让 360 发出大大大预警的“无解病毒”究竟是什么？ | 深度

只有失去了，才懂得珍惜。

这个一般由前女友教会你的道理，一个病毒同样也可以教会你。

在中国，已经有至少 497 万台电脑感染了这种可怕的病毒。

喜欢看僵尸片的童鞋都熟悉一个场景：“主人公正在家中岁月静好，而一条街外，世界已经血雨腥风。”如果看到这里，你还懵然无知，不知道我在说神马。那么请回头看看，很可能你已经在无数僵尸的注视中了。。。

让 360“花容失色”的病毒究竟是什么?

你俄几在我们叟丧，明天资前付俗金，否则偶们就要撕票!

这个狗血烂俗的剧本，几乎可以概括这个病毒的套路。但是相信我，当狗血的剧情真正发生在你身上的时候，你的体验会大不一样。

这种病毒被称为“勒索者病毒”。

早晨起来，你打开公司电脑，浏览了一些网页。突然发现电脑有一点点卡，你抱怨了一下抠门的公司迟迟不给你换电脑，然后继续工作。

十几分钟后，你的世界开始“变天”。

毫无征兆，系统弹开一个文档，上面写着：你好，你的文档和数据已经全部被我们加密了。但是别急，你知道我们黑客是很守规矩的，只要你给我的账户转“3个比特币”，保证可以把你的文件毫发无损地解密出来。。。

你慌忙打开文件夹，发现公司所有的资料、报表、客户合同，包括你刚刚写的一万字的工作报告，都变成了莫名其妙的白色图标，点击任何一个都无法打开。同时你发现，就连桌面都被黑客改成了勒索信。

更让你迷惑的是，歹徒居然不让你网银转账，不用你微信红包，却要听上去很陌生的“比特币”。而当你仔细搜索才知道，3个比特币换算成软妹币的话，要10000多块。

如 360 这种见过大世面的反病毒公司，遇到“勒索者病毒”都会“花容失色”。因为，当你看到勒索信的一瞬间，就意味着这件事情几乎已经无解了。不仅 360，世界上其他的反病毒公司同样回天乏术。因为这类病毒所使用的加密技术，是和你手上的U盾一样的安全级别，想要破译好比登天。

而更让人感到无力的是：正在看文章的你，在内心里根本不相信自己会是下一个受害者。你也许并不会去给自己的电脑安装最新的补丁，也可能并不会安装升级你的反病毒软件。

正是这种如鲁迅描写的“围观杀人”的冷漠，让“敲诈者病毒”在今年下半年的爆发数量超过了上半年600%(360 统计数据)，让今年年带有这类病毒的垃圾邮件比去年增长了6000%(IBM 统计数据)。

所以，这个“勒索者病毒”究竟是怎样运作的呢?

“勒索者病毒”的简单原理

360 首席反诈骗专家裴智勇告诉雷锋网宅客频道，“勒索者病毒”是非常“有个性”的病毒。

一般的木马病毒都有很直接的目的：窃财，窃密，窃数据，盗账号。但敲诈者病毒却是用要挟的办法，强行索要财物。而且敲诈者病毒的攻击过程是瞬间完成：在加密文件的过程中用户几乎没有任何感受，当你感受到的时候，证明感染已经成功。

【360 首席反诈骗专家裴智勇博士，以及敲诈者病毒的加密解密原理】

具体来说，“勒索者病毒”感染全过程的简单原理如下：

1、用户感染这类病毒的途径有：浏览了带有木马病毒的网页(这类比例最大，且大多小白根本没感觉)、打开了带有病毒的邮件、下载了带有病毒的恶意软件，或者干脆被黑客入侵。

2、在病毒进入用户电脑之后，会对文档、图片、视频等常用程序进行加密，然后生成一个密钥，再把这个密钥用更变态的方法加密多次，最终存储在本地，只有黑客手中的密钥才能打开。

