解密：变脸勒索病毒

Avast的团队已经开发出一款BianLian勒索病毒的解密工具并公开提供下载。BianLian勒索病毒于2022年8月首次出现，针对各行各业进行攻击，例如媒体和娱乐、制造以及医疗保健等行业，并以高速度加密文件，提升了威胁等级。

跳至如何使用BianLian勒索病毒解密工具。

BianLian勒索病毒静态分析

BianLian是一种用Go语言编写的勒索病毒，编译为64位的Windows可执行文件。由于Go语言的特性，许多字符串在二进制文件中直接可见，包括有关作者PC的目录结构的详细信息：

样本中提到了非对称加密库RSA和椭圆曲线，但勒索病毒并未使用这些技术。文件数据是使用AES256在CBC模式下进行加密的。加密数据的长度按需求调整为16字节，满足AES CBC加密的要求。

BianLian勒索病毒的行为

在执行后，BianLian会搜索所有可用的磁碟驱动器从A到Z。对于所有找到的驱动器，它会搜索所有文件并加密所有与勒索病毒二进制代码中硬编码的1013种文件扩展名匹配的文件。

有趣的是，勒索病毒并不是从文件的开始进行加密，也不是到文件的结尾。相反，二进制文件中硬编码了一个固定的文件偏移量，从该位置开始进行加密。每个样本的偏移量不同，但所有已知样本都不会从文件的开头开始加密数据。

数据加密后，勒索病毒会为文件附加bianlian扩展名，并在PC的每个文件夹中放置一个名为Look at this instructiontxt的赎金通知见图1。

图1：赎金通知截图

完成加密后，勒索病毒通过执行以下命令来删除自己：

cmd /c del ltsampleexenamegt

解密工具的参数

解密工具只能恢复由已知版本的BianLian勒索病毒加密的文件。对于新受害者，可能需要在硬碟上寻找勒索病毒的二进制文件；然而，由于勒索病毒在加密后会自行删除，这可能会很困难。根据Avast的远程监控数据，受害者PC上常见的BianLian勒索病毒文件名包括：

在寻找勒索病毒二进制文件时，我们建议在通常不包含可执行文件的文件夹中查找EXE文件，例如temp、Documents或Pictures。同时建议检查防病毒软件的病毒隐匿区。BianLian勒索病毒的可执行文件的典型大小约为2 MB。

如果您找到了BianLian勒索病毒的样本，可以通过邮件告知我们：decryptors@avastcom。我们正在积极寻找新的样本并相应地更新解密工具。

如何使用Avast解密工具解密勒索病毒加密的文件

请按照以下步骤解密您的文件：

1) 下载免费的解密工具。

2) 运行可执行文件，它将以向导的形式启动，指引您完成解密过程的配置。

3) 在初始页面上，我们提供了许可信息的链接。当您准备好开始时，点击Next按钮。

4) 在下一页上，选择您希望搜索和解密的位置列表。默认情况下，该列表包含所有本地驱动器：

5) 在第三页上，您需要提供一个原始文件以及由BianLian勒索病毒加密的文件。输入两个文件的名称。您也可以将文件从Windows资源管理器拖放到向导页面上。

6) 如果您有先前运行解密工具时创建的加密密码，您可以选择I know the password for decrypting files选项：

7) 下一页是进行密码破解的地方。当您准备开始过程时，点击Start，即可开始密码破解过程。该过程会尝试所有已知的BianLian密码，以确定正确的密码。

8) 一旦找到密码，您可以继续点击Next以解密PC上所有的加密文件。

9) 在最后一页，您可以选择对加密文件进行备份。这些备份可能在解密过程中出现任何问题时提供帮助。这个选项预设为开启，我们建议选择。点击Decrypt后，解密过程开始。让解密工具工作，等待它完成对所有文件的解密。

如对Avast解密工具有疑问或意见，请通过邮件联络：decryptors@avastcom。

IOCs

SHA256

1fd07b8d1728e416f897bef4f1471126f9b18ef108eb952f4b75050da22e8e433a2f6e614ff030804aa18cb03fcc3bc357f6226786efb4a734cbe2a3a1984b6f46d340eaf6b78207e24b6011422f1a5b4a566e493d72365c6a1cace11c36b28b3be5aab4031263529fe019d4db19c0c6d3eb448e0250e0cb5a7ab2324eb2224da201e2d6851386b10e20fbd6464e861dea75a802451954ebe66502c2301ea0edae61d655793f94da0c082ce2a60f024373adf55380f78173956c5174edb43d49eaf5e26c5e73f3db82cd07ea45e4d244ccb3ec3397ab5263a1a74add7bbcb6e2

标记为解密工具、解密器、恶意软件、勒索病毒

分享：XFacebook