回复: 超强勒索病毒GandCrab再现新版5.3 躲避警方出新招
技术分析
勒索病毒GandCrab 5.3运行后获取当前计算机语言，与病毒内置语言列表中的语言进行对比，如果本机语言在列表中则退出，不执行加密操作。
图：判断计算机语言
病毒会结束指定进程，防止文件被占用无法加密，主要是针对数据库和办公软件的进程。
图：查找指定进程
解密出RSA公钥，此公钥和之前捕获的V5.2版本的公钥相同。
图：解密出RSA公钥
获取本机用户名、操作系统版本、计算机语言、磁盘剩余空间等信息，追加上勒索版本V5.3。
图：获取的本机信息
使用RC4算法将获取到的本机信息加密，发送给控制服务器用于统计感染量。
图：加密后的本机信息
在做好准备工作之后，病毒会创建线程开始加密文件。
图：创建线程加密
遍历磁盘中的文件。
图：遍历文件
加密时排除一些文件和文件夹，防止系统无法正常运行。
图：排除指定文件
文件的内容被Salsa20算法加密，文件名被追加上随机后缀。
图：被加密文件
删除系统自带的卷影备份。
图：删除卷影备份
修改桌面背景图片，显示勒索信息。
图：修改桌面背景
图：修改后的桌面背景
加密完成后退出，并调用cmd删除自身文件。
图：删除自身文件
麦青儿 最后编辑于 2019-04-24 17:17:22
