近日，发现又一款勒索病毒通过微信支付收取赎金。经溯源分析发现，该病毒主要是通过“穿越火线”、“绝地求生”等游戏辅助程序进行传播，运行后会加密用户文件（文件后缀名为.SafeSound），并要求受害者扫描弹出的微信二维码支付100元赎金获取密钥，这也是继2018年首次出现后第二次出现要求微信支付赎金的勒索病毒。
该勒索病毒使用对称加密算法对文件数据进行加密，加密和解密使用相同的密钥，因此我们对其进行了解密。若您已中招，请不要进行任何其他操作。
由于该病毒作者使用不匿名微信收取赎金，建议微信团队调查该支付页面的用户信息，或提供给公安部门。
近年来利用辅助软件传播病毒的屡见不鲜，请谨慎使用不明软件，如需下载应用软件请通过正规官网。同时，重要的文件请及时备份，并安装安全软件定期扫描，定期更新高危漏洞补丁以防御勒索病毒带来的危害。
该病毒进行溯源，发现病毒主要通过“穿越火线”、“绝地求生”等游戏辅助进行传播，辅助购买信息，如下图所示：
辅助下载链接，如下所示：
游戏辅助启动后会释放相关勒索病毒到Documents目录下，通过分析工具拦截到的行为，如下图所示：
该病毒使用对称加密对文件数据进行加密，相关代码，如下图所示：
加密后的文件格式，如下图所示：
该病毒会对特定的文件后缀和文件夹名不进行加密外，其余所有文件全部进行加密，不加密的文件后缀和文件夹名，如下图所示：
对密钥加密相关代码，如下图所示：
|
雷达卡
发表于 2022-9-15 00:03
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
千斤顶
显身卡
发表于 2022-9-15 00:08