【转】“微信勒索病毒”全纪实:打扰了,我只是病毒界的杨超越

匿名者  7天前

原创: 史中 浅黑科技 今天

1.jpg

浅友们大家好~我是史中,我的日常生活是开撩五湖四海的科技大牛,我会尝试各种姿势,把他们的无边脑洞和温情故事讲给你听。如果你特别想听到谁的故事,不妨加微信(微信号:shizhongok)告诉我。


“微信勒索病毒”全纪实:

我只是病毒界的杨超越


文 | 史中


你要相信,这世界上总有那么一种人,自己没想火,却一夜之间火得妈都不认识。比如参加选秀就是为了2000块钱+盒饭的杨超越。

病毒的世界亦是如此。

2.jpg

2-.jpg


前两天,有一个病毒用一种混不吝的姿势冲进了所有人的视野,冲进了百度的热搜榜首。它的名字叫“微信支付勒索病毒”。搞得微信慌忙出来发声明。。。


奇葩的是,就在第二天,又有一个病毒用同样混不吝的姿势冲到了百度热搜榜首。它的名字叫“支付宝病毒”。搞得支付宝又跑出来发声明。。。


最奇葩的是,吃瓜群众研究了一圈儿,发现“微信病毒”和“支付宝病毒”竟然TMD是同一个病毒。。。


3.jpg

连支付宝都懵逼了,发了个微博求助。。。


不能更奇葩的是,如果按照瓜友这种命名规则,这个病毒实际上应该叫:“微信支付宝京东网易微博百度QQ天猫旺旺酷狗迅雷病毒”。。。


听上去真是一个要上天的病毒啊,作者肯定是个“密室SM中华田园风骚铁骨我擦嘞闹不住侠”吧?


然鹅,就在大家一脸懵逼的时候,群众们已经迅雷不及掩耳盗铃地扒出了病毒作者的姓名、生日、手机号等等全部身份信息。


他居然是一个黏在电脑前面每天 LOL 的1996年小鲜肉。。。


说实话,中哥自认见多识广,看到这些剧情都慌得一批。


为了搞清事实的真相,我专门去拜访了一位好盆友,他就是 360 安全卫士的安全专家王亮。


4.jpg

王亮和他的好朋友手纸君

听亮哥讲完故事的来龙去脉,整个过程我眼睛都没眨。。。这时我才确认,这个瓜比想象中狗血一百倍。


这是一个《有中国特色的勒索故事》。。。


下面故事开始。


(1)究竟谁感染了“微信勒索病毒”——羊毛党的起义


2018年12月1号,这天是周六,北京笼罩在香醇的雾霾中。


亮哥宅在家,通过电脑监控着世界各地的病毒动向。


突然,“哔哔哔哔哔哔”后台的申诉系统弹出几十封告警。亮哥高呼一声“纳尼!!!”


这个系统相当于用户的“求救信号”。一般情况下,它是很安静的,除非用户觉得有些重大病毒被安全卫士给漏掉了,才会拼命向专家团队发射“求救信号”。


亮哥一看,事有蹊跷。这几十封邮件,全都在投诉一个问题——自己电脑上的文件被莫名其妙的病毒给莫名其妙地给加密了,更雷的是,居然弹出一个微信收款码,说是只要110块,就能帮你解密文件。。。

5.jpg

推荐使用微信支付,讲究。

看到这个效果,亮哥有点凌乱。他凌乱在两点:


第一、用微信支付码做勒索,跟在派出所里抢劫没啥区别。警察一查微信的实名认证就能破案,这属于典型的“自杀式勒索”,说明作者智商捉急。。。


第二、林子大了什么鸟都有。虽然用微信、支付宝作为收款途径的勒索病毒,亮哥也不是没见过,但那些病毒一般都制作得非常劣质,还没等传播呢,就被各种杀软直接秒掉。这个病毒居然不知为何能“逃”过安全卫士的监控,说明作者相当厉害。。。


那么问题来了——这不科学啊,病毒的作者究竟是聪明还是傻呢?


