为什么这么多勒索软件容易破解？

#1 楼

披露：我为参与NoMoreRansom的供应商之一工作。

大多数现代勒索软件确实实现了正确的加密。早期版本使用rand()进行密钥生成，并在随机生成器中植入time()的变体-这就是为什么成功解密要知道何时确切发生感染的重要原因。理想情况下，只需几分钟。那些可以用蛮力解密。但是大多数现代勒索软件确实使用Windows Crypto API或捆绑的加密库。

但是，无论勒索软件实施得如何正确，总有一个弱点-便于解密，密钥必须存放在某个地方。可以由安全公司跟踪此位置，安全公司将与执法部门合作将其接管。对服务器的访问使安全公司能够解密勒索软件受害者文件。例如，GangCrab勒索软件就是这种情况。

#2 楼

这只是一个成本/收益问题。勒索软件开发人员通常不希望通过所有涉及的审查来构建安全工具。他们只想要更便宜的工具，该工具将使他们获得的收益超过成本。当然，它们可能易碎，但是谁在乎呢？如果第一批受害者中的一些人已经支付了所要求的费用，那么攻击者所获得的金钱将比他们所花费的多得多。此外，使用时间越长，如果政府安全机构设法发挥作用，被抓住的风险就越高。

许多现实生活中的盗贼在设法做到这一点上或多或少进入随机的房子：在最短的时间内拿走最有价值的东西，然后走开。

在现实生活和IT世界中，针对目标攻击的情况都不同。如果要攻击银行或珠宝店，则预期收益会很高，足以花费大量的准备时间。当政府部门攻击战略目标时，他们将使用更高质量的工具。但是很少用于随机目标。

#3 楼

显而易见的答案是，没有犯罪分子会希望与受害者直接互动。


“将加密的RSA私钥发送给攻击者”


需要一致的联系点。

在当前模型中，所有通信都是单向且可替代的：


恶意软件显示一个屏幕，指示受害者存款比特币（无直接联系）
犯罪分子监控存款并发送密钥邮件（通信是自动的，并且可以从任何一次性中介机构进行单向发送）。

当前的模型运行良好，是全球范围内的主要威胁之一。总是有改进系统的方法，但是如果它没有损坏，有什么好处？

#4 楼

坦白说，即使使用了可以为您完成的文件库，实现良好的文件加密和解密也非常棘手。我尝试修改一种最初使用非常基本的位移位技术的加密器（旨在混淆病毒以使其对防病毒程序隐藏其签名），但效果不佳，因为大多数防病毒程序都会从​​字面上强行强行破解二进制文件，并且可以意识到它的存在。实际上是病毒！我想替换位移位的“加密”，如果您甚至可以用过去通过成功用于字符串的C＃库进行AES加密来代替它，但是我永远也无法实现。另一个问题是，加密算法越复杂，扫描整个磁盘并在需要支付费用时（最后一次）进行解密所需的时间就越长。

勒索软件真正起飞并变得更好之前，我曾在祖母的计算机上看到过一次勒索软件程序，据说该程序已加密她的文件，并想用200美元解密。实际上，它所做的只是将扩展名“ .crypted”添加到每个文件的末尾，因此Windows不知道要使用哪个程序来打开其中的任何一个！一旦我弄清了，所有要做的就是使用任务管理器找到并删除原始勒索软件文件，然后编写一个批处理脚本来递归地检查系统上每个文件的.crypted扩展名并将其删除（如果存在）。一个小时之内解决了问题，根本没有向黑客付钱！但是，如果他们使用了AES，则该技术根本无法使用，删除病毒文件可能会破坏您曾经希望破解军用级加密的任何希望。

所不同的是，使用第一种重命名文件扩展名以使Windows无法打开任何文件的技术的人到使用军事级加密的人甚至感染病毒时可能已经感染了数百种病毒。足够聪明地修复第一个的人可能也足够聪明，不会被第二个感染。其余95％的人除了支付赎金外，一无所知，无法解决任何一种病毒，可能是第一次付钱给了（使用容易破解的勒索软件的人），然后立即建立了完整的备份解决方案以防止它再次发生。如果他们后来被军事级勒索软件感染，他们已经上过一次课，只是从备份中恢复了。希望甚至没有被感染的人也可以开始设置备份，因此他们甚至不必一次支付赎金。

从这种情况下，您可以看到拥有易于破解的勒索软件的家伙可以先释放它，即使防病毒程序设法在解密前删除病毒，它的运行速度也更快，更可靠，更容易反转，因此，与花大量时间建立病毒的人相比，他将赚更多的钱。完全防弹的勒索软件病毒，但是在人们开始明智地备份自己的重要文件之后，它才进入市场。