3、然后程序会自动弹出勒索信，用户为了支付赎金，需要购买比特币，为了购买比特币，需要下载专用的暗网浏览器“洋葱浏览器”。

4、历尽千辛万苦给黑客支付赎金之后，再把本地的密钥发给黑客，黑客解密之后发回本地，用户就可以用他解码文件了。

总之，这种病毒颇有一种“你看不惯我，还干不掉我”的风范。用一句话形容， 就是“老奶奶靠墙喝粥”——背壁，无齿，下流。

面对这样的危急形势，360 发布了一份《2016敲诈者病毒威胁形势分析报告》，对这种病毒发出了大夶夶预警。虽然听上去是一份不太性感的报告，但是其中还是隐藏了很多“萌点”，雷锋网宅客频道从中摘了十个有关“敲诈者病毒”的冷知识，让你对这种无耻的勾当再多一些了解。

有关“敲诈者病毒”的八个冷知识

一、敲诈者病毒是“最男人”的病毒

怎么说呢?还是看图吧。

【敲诈者病毒中招男女比例】

中毒用户中，有 42% 说并不知道自己怎么中毒的。根据我们的分析这其中90%都是登录了挂马(带有木马病毒)的网页，这其中有一些是真不知道自己怎么中毒的，有一些可能是不好意思说的。

裴智勇用“你懂的”口气说道。

实际上，大量的“黄色网站”“赌博网站”都被黑客“挂马”(站长也许根本不知情)，但是根据调查，绝大多数浏览这两类网站的用户，看到浏览器弹出的风险提示，会以迅雷不不及掩耳盗铃之势选择忽略。

所谓黄赌毒，大概可以解释为，黄、赌网站一般都带毒。。。

安全专家们对用户的这种行为表示“充分理解”。但是，正是“男人的力量”，让敲诈者木马呈指数级模式在中国传播。

【敲诈者病毒的两次传播高峰，其中一次就是因为某境外黄色网站被挂马】

系统没打补丁，可能是罪魁祸首

360 反病毒专家王亮告诉雷锋网(公众号：雷锋网)宅客频道(letshome)，从数据来看，网站挂马是中国用户感染敲诈者病毒最主要的途径。

而浏览带有木马病毒的网站，并不意味着一定会感染。感染的前提是：你的浏览器存在漏洞。

根据研究，这些木马利用的漏洞大概只有两种：“IE 漏洞”和“Flash 漏洞”。

【网页“挂马”利用漏洞的比例】

所以，赶快去检查一下你家里和工作单位正在使用的 IE 版本吧。其中绝大多数是 IE 浏览器的漏洞。然而，让人发指的是，其中利用最多的是一个名为“CVE-2014-6332”的漏洞。顾名思义，这个漏洞在2014年就被提交给微软，并且获得了修复。而超过四分之三的用户之所以还会中招，是因为他们使用了2014年以前的老版本 IE，根本没有打补丁或下载新版本。

理论上来说，制作这类病毒的人，并不一定有能力挖掘出最新的浏览器漏洞，他们的弹药都来自于已经被爆出来并且已经被微软发布补丁的漏洞。而正是因为大量用户没有更新最新补丁的习惯，才让黑客在诈骗的道路上“如鱼得水”。

黑客的加密技术，和网银一样

“如果把全世界的计算机都用起来，几年时间都不一定能破解一个敲诈密钥。加上用无数穷举的密钥尝试解密目标文件所用的时间，这让破解根本是不可能的。”

裴智勇如此解释被加密文件的不可破解性。

实际上，黑客在加密中所使用的 RSA 或 ECC 非对称加密算法，正是银行 U盾的加密算法。这类技术本来是用于安全支付，现在却被黑客拿来敲诈勒索。

如果你能破解敲诈密钥，那么理论上你就能够破解别人的 U盾。

裴智勇说。

【利用加密技术，U盾可以生成难以破解随机验证码】

黑客从不赖账

根据数据，在中国的受害者中，有将近40%的人不相信付钱后黑客会帮忙解密文件。

根据我们的调查，在中国，付款后黑客履行承诺，解密文件的比例是100%，也就是，黑客从来没有赖账。

裴智勇说。

也就是说，虽然你可能永远不知道黑客在哪里，但是黑客的诚信精神似乎还不错。

那些不相信敲诈黑客的人，是否还会有一些惭愧呢?这似乎是一种复杂的情感。

交赎金，朋友不如淘宝可靠

因为购买比特币和比特币转账，首先需要翻墙，其次需要下载暗网专用浏览器，而且还要找到正确的比特币购买和交易平台。关键问题在于，所有的流程都需要在英文网站上完成。这个技术挑战不是一般的大。

