这个勒索软件也太菜了！

又见勒索软件

前段时间忙坏了，清明假期得闲，在农村老家放松了几天。

我正在悠闲的垂钓，一个读者微信上紧急联系我说，自己的电脑中了勒索病毒！

自从之前写过一篇挖矿病毒的文章后，就收到过不少朋友的消息让我帮忙处理，不过平时上班太忙，很难抽出功夫分析。这次刚好是假期，就收了鱼竿回去分析起来（其实是蹲了一下午，鱼儿不给面子）。

不分析不知道，一分析把我裂开了，这是我见过最菜的勒索软件了。

这位读者把勒索程序发给了我，这是一个用易语言写的程序，从名字上看起来好像是用来批量注册QQ 的，还附带了一个说明文档：

好家伙，居然还骗使用者把安全软件关掉，理由是容易被当病毒给关闭，这一波伪装666。

好啦，咱们在虚拟机里面执行一下这个程序看看：

不过考虑到我这是在vmware fusion虚拟机中，才自动调整分辨率，在真实的电脑上，中招的电脑上没有机会调整分辨率，也没法操作把任务管理器给调出来，所以还得看看有没有其他破解之道。

我打算重启后看看这家伙有没有加入开机自启动。

我重启了虚拟机，发现这货居然给我添加了1个admin用户进去，还给我原来的默认用户Administrator添加了密码！！！

这下好了，真进不去了！

分析过程

我先把目标锁定在了添加用户这部分，因为得先能进入系统才好调试分析。虽说这软件是用易语言编写，但实际上最终都是会调用Win32的一堆API，所以我开始搜索程序的导入表中与用户添加相关的API：

看来我太高估这个程序了，不用什么Win32 API，直接调用cmd执行命令就行了。

而且，命令啥的这么重要的信息完全明文暴露，密码也就真相大白了：

• admin: asdfghjkl

• Administrator: 69

admin的密码我好理解，就是键盘上A键开头的那一排英文字母嘛，可这个Administrator的密码为什么是69，69是什么意思现在都没想明白。

持着怀疑的态度，输入上面的密码，还真给进去了，这也太菜了X2~~

不过一进去，马上又弹出了那个黑色的勒索界面，看来还真是加入了开机启动项。

我随意输入了一些密码，都是提示密码错误，看来还得再琢磨一下它的密码是如何校验的。

这会是个啥，我怀着试试的态度，输入到了密码输入框，点击确定，居然奇迹般的解开了锁定！30元的勒索密码就这样明文躺在错误提示的旁边，你敢信p>

这勒索软件也太菜了X3！

U盘进入

安全模式也不是万能的，有些比较厉害的程序，即使进入安全模式也会运行，这种情况下就得另辟蹊径。

针对这种级别的入侵，可以选择像用U盘安装系统那样，使用U盘制作一个启动盘，修改BIOS中的引导项，使用U盘引导。

开机后，直接进入U盘中的WinPE环境，这是一个用于预安装的小型系统，进入这个环境清除掉硬盘上的勒索软件程序。