按照规矩,亮哥团队会挨个联系用户,询问他们究竟发生了神马,然后尝试远程帮助他们排查电脑的问题。


查了一圈,亮哥更困惑了。几乎所有人电脑里都安装了型号不一的“薅羊毛程序”和“外挂程序”,而这些薅羊毛程序明明被杀毒软件报毒了,却又被用户强制拉回了信任白名单里。。。


比如像这样薅京东羊毛的↓↓↓

6.jpg


还有这样的↓↓↓

7.jpg

还有这样辅助拼多多发货的↓↓↓

8.jpg

把薅羊毛和外挂程序拿过来一看,果然就是他们,偷偷从网上下载了带有勒索功能的病毒木马,也就是那个“微信支付勒索病毒”。。。


问了一圈,亮哥才明白,原来这些薅羊毛程序,本来就是天天在法律的边缘疯狂试探,杀毒软件经常会把它们判断为病毒,于是羊毛党们下载了薅羊毛程序,第一件事就是顺手把它们拉进白名单里,告诉杀软:“自家兄弟,有话好说。。。”


这回可好,带着勒索病毒的薅羊毛程序,也被归为自家兄弟,杀毒软件被用户“强制旁观”,文件都被加密了。。。


(当然,很多带病毒的薅羊毛程序并没有被用户拉进白名单,它们都顺理成章地被杀毒软件干掉了,电脑也不会被加密勒索,这些不在今天的故事里。)

文件被加密了之后什么样呢?就是下面这样:

9.jpg

亮哥给我截了个图,展示的就是文件被加密以后,所有的 txt、docx、jpg 都打不开,打开也是乱码。


(2)你知道病毒作者有多努力吗?


说了半天,“羊毛党的起义”原来是一场大型乌龙,是他们自己把病毒放行的。但事情已经发生了,现在重要的问题在于:已经被病毒加密的电脑,有没有办法抢救回来呢???


接下来我们来研究一下这个病毒。注意,这个病毒是个“勒索病毒”,勒索病毒是有尊严的。


一般情况下,勒索病毒会调用 Windows 内部的加密机制,三行代码搞定,锁死你电脑上的文件,再厉害的密码专家都解不开。


这个“微信支付勒索病毒”就厉害了,作者自己写了一个几百行的代码,仿佛用尽了毕生的气力来书写一个你永世都难以解开的谜题。


然鹅,这个加密程序却用了作者自创的“民科加密法”,只需要用工具稍微一算就能解开。。。


哭笑不得的亮哥定睛一看,不对!


这个加密算法,运行一次是加密的效果。如果运行两次,也就是加密的基础上再加密,代码又会变成和加密之前一模一样。。。就像一枚硬币,翻一次看到背面,翻两次还是正面朝上。。。。(注意,实现反转的话,病毒程序的代码要做微调,小白勿试,后果自负。)


已经生无可恋的亮哥又定睛一看,还是不对。。。


加密之后的秘钥,就静悄悄地躺在硬盘上。这大概就像:你用一把锁把人家的家门给锁上,然后把钥匙放在门下的脚垫里。。。然后大摇大摆地说,打钱!

10.jpg

Key文件就存在硬盘里。。。

怎么说呢,病毒代码的每一行,都能透出作者的不甘平庸,但是最终的效果只能证明,作者尽力了。。。


12月1号晚上,亮哥把病毒分析报告传给一位同事,让他去开发一套“专杀工具”。工具当然不太复杂,同事熬了一下夜,第二天早晨就把专杀工具提交360安全卫士上线,这个不在话下。


再回头看亮哥,既然知道病毒造成的一切破坏都有办法还原,基本就放心了。接下来,他准备带着兄弟们去追查一下这个病毒究竟是何方神圣。


(3)微信、支付宝以及十大互联网公司躺枪


讲真,病毒界和我们人类世界一样,也能分出三六九等。


如果病毒作者买很多服务器,然后把病毒放在里面,诱骗其他电脑来访问,那么这就属于病毒界的王思聪。。。


如果病毒作者只是黑了人家的服务器,然后偷偷地“借用”人家的服务器来传播病毒,那这就是病毒界的屌丝。。。


今天这位“微信勒索病毒”属于哪种呢?它称得上是屌丝中的战斗丝。。。


直接说原理。把大象装冰箱分三步,这套病毒的工作原理,也分三步:


