Android版本的 Wannacry 文件加密病毒样本分析 附带锁机

               

一、前言

之前一个Wannacry病毒样本在PC端肆意了很久，就是RSA加密文件，勒索钱财。不给钱就删除。但是现在移动设备如此之多，就有一些不法分子想把这个病毒扩散到移动设备了，这几天一个哥们给了一个病毒样本，就抽空看了一下，下面就来分析一下这个病毒样本程序。

二、病毒样本分析

首先国际惯例，这类的病毒都是用一些特殊的app名称吸引诱导用户下载，这里是一个叫做：魅影WIFI，下载安装之后界面如下：

我们点击免费激活，出现授权界面：

需要设备管理器，这时候应该猜到了，他是想修改锁机密码，我们就授权，然后分析程序找到重置的密码就好了，授权之后，就被锁屏了，解锁屏幕会发现：

病毒作者是真够狠的，尽然有自己弄了一个浮窗锁机，这时候我们不得不看代码了，找到这个密码了，当然这个浮窗类型的锁机其实很容易解决的。因为他主要是借助WindowManager搞得，所以这时候可以连接adb使用命令可以直接干掉这个进程就好了：am force-stop pkgname；我们可以用dumpsys命令获取其包名：

然后在强制停止app即可：

停止了之后，发现就是解锁屏幕了，当然密码已经被篡改了，所以的分析软件了，当然如果设备root了，可以直接删除/data/system/password.key文件即可。当然这些说的都是因为本身就是个开发者，而对于小白用户，肯定这么做不合适的。我们需要分析app，拿到这两个地方锁机密码。告诉被坑的小白用户，解救他们。下面就来分析app了：

三、破解获取解锁密码

第一、获取锁屏密码

因为我们知道现在大多数锁机软件都是利用设备管理器来修改设备密码的，所以想看他的密码也很简单。直接用jadx打开软件，然后全局搜索类：DeviceAdminReceiver

然后看看这个类里面修改代码部分逻辑：

看到了，这里直接将手机的锁机密码修改成9815了。这个就是我们待会需要解锁的密码。

第二、浮窗锁机密码

这个比上面密码有点麻烦，因为是自己定义的浮窗锁机，所以直接看到锁机界面文字，去Jadx全局搜索即可，这里全局搜索字符串"输入密码"：

进入到这个类即可：