关于勒索APP“千变语音秀”的威胁信息共享通报

Andy0214

关于勒索APP“千变语音秀”的威胁信息共享通报
近日，有网民向国家互联网应急中心（简称“CNCERT”）投诉了一款名为“千变语音秀”APP具有勒索行为。CNCERT在第一时间开展分析验证工作，现将相关情况通报如下：该恶意程序是一款名为“千变语音秀”的勒索类恶意软件，程序启动后未经用户许可，私自修改用户设备桌面壁纸；加密指定目录下的（/storage/emulated/0）的特定文件，致使用户无法正常打开被加密的文件；程序设置时间限制，以增加解锁费用、删除文件勒索用户，具有系统破坏、流氓行为的恶意属性。
"千变语音秀"恶意程序安装图标如下：

1

Ø  病毒恶意行为分析1.  
1.程序诱骗用户点击启动后，私自修改用户桌面壁纸。

2

图1：私自修改用户桌面壁纸的代码证据

2.遍历指定目录下的文件，并对特定文件进行加密，勒索用户付费解密。

3

图2：对特定文件进行加密的代码证据

4

图3：加密文件的代码证据

5

图4：对原始的加密密钥字符串使用MD5、自定义算法

6

图5：初始化AES密钥，加密文件的代码证据

7

图6：用户无法打开被加密的文件

8

图7：勒索用户付费解密的提示
3.用户输入正确解锁码后，解密文件。

9

图8：验证用户输入解锁码的代码证据

10

图9：用户获取被加密的文件列表的代码证据

图10：解密文件的代码证据
4.程序设置时间限制，若用户未在规定时间内付费，将导致解锁费用增加、文件被删除，以此勒索用户。

图11：程序设置时间限制的提示

图12：获取程序启动时的时间

图13：设置增加解锁费用、删除文件的时间

图14：删除指定目录下文件名中不包含“彼岸花开”的文件
5.程序预留微信、QQ，支付宝信息，提示用户“付费”解锁。

图15：预留的二维码信息

图16：预留的QQ号信息

图17：二维码支付界面

原文地址：http://mp.weixin.qq.com/s/Zmu8ovZCyYcFqkeRv_0P-A

y_shuai1

youyu1000 发表于 2017-6-14 15:29
不过一般而言手机里也不会有太多重要的文档，如果他能锁通讯录那就厉害了

锁通讯录？？？你不知道国内各大厂商ROM自带的云端吗？他要有本事把云端文件给锁了我就付款，不然~~我他么比如通讯录、短信、设置、桌面布局、等等能想到的数据都是自动云端的Flyme、miui等再加上个路由器连接WiFi自动同步相册和视频的设定，他锁机，我就直接20分钟后见了。

cunzher

Andy0214 发表于 2017-6-12 18:07
帖子怎么删除啊？？？

http://www.52pojie.cn/home.php?mod=magic
购买悔悟卡后对自己的帖子使用即可

Andy0214

帖子怎么删除啊？？？

林海山河

Andy0214 发表于 2017-6-12 18:07
帖子怎么删除啊？？？

自己帖子右下角有一个使用道具，购买悔悟卡。或者去站务管理区发帖

我叫圡豆

这个厉害了

dagonlau

不想混了吧，还留微信？

ling5597832

这么厉害？

IT无名

又见彼岸花开

一生情独醉

他预留的那些支付宝，微信，那些都是准备，被锁用户，通过那个渠道给打钱用的，并非绝对就是主号！

菠菜汤

能处理干净吗