第一步:用户下载了薅羊毛程序之后,这个程序会偷偷“逛豆瓣”。。。


是的,你没看错,这个薅羊毛程序就是会访问豆瓣。当然,它并不是文艺小清新,而是从豆瓣的一个网页里,读取攻击指令。


就是这个网页了,原贴已被删,感谢百度快照。。。


11.jpg

本来被用来写影评的地方,写了这么一堆乱码,程序读了它,就接受到了一个指令,去哪里下载什么东西。


第二步:“逛豆瓣”之后,它会去“逛QQ空间”


豆瓣页面里的指令,指向一个 QQ空间,在这个QQ空间里,有张小女孩的图片。这不是一个普通的小女孩,你看,它的分辨率只有530*456,但是它的大小却有6.98M。。。

12.jpg

因为在这个图片背后,贴着一个“下载器”,可以访问指定的地址下载另一个程序。

13.jpg

(把这张图片解压之后,能解出这么一堆文件。。。)


这个指定的地址是哪里呢?还是豆瓣。。。。去豆瓣干什么呢?还是跳到QQ空间找另一个“下载器”。就这么循环了三次,下载了一堆形态各异的下载器。终于,最后一个下载器把剧情推进到了第三步。


第三步:下载勒索病毒。


最后一个下载器,终于从QQ空间里拿回了两样东西:这第一样我们等下再说,这第二样就是勒索病毒本尊。后面的故事就是把用户电脑上的文件加密,然后弹出微信支付二维码,大家都知道了。

14.jpg

以防你没明白,中哥画张图。简单来说就是薅羊毛程序下载了一串下载器,最后一个下载器下载了勒索病毒。


你看,整个勒索流程下来。它把恶意指令藏到豆瓣,把恶意程序藏到 QQ 空间,自己不仅连个服务器都不用买,而且连服务器都不用偷。


直接利用豆瓣和QQ的免费服务,黑客攻击的成本是:零。。。


听到这,中哥已经跪服了。。。这个病毒的作者肯定是个勤俭持家的好孩子。每勒索一票赚110块,都是净利润啊。。。


主线剧情进行到这,却又出现了一个支线剧情。


那就是我们刚才卖的关子,最后一个下载器从 QQ 空间拿回了两样东西,除了勒索病毒,另一个是神马呢?


没错,就是用来记录用户密码的程序。


问:它都可以用来记录什么密码呢?


答:支付宝、京东、网易163邮箱、微博、百度云盘、QQ网页版、天猫、旺旺、酷狗、迅雷。


其中,支付宝的安全做得最好。一般情况下,用户在支付宝页面输入密码的时候,支付宝会探测有没有记录程序在偷偷记录密码。所以,为了绕过支付宝的检查,黑客在支付宝的网页之上生成了一个一模一样的窗口,盖住原本的密码框,骗用户输入密码。。。


这就是为神马到了第二天,这个病毒又被称为“支付宝病毒”的原因了。。。。


至此,微信和支付宝躺枪的过程完毕。

这个病毒之所以被叫做“微信勒索病毒”,是因为它通过微信支付勒索钱财。


这个病毒之所以被叫做“支付宝病毒”,是因为它试图盗取用户的支付宝密码。

然鹅,平胸而论,这个病毒并没有只盗取支付宝的密码啊。。。如果它盗取谁的密码就用谁命名的话,这个病毒应该叫做:


支付宝京东网易微博百度QQ天猫旺旺酷狗迅雷病毒”


那么这个病毒究竟盗取了多少人的账号和密码呢?卖个关子,最后会揭晓。


我们继续顺着病毒追查。既然已经得知这么多信息,接下来就可以试着寻找病毒作者究竟是谁了。


(4)病毒作者浮出水面


事到如今,你已经能体会这位病毒作者童鞋的风格了:虽然他破“腚”百出,但只要你留心,总能找到更奇葩的破腚。。。


刚才我们说过。那个薅羊毛程序并不是把“微信勒索病毒”下载下来,而是在之前,下载了一些“下载器”,再由下载器把“勒索病毒”下载下来。


好的,奇葩的破绽就出在这些“下载器”上。


为了严谨,多说一句。分析了一下在真正病毒被下载之前的五个“下载器”,亮哥发现,这些下载器的代码风格和最后的病毒是一致的。这证明,下载器和最终病毒的作者是一个人。


在其中一个下载器里,作者竟然留下了自己的 GitHub 地址,而这个地址可就厉害了,用户名直接是:“qq1790749886”。我读书少,但怎么看这都是一个QQ号吧。。。而在页面里他还留下了一串字符:LSY19960417。我读书少,但这这分明就是一个名字的缩写和生日好不好。。。

