2017最新敲诈病毒.XTBL 变种的 .wallet后缀 SQL MDF BAK DAT数据库恢复 乱码XTBL .wallet后缀 解密还原 大致解决思路。...

2016年12月3日，最新变种.Wallet 后缀病毒是XTBL的变种，升级了加密算法。

XTBL病毒是一种2015年出现的勒索病毒，

病毒特征：所有被加密的文件都会变成2种情况

1:原文件名.随机ID.XXXXX@aol.com.XTBL

2:原文件名.随机ID.XXXXX@india.COM.XTBL

Wallet 病毒是一种2016年底2017年初出现的 XTBL 演变而来变种升级版 勒索病毒，

病毒特征：所有被加密的文件都会变成2种情况

1:原文件名.随机ID.XXXXX@aol.com.wallet

2:原文件名.随机ID.XXXXX@india.COM.wallet

 

0x01 多样的加密方式

首先，Wallet在加密文件的时候还是采用了SHA1算法。下图是SHA1算法的4轮20次循环——比较有代表性。

Wallet增强了密钥的强度，通过两次获取时间来得到随机数，两次得到的随机数分别与423C28处的数据进行异或，然后用SHA1算的其HASH值，并将该HASH值作为RC4的参数来算的加密文件的密钥。采用两次通过获取时间来算取随机数，在本来密钥相同概率极低的情况下变的更加的低了。

 

验证文件 用户版本 用友U8 10.1

深入对比分析，跑完生成秘钥块，成功解密。

总结

---

之前国外公布了一批Crysis和XTBL用于解密的私钥，导致很多被中两类敲诈者加密的文件最终都使用安全厂商提供的工具成功解密了。而此次的Wallet木马却显得更加严防死守！

这也引发了我们对于服务器安全的深思：从数量上来说，服务器的数量可能没有个人电脑那么多；从木马传播量来看，XTBL家族的传播量也远不及同为敲诈者却主攻个人用户的Cerber家族来的泛滥。但服务器是用于公共服务的互联网技术设施，牵一发而动全身的位置——一旦陷落，损失将无法估量。从XTBL到Wallet，都一次次的给所有的服务器管理员和提供互联网服务的企业管理者敲响了警钟——安全，是互联网稳定运行的根本前提。

转载于:https://www.cnblogs.com/smsql/p/6501506.html