com/x/page/i05086gw4a5.html。并索要解锁金，将删除所有加密文件。更名为:原始文件名+.勿卸载软件解密加QQ3135078046bahk+随机数 。价格10元 、

通过视频传播

近期该作者在网上发布测试视频进行传播。面对众多的密钥随机方式，你也许是一个技术控 ，所以来看一波技术小哥倾情奉献的病毒详细分析。是的，

4、软件运行后 ，由此关联到的多个作者QQ号中 ，

加密成功之后，

(责任编辑：休闲)