15.jpg

不用你们动手,

中哥替你们搜了一下这个QQ号。


1996年,还是个白羊座。。。听说白羊座做事冲动,星象大师诚不我欺啊。


亮哥说,他刚开始搜到这个QQ号的时候,对方的签名还写着:“收徒,老湿傅带你写外挂。2300包教包会!”(当然现在已经改了)


而有一位叫做“雕哥”的热心网友,好奇加了他的QQ,他居然还没意识到发生了什么,要继续去打LOL。


16.jpg

17.jpg

当然,即使是一个病毒作者,中哥也并不提倡人肉他。不过实际上,这些信息被公开之后,广大网友已经把这位小哥的具体姓名人肉到了。。。具体的信息这里就不写了,我们暂且把他称为 LSY 吧。


至此,黑客在安全人员眼中已经遭遇了史诗级的溃败。。。


说到这,你一定想知道,这位黑客老湿傅究竟赚了多少钱。


当然,这个账号具体的收款详情,只有微信支付才掌握,他们并不会公布。但亮哥回忆了一个有趣的细节。


最开始,亮哥接到“报警”之后,确实有一个受害者说,他已经扫码支付了110块,然后,就没有然后了。


经过逆向这个病毒程序之后,亮哥发现,程序根本就没那么智能,这边付过去110块,那边的 LSY 老湿根本不知道是谁付的钱,又怎么能帮你解锁呢。。。。


而在亮哥尝试扫那个微信支付码的时候,这个码已经失效,因为被举报了。。。举报了。。。

18.jpg

怎么说呢,很可能那个付款的受害者,是第一个交赎金的,也是最后一个能交进去赎金的。。。这个故事告诉我们:下次遇到微信支付勒索,交智商税要趁早。磨蹭半个小时,想送钱都送不进去了。


故事讲到这里,还有一个最大的疑团没有解开,那就是:LSY 老湿傅,究竟是如何把那一整套“下载病毒的指令”塞进几十款薅羊毛程序里的呢?


你可能猜不到,解开这个谜团的同时,我们顺便又打开了一个新世界的大门。。。


(5)神秘的组织:易语言


一个神奇的事实浮出水面:

所有传播这个勒索病毒的薅羊毛、外挂程序,都有一个惊人的特点,那就是——他们都是用“易语言”编写的。

你可能会好奇,纳尼?我听说过 C语言,PHP,Java,啥叫易语言?


实话实说,中哥在一天以前,也不知道神马是易语言。


给你两张易语言编程界面你体会一下。

19.jpg20.jpg

再来一张人们学习易语言的场景。

21.jpg

你应该有感觉了。易语言是一个纯中文的编程界面,对于广大没有计算机背景,但是却热爱编程的人士“相当友好”。


如果说 C 语言是任天堂的红白机的话,那么易语言就是——小霸王学习机。

可能你猜不到,易语言在中国有着巨大巨大的使用群体。


而在易语言的粉丝中,有一个颇为有名的论坛——精易论坛


给你看下,精易论坛的感觉。。。

22.jpg

点击可以看大图,

如果你想的话。。


我为什么要花这么多时间来说易语言呢?因为,整场“微信勒索病毒”事件,其实都只发生在易语言的世界里。事情是这样的:


1、LSY 老湿傅,是一个狂热的易语言爱好者,曾经用易语言做了一些有用的小工具,发在了精易论坛上。


2、2018年早些时候,LSY 老湿傅动了歪心,他发布了一个带有病毒的小工具,但是很快被细心的网友发现了,回帖说你这个里面有病毒啊。。。老湿傅羞赧无比,决定回去再苦练几个月。。。


3、在2018年11月15号,老湿傅重出江湖,在精易论坛发表了一个新的小工具“小型软件在线更新方法”。这是一个易语言编程的插件。而这个插件里面,就被 LSY 老湿傅植入了“下载器”的恶意代码。


这个恶意代码可就厉害了——它感染的是易语言的编程程序。


也就是说,一旦下载过这个插件,用它编出来的程序,都是偷偷带有下载器功能的,软件作者并不知情。而这个下载器能用来下载什么,就是 LSY 老湿傅说了算了。


于是,LSY 通过感染“编程语言母体”的方式,让母体编写出来的一切程序都天然带有病毒。就像那些可怕的基因疾病一样,如果母亲具有患病基因,那么孩子也会天然带有这种疾病。


于是,一场可怕的扩散就此开始。


(6)一场华丽的当众裸奔


讲真,这种攻击母体的方法,在黑客界已经非常出名。甚至它还有一个名字,叫做“软件供应链攻击”。


这种攻击非常有效,扩散起来非常迅速。但是,真正的成熟黑客,一般不会选用这种攻击方式,原因是神马呢?


