【病毒分析】深入剖析MedusaLocker勒索家族：从密钥生成到文件加 ...

本文详细解析病毒加密文件的运作机制，包括入侵方式、加密算法选择（AES/RSA）、多层加密技术以及防护措施，帮助用户了解勒索病毒的工作原理和防范方法。

病毒还会添加开机启动项，以维持持久性。 执行过程中，它会强制终止SQL Server相关进程、清除备份与恢复点，并遍历系统目录和网络驱动器，筛选目标文件进行加密。 在加密前，病毒将RSA私钥和AES密钥加密后写入文件末尾，确保受害者无法解密文件。

若發現主機中的檔案正在被惡意程式加密，應立即關機讓被加密的檔案降低到最少。 關機時請持續按壓電源鍵強迫電腦進行關機動作，切勿重新開啟主機以免加密程式繼續進行。 可嘗試使用信任來源的解密工具解密，並保存受駭主機以提供分析環境。

一個常用的加密演算法就是 RSA 加密 (這也是 HTTPS 協定所用的加密方式)。 在速度上，RSA 加密比對稱式加密慢許多，而且駭客必須等所有檔案都加密完成之後才能將私密金鑰發送給伺服器。 勒索病毒會在完成加密、將私密金鑰傳給駭客的伺服器之後，就將金鑰從本機刪除。 此時駭客有一個風險就是電腦有可能在完成加密之前就已離線。 這樣的情況下，駭客的伺服器就永遠不會收到私密金鑰，如此一來駭客也無法勒索贖金。 伺服器端非對稱式加密會在電腦上線時才執行檔案加密，藉此解決用戶端非對稱式加密的問題。

兩人並且實作了一隻 概念驗證 的實驗性病毒，在Macintosh SE/30電腦上使用 RSA 及 TEA 演算法加密資料。 他們將這種行為稱作明顯的「加密病毒勒索」（cryptoviral extortion），屬於現今稱作 加密病毒學 中的一個分支。 [13] 兩人在1996年的 IEEE 安全與隱私研討會（IEEE S&P）中描述了攻擊者利用電子貨幣從被害者身上勒贖的過程：「專門的加密病毒能被設計成搜尋受害者的電子貨幣並加密。 這樣一來，攻擊者就能名正言順的保證受害者付錢，否則受害者將失去所

现代勒索软件不会使用单一加密手段对文件进行直接加密，那样的方式要么是效率十分低下，要么是安全性不足，在这种情况下混合加密成为了勒索软件主流的运用手法，以GandCrab的RSA+Salsa20为例，RSA公钥用于加密第一个salsa20的Key和Iv，之后使用第一个 ...