[分享]又一款勒索病毒要求微信支付，火绒安全可解密

[font=&amp]该勒索病毒使用对称加密算法对文件数据进行加密，加密和解密使用相同的密钥，因此我们对其进行了解密。若您已中招，请不要进行任何其他操作，可直接通过火绒官方论坛、微博、微信公众号等渠道，向火绒安全团队求助。[font=Arial, &amp]我们在官方论坛发布解密工具，被该病毒感染的用户可下载该工具进行解密：https://bbs.huorong.cn/thread-107740-1-1.html。[font=&amp]此外，火绒用户无需担心，"火绒安全软件"可拦截、查杀该病毒。

[font=&amp]由于该病毒作者使用不匿名微信收取赎金，火绒安全团队建议微信团队调查该支付页面的用户信息，或提供给公安部门。火绒提醒广大网友，近年来利用外挂软件传播病毒的屡见不鲜，请谨慎使用不明软件，如需下载应用软件请通过正规官网。同时，重要的文件请及时备份，并安装安全软件定期扫描，定期更新高危漏洞补丁以防御勒索病毒带来的危害。

[font=&amp][size=; font-size: 18pt,18pt]传播途径分析

[font=&amp]火绒工程师对该病毒进行溯源，发现病毒主要通过“穿越火线”、“绝地求生”等游戏外挂进行传播，外挂购买信息，如下图所示：

[font=&amp]外挂下载链接[font=&amp]，如下所示：

[font=&amp]外挂下载链接[font=&amp]游戏外挂启动后会释放相关勒索病毒到Documents目录下，火绒剑拦截到的行为，如下图所示：

[font=&amp][size=; font-size: 18pt,18pt]加密分析

[font=&amp]该病毒使用对称加密对文件数据进行加密，相关代码，如下图所示：

[font=&amp]对文件数据进行加密[font=&amp]加密后的文件格式，如下图所示：

[font=&amp]该病毒会对特定的文件后缀和文件夹名不进行加密外，其余所有文件全部进行加密，不加密的文件后缀和文件夹名，如下图所示：

[font=&amp]不加密的文件后缀和文件夹

[font=&amp]对密钥加密相关代码，如下图所示：

[font=&amp]对密钥进行加密