没错,就是控制不住事态。。。


病毒干的这些事,盗取信息、勒索,本来应该是低调进行的。这就像抢劫团伙,本来应该夜黑风高之时在僻静的小胡同里,堵住一个弱小的姑娘要钱。没听说过哪个抢劫团伙到王府井地铁站,每人把守一个出口,站在安检旁边挨个要钱的。。。

23.jpg

但是,感染母体软件之后,病毒作者是没办法控制其他人用这些母体编写多少新程序出来的,病毒作者也没办法控制这些新编出来的带毒软件究竟会有多火,会有多少人使用。


这就像你打台球的时候,


把白球直接打进洞很容易,


但是用白球撞彩球进洞就更难控制准星,


如果你能让五颗球连续撞击最后进洞,那你就是世界级选手了。

换句话说,就像一个小孩子扛起了火箭炮,他对接下来发生的事情根本无法控制。。。。
24.jpg

这样一看,一切就都明白了:


“微信勒索病毒”,本来就是 LSY 老湿想要小范围传播的勒索软件,于是根本都没做什么伪装,还用了微信支付码,估计在他心里,预计这个病毒会感染几十人,然后其中十个人付赎金,赚个一千多块钱完事。


没想到,中国人民对于薅羊毛这件事情过于热衷,导致几万人使用了带毒的薅羊毛程序,超出了他的预料,直接惊动了中国几大杀毒软件。。。


事实也证明,病毒从开始传播到各大安全厂商剿灭,总共用了半天时间。但LSY 老湿的蠢萌和法律意识不足,生生把一个低调的勒索病毒变成了天安门广场大型裸奔现场。。。


就这样,他从一个默默收徒的小黑客,摇身一变成了两天之内用两种姿势连续攻占百度搜索头条的男人。。。


事情曝光之后,LSY 的豆瓣页面上的最后一条攻击代码也被他换掉了,只有一行字:

sorry!---太年轻了!

25.jpg

看到这里,一种复杂的心情涌上我心头。年轻总会犯错误,但有时我们为年轻付出的代价,也许过于沉重。


以上一切信息,亮哥都在第一时间同步给了警方。从公开信息看,各大安全厂商也都把自己掌握的信息交给了警方。


就在2018年12月6日晚上,微博“平安东莞”发布了一条消息。没错,LSY 老湿落网了。。。

26.jpg

根据警方的信息,罗某某涉嫌利用自制病毒木马入侵用户计算机,非法获取淘宝、支付宝、百度网盘、邮箱等各类用户账号、密码数据约5万余条,全网已有超过10万台计算机被感染。

亮哥给我讲的故事,到这里就告一段落了。


但是回望整个事件,我发现它的每一个环节,都只能发生在中国。


从只有中国人才用的“小霸王学习机”易语言,到中国特色的薅羊毛软件,到通过豆瓣和QQ空间进行病毒投放,到微信支付收勒索款,再到这个22岁的青年所思考的一切。


在川流的忙碌人群背后,有一个庞大的群体,大多数时候他们沉默着,在角落里按照自己的“规则”生存着。


他们之中,有的人赚尽荣华,坐拥香车美女;

他们之中,也有人四处挣扎,幻想致富良方。


偶尔,他们中的一员被甩到舆论的漩涡中心,被人嬉笑品评,然后黯然退场。


  他们,像是中国的影子。

27.jpg

来源:https://mp.weixin.qq.com/s/XMG3vic5l2AsY-vzzwaDeQ

最新评论

昵称
邮箱
提交评论

友情链接:FOFA FOEYE BCSEC BAIMAOHUI 安全客 i春秋

nosec.org All Rights Reserved 京ICP备15042518号