首页
社区
课程
招聘
[原创]Satan3.1勒索病毒文件解密(附解密程序源码和病毒样本)
发表于: 2018-8-2 21:26 20676

[原创]Satan3.1勒索病毒文件解密(附解密程序源码和病毒样本)

2018-8-2 21:26
20676


Satan病毒被揭密似乎已经不是一个秘密了,很多厂商包括瑞星,360,腾讯等公司相继推出了解密的工具。让还是小白的我有了很大的兴趣。于是查看他们的分析报告,病毒,其实仅仅是能对一款或者指定的几款进行解密。原因很简单,使用的对称加密密钥,而且能够找到并重组。有了密钥再解密就不是很难了。自己写了个程序用来专门解密Satan3.1病毒。该病毒的特性是在加密文件的后尾会加上HardwareID和Public两个数值,使用的是RC4加密。把源码发出来和大家分享下,小弟C写的很烂,大神勿喷。

为了加快加密的速度加密方式为如下两种:

(1)特殊后缀,完全加密。

(2)其它后缀,部分加密,加密大小的算法 CryptSize = (FileSize / 2000) *1000,约为文件的二分之一。

举个例子,文件小于等于100000000字节时,zip格式的压缩包就会被完全加密,而RAR格式的只会被加密大约二分之一,因为zip是病毒指定的特殊后缀,而RAR不在列表中。

(1)特殊后缀,完全加密。

(2)其它后缀,部分加密,加密大小的算法 CryptSize = (FileSize / 5000) *1000,约为文件的五分之一。

举个例子,文件大于100000000字节时,zip格式的压缩包就会被完全加密,而RAR格式的 只会被加密大约五分之一,因为zip是病毒指定的特殊后缀,而RAR不在列表中。

特殊后缀包括:

sql, zip, php, asp, jsp, cpp, ini, aspx, cs, py, h, vbs, bat, conf, sh, inc, e, c, pl, csv, asm, doc, docx, xls, xlsx, ppt 这些后缀没有

以下后缀不会被加密:

Dbger, cab, pol, dll, msi, exe, lib, iso, bin, tmp, log, ocx, chm, dat, sys, dic, myd, sdi, lnk, gho, pbk

Satan病毒CryptAPI进行加密,加密的算法是RC,密钥结构如下:

[HardWareID]+k_str1+k_str2+k_str3+[PUBLIC]

k_str1, k_str2, k_str3都是硬编在程序当中的:

k_str1 = “dfsa#@FGDS!dsaKJiewiu*#&*))__=22121kD()@#(*#@#@!DSKL909*(!#!@AA”

k_str2 = “*@#AdJJMLDML#SXAIO98390d&th2nfd%%u2j312&&dsjdAa”

k_str3 = “@!FS#@DSKkop()(290#0^^^2920-((__!#*$gf4SAddAA”


[培训]内核驱动高级班,冲击BAT一流互联网大厂工作,每周日13:00-18:00直播授课

最后于 2019-2-2 13:13 被kanxue编辑 ,原因:
上传的附件:
收藏
免费 2
支持
分享
最新回复 (8)
雪    币: 413
活跃值: (637)
能力值: ( LV9,RANK:170 )
在线值:
发帖
回帖
粉丝
2
好东西,赞。
2018-8-4 21:49
0
雪    币: 3725
活跃值: (614)
能力值: ( LV5,RANK:60 )
在线值:
发帖
回帖
粉丝
3
个人写的还是要赞一下的, 杀软公司写的看看就OK了, 那些公司把这点饭炒糊了都.
有些敲诈者为了效率会用对称算法来加密本地文件, key是随机生成的.
然后再把加密文件的key用非对称算法加密并发送到指定邮箱, 这样进程结束以后内存一释放, 本地基本就没有解密key了.  
但是有个杀软公司出了个解密工具, 搜索内存来找解密key, 如果没有重启电脑的话, 估计真能让他搜出点什么来.
2018-8-6 10:23
0
雪    币: 1563
活跃值: (272)
能力值: ( LV7,RANK:105 )
在线值:
发帖
回帖
粉丝
4
逻辑错误 个人写的还是要赞一下的, 杀软公司写的看看就OK了, 那些公司把这点饭炒糊了都. 有些敲诈者为了效率会用对称算法来加密本地文件, key是随机生成的. 然后再把加密文件的key用非对称算法加密并发 ...
是的是的 其实了解原理的看看就懂了,瑞星那个报告写得已经很详细了,完全可以自己解密,但是要让某司解密还要绑定个全家桶就感觉挺难受的 哈哈
能解密那是最好啦,对于很多解不了的,有钱的公司搞个实时灾备关键时刻还是能救命的
2018-8-6 16:08
0
雪    币: 1003
活跃值: (11)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
5
好贴子~
最后于 2018-10-18 11:09 被wx_zz编辑 ,原因: 理解错误
2018-10-18 11:06
0
雪    币: 965
活跃值: (89)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
6
好贴子~ 
2018-10-30 15:01
0
雪    币: 245
能力值: ( LV1,RANK:0 )
在线值:
发帖
回帖
粉丝
7
2
2020-4-12 16:20
0
雪    币: 20
活跃值: (12)
能力值: ( LV2,RANK:10 )
在线值:
发帖
回帖
粉丝
8
学习了
2020-9-10 17:54
0
游客
登录 | 注册 方可回帖
返回
//