如何处理勒索病毒

如何处理勒索病毒

勒索病毒，是一种新型电脑病毒，主要以邮件，程序木马，网页挂马的形式进行传播。该病毒性质恶劣、危害极大，一旦感染将给用户带来无法估量的损失。这种病毒利用各种加密算法对文件进行加密，被感染者一般无法解密，必须拿到解密的私钥才有可能破解。

勒索病毒文件一旦进入本地，就会自动运行，同时删除勒索软件样本，以躲避查杀和分析。接下来，勒索病毒利用本地的互联网访问权限连接至黑客的C&C服务器，进而上传本机信息并下载加密私钥与公钥，利用私钥和公钥对文件进行加密。除了病毒开发者本人，其他人是几乎不可能解密。加密完成后，还会修改壁纸，在桌面等明显位置生成勒索提示文件，指导用户去缴纳赎金。且变种类型非常快，对常规的杀毒软件都具有免疫性。攻击的样本以exe、js、wsf、vbe等类型为主，对常规依靠特征检测的安全产品是一个极大的挑战。

2017年6月，一款针对安卓手机的“文件加密型”勒索病毒，伪装成手游“王者荣耀”辅助工具等APP在国内网络传播，用户一旦中招，手机照片等将被加密。

利用“永恒之蓝”漏洞进行勒索的蠕虫病毒正肆虐全球，所有中招者一筹莫展，因为绝大多数安全公司给出的解决方案，都是事前预防措施。

然而 360 却给出了一个事后补救措施。

今天（5月14日）凌晨2点18分，360安全卫士突然在微博上发布了一个360勒索蠕虫病毒文件恢复工具（文末有下载链接），声称可以恢复部分被勒索软件加密的文件。

选择加密文件所在驱动器

扫描后，选择要恢复的文件

恢复前后对比图

在微博中，作者强烈建议用户选择把恢复的文件保存在干净的移动硬盘或U盘上。同时作者还表示并不能百分之百恢复文件，但是有可能恢复一定比例文件，成功概率会受到文件数量等多重因素影响：

本工具的文件恢复成功率会受到文件数量、时间、磁盘操作情况等因素影响。一般来说，中毒后越早恢复，成功的几率越高。

我们尽力而为，但无法确保能够成功恢复多大比例的文件。祝您好运！

根据此前安全研究者的说法，勒索软件采用的是 RSA + AES 加密算法，属于几乎无法在有限时间内破解的加密算法，那么此次360发布的工具又是基于什么原理呢？为什么恢复文件还存在一定概率？而且，不少网友发现，此次的“勒索蠕虫病毒文件恢复工具”和360此前推出的“误删除文件恢复工具”极其相似，这又是为什么呢？他们是否使用了类似原理？

▲左为误删除文件恢复，右为勒索文件恢复工具

勒索软件制作的恢复工具，并不是直接破解了加密算法，而是通过分析了该勒索软件的工作原理之后，利用一个特殊的手法实现的文件恢复。

他们发现，Wannacrypt 勒索软件的大致工作流程是这样的：

将原文件读取到内存中完成加密，生成一个加密文件，删除原文件

因此电脑中的原始文件其实并没有直接被加密，而是被黑客删除了，被加密的只是副本

王亮向雷锋网解释了勒索软件的加密原理：

一般来说，主流的勒索病毒通常有两种操作文件的方式，一种是直接加密覆盖原文件，这种情况下没有勒索者的密钥，几乎是无法恢复的；另一种则是先加密生成副本文件，然后删除原文件，这种情况下是有可能恢复的。

但是，狡猾的勒索者通常会对文件进行深度处理，比如在删除之前，用垃圾数据把原文件覆盖一遍，这时受害者用文件恢复的办法，只能恢复出一堆垃圾数据。

所幸的是，他们分析此次 Wannacrypt 勒索软件时，发现它并没有对原文件进行这样的“深度处理”，而是直接删除。这在王亮看来算是一个比较低级的“失策”，而360此次正是利用了勒索者的“失策”，实现了部分文件恢复。

王亮强调，此次发布的工具是只针对 Wannacrypt 勒索软件的，对于其他勒索病毒可能没有用，同时也无法保证100%恢复所有文件，因为这涉及到原文件的存储位置、数量、删除时间和磁盘读写情况等因素。但即使如此，他们也希望能够尽一己之力，帮助人们抢救回一些重要资料，救回来一个是一个。

和诸多安全公司一样，目前他们仍在对此次勒索蠕虫病毒进行进一步分析和研究，新的发现和成果将第一时间发布。雷锋网也将在第一时间跟进。