所以，八卦的 360 甚至统计了受害者交赎金的途径。有意思的是，受害者中有 8.3% 选择求助于朋友，而朋友帮助的成功率是：0%。(雷锋网宅客频道发来贺电)

相反，有 58.4% 的童鞋选择求助于万能的淘宝，淘宝上专业的商家代付成功率为 92.9%。(向毛主席保证，本文绝不是淘宝广告。目测淘宝已经屏蔽了“比特币”关键词。)

而受害者自己操作的成功率都达到了50%。

这一趴的结论是，有事别靠朋友，靠自己。

【淘宝上的比特币交易服务】

企业“VP”的电脑里似乎没什么重要资料

数据看来不会说谎，如果你愿意支付一万块的赎金，一定说明你认为电脑里的数据比一万块更值钱。

【企业不同层级付赎金的比例】

从这个图上看，企业的中下层员工中招之后，很多人都会选择给黑客付钱。然而企业的高管、VP们，居然没有一个人付钱。从人之常情的理解来看，可能是因为高管的业务资料在下属手中都有备份。

然而，到了企业的顶头 BOSS，情况就不一样了。

这一趴的结论是：“果然，老板们都有不可告人的秘密啊。”

敲诈黑客也有“玩脱”的时候

同一家族病毒加密文件的解密钥匙都是相同的，密钥掌握在黑客手中。所以一旦黑客公布密钥，所有曾经被加密的文件理论上都会“重获自由”。

例如臭名昭著的 TeslaCrypt 敲诈病毒，作者今年突然良心发现，在自己的暗网网站上放出了密钥。

【TeslaCrypt 作者在网页上放出密钥】

当然，绝大多数情况下，你是没办法奢望歹徒良心发现的。

不过，由于改装一个敲诈木马的门槛很低，所以有很多水平参差不齐的黑客也想来分一杯羹。于是做出了很多“问题病毒”

有的病毒没有正确运用加密算法，有的病毒本身存在漏洞，有的没有清除计算机上的历史痕迹，有的对原文件采用了可以被恢复的删除操作。

这些情况我们都可以研究出恢复的方法和工具。

裴智勇说。

但是他也表示，这些错误大多存在于早期的病毒版本中。最新的敲诈者病毒，没有发现任何漏洞。也就是说，只要黑客不犯错误，就没有办法恢复文件。

已经产生了“有中国特色的敲诈者病毒”

由于这类病毒是从国外传来的，大多都是英文版本。不过在今年，已经越来越多出现“中文版”这种照顾用户体验的变种了。

有些病毒的制造者，甚至还玩起了互联网模式，例如“限时优惠”。。。

这个病毒作者看来深谙互联网产品的奥义，在勒索信中写道：在五天内付款，可以享受优惠价哦亲。

另外，还有一个敲诈者病毒，在界面上显示可以“一元解锁”。然而当你真的进入付款界面的时候，实际上扣除的价格就是上千元。(雷锋网宅客频道感觉这种方法已经得到了电信诈骗的真传。)

【一元解锁的“敲诈者病毒”】

看了这么多，也许你还是觉得这种病毒离你很遥远。

然而，事实上这种病毒正在以指数型的速度增长，分裂，变种。今年，360 已经截获了电脑端新增的敲诈者病毒变种113种，涉及到16.7万个样本。而裴智勇根据掌握的数字预测，明年“敲诈者病毒”爆发会是今年的十倍。

就在不久前，雷锋网宅客频道接到读者反映，他办公室的电脑被无故加密，其中的重要资料被黑客加密。老板要求他自己支付约合1万人民币的赎金，他没有办法支付，只好考虑辞职。

而另一位读者因为访问了某信用卡甲流网站，同样中病毒遭遇勒索，他花了一夜时间才成功支付赎金。

所以，对待这种病毒，只有一种办法，就是防患于未然。例如：

• 安装最新版杀毒软件，

• 安装系统和浏览器的最新补丁，

• 做好重要资料备份，

• 或者对自己狠一点，不浏览不可名状的网页。

当然，土豪随意。

“敲诈者病毒”正在接近我们。如果不提高安全意识的话，下一个中招的，也许就是你。

以下是《2016敲诈者病毒威胁形势分析报告》全文链接，供读者参考。