-
-
[原创]通俗易懂讲解-GandCrab勒索病毒加密原理
-
2019-7-14 11:43
-
算法简介
1、RSA加密算法是一种非对称加密算法。所谓非对称，就是指该算法需要一对密钥(公私钥)，使用其中一个加密(公钥)，则需要用另一个才能解密(私钥)。
2、Salsa加密算法是一种对称加密算法，加密和解密双方使用相同的密钥，加密后数据长度不变。
加密原理结构图
关键字解释：关键字根据自己的理解做了稍许改变。
RsaHackerPrivateKey = 病毒作者预先生成的RSA私钥，只有病毒作者知道。
RsaHackerPublicKey = 病毒作者预先生成的RSA公钥，勒索病毒体内嵌的RSA公钥。
SalsaPrivateKey = 随机生成的Key，用于Salsa20加密算法的Key
RsaLocalPrivateKey = 本地随机生成RSA私钥
RsaLocalPublicKey = 本地随机生成RSA公钥
SalsaFileKey = 随机生成的Key，用于Salsa20加密算法的Key。（就是这个Key加密的文件）
SrcUserFile = 待加密的文件数据
Data3 = 加密后的文件数据 = "随机生成的SalsaFileKey" 使用Salsa20算法加密"SrcUserFile"后形成的加密数据
RAS加密函数定义 = typedef RSA(Key，待加密数据 )
Salsa20加密函数定义 = typedef Salsa20(Key， 待加密数据 )
加密原理
1、根据"勒索病毒体内嵌的RSA公钥(RsaHackerPublicKey )"使用RSA算法来加密"随机生成的SalsaPrivateKey"，得到Data1
2、根据"随机生成的SalsaPrivateKey"使用Salsa20算法来加密"本地生成的RSA私钥RsaLocalPrivateKey"，得到Data2
3、根据"本地生成的RSA公钥RsaLocalPublicKey "使用RSA算法来加密"随机生成的SalsaFileKey"，得到Data4
4、根据"随机生成的SalsaFileKey"使用Salsa20算法来加密原始文件，得到Data3
数据无法解密原因
1、勒索进程结束后，"随机生成的SalsaPrivateKey"、"随机生成的SalsaFileKey"就已经被内存释放了。只有"作者手中的RSA私钥(RsaHackerPrivateKey)"才能解密出这两个Key。
解密公式
1、根据"病毒作者手中的私钥(RsaHackerPrivateKey)"&"Data1"使用RSA算法来解密出"随机生成的SalsaPrivateKey"
2、根据"随机生成的SalsaPrivateKey"&"Data2" 使用Salsa20算法来解密出"本地生成的RSA私钥RsaLocalPrivateKey"
3、根据"本地生成的RSA私钥RsaLocalPrivateKey"&"Data4" 使用RSA算法来解密出"随机生成的SalsaFileKey"
4、根据"随机生成的SalsaFileKey"使用Salsa20算法来解密出原始文件
[培训]《安卓高级研修班(网课)》月薪三万计划，掌握调试、分析还原ollvm、vmp的方法，定制art虚拟机自动化脱壳的方法
|
|
|---|---|
|
|
|
|
|
谢谢指正  。原文已经修改成正确的了。
|
|
|
|
|
|
已修改  ，同属强迫症患者，握个爪 .......
|
|
|
|
|
|
作者私钥怎么可能给你，给你了还怎么勒索你。详见解密公式1，Data1这个玩意儿你给作者，作者解密后明文的东西给你。 |
|
|
|
|
|
|
|
|
|
|
|
一般现在没做那么复杂 当作者需要向用户证明他有解密能力时，会让用户选择不超过3个被加密的文件，限制文件大小，且不允许是有价值的文件，发送给作者； 作者发还解密后的文件给用户。然后用户就相信了。 |
powerpcer
