作者：唐平
链接：
来源：知乎
著作权归作者所有。商业转载请联系作者获得授权，非商业转载请注明出处。
你好，作为一个2013年开始追踪勒索病毒的老师傅来讲，你中的病毒我确定是Cryptowall.
以下内容，请仔细阅读，对你衡量支付赎金与文件重要性的取舍非常重要。
若有不明白，请评论我，我会第一时间答复您。
图片来自博客：国内遭遇勒索病毒CryptoWall全过程 （附带解密全过程）
病毒名称：CryptoWall
病毒类型：勒索病毒 （黑客勒索的不是法币，而是一种叫bitcoin的匿名货币）
作恶手法：原答案暂且以偏面且无考察为由***屏蔽，黑客在信中说道，你的所有文件均被RSA4096加密，也许是在撒谎来扩大影响力。
（楼下评论有专业人士 @八里土人 回答称，黑客说的使用RSA4096加密所有文件可能是个不可能执行的任务。但是据大量资料显示仍然大部分Cryptowall版本无法解密，对于此我的态度也在查阅大量资料后表示此事可能确实是黑客在撒谎，但是RSA4096是Cryptowall各种版本最常用的标志性语言，它们是否真的使用这一加密方式与是否能够被破解似乎也没有必然的联系，至于为什么，无从得知，请参考 @八里土人的评论，在下实属佩服任何一个行业内的耐心和且富含经验人士 ，且把以上信息针对更进步合理的参考答案做出非专业调整。理由及其简单：以其相信作恶的黑客，不如选择相信有公益而无害的知乎大神）
危险等级：★★★★★ （最高级别）
入侵手段：欺骗性邮件，网站插件劫持，中小型甚至大型软件劫持，Windows漏洞，密码侵入，潜伏木马等.
2016年5月9日更新：卡巴斯基发布免费解密软件，只对Crypt后缀加密文件有效。
下载decryption Cryptxxxx tool. 然后找到自己最大的那个加密文件和对应的未被加密的同一个文件，SCAN即可。
（BTW：卡巴这个软件只针对5月7日之前的Crypt文件有效）。
2016年3月19日更新：解决方法：查杀病毒源----解密数据----删除勒索信息。
1查杀病毒源建议使用腾讯
2解密数据只能向黑客支付赎金购买解密私钥，我们强烈建议不要向黑客支付赎金，这样会让黑客更大范围的扩散病毒，请大家不要支付赎金，即使你的数据极其重要，那么也不要让更多人受害。
3删除勒索信息 批处理删除即可
（关于数据被加密后无法打开，我建议大家使用R-Studio软件先进行数据恢复到被加密之前，有一定的成功率，但是你坚持支付赎金，是一千倍的支持黑客让更多人受害，所以我提议，所有被勒索者不要支付赎金，避让让更多人受到伤害，如果每个人都不支付赎金，那么黑客或许会放弃。）
更多勒索病毒解决方案，关注lofter:唐平
(附：关于加密算法更多详情请到维基百科AES：
RSA：
）
2016年3月14日更新：（查杀和防御）
问：勒索病毒查杀哪家强?查杀后需要重装系统么?病毒还会复发么?预防勒索病毒有什么招？
答：腾讯管家率先推出勒索病毒查杀，测试有效查杀病毒源：链接：
查杀后重装系统变得不是那么必要了。即使重装也不排除二次感染。
勒索病毒现在基本无孔不入，非法侵入计算机方法太多了，防不胜防。
以后大家必须养成良好的习惯，可以有效预防勒索病毒。
1：硬件备份，要及时脱机离线。 （建议备份成RAR，并把后缀为非常规的类型，这样就不在加密范围内）
2：推荐dropbox云备份。（dropbox有回档功能,国内的云备份暂时没发现此功能.)
3：国内外各大杀软基本都在3月5日后更新了针对勒索病毒库，养成更新病毒库的习惯很重要。
4：陌生邮件，陌生网站不要勇敢点击。（特别是可执行的邮件附件和网站插件）
5：win10系统自带的windows defender 现在已经完美防御勒索病毒。
6：win系统服务器不要在裸奔。案例：杭州某公司服务器中勒索病毒后溯源发现，去年10月份已经被肉鸡，mySQL自建权限来去自如，正好今年3月8日服务器要执行网售活动，7号凌晨沦陷，加密了5T多数据，生成了10.3万个勒索信息，还好8号凌晨之前搞定了。后来一问，找上门的原来是国内某信息安全大咖，小弟实感佩服，裸奔栽了跟头，溯源能做到极致的大神，怎么也惹上这事?大咖说“我这是帮朋友弄，不是我的服务器” ，我相信中大型公司数据安全级别惹上这事的可能性很低。
7：公司共享服务器建议设置高安全策略，强密码访问和读写。
8 ：个人电脑很多是80后90初感染的，他们是最早一批跟随win系统的人，老司机什么都不怕，但是这次给了很大的打击，都是多年留下的数据，这不要割肉花钱消灾了，我的建议还是我们80后也跟上00后的思路，非OSX不用就是，win系统是出名的漏洞补丁多，有几个人会经常打补丁呢？
（以上建议，最主要还是1,2两点，如果你做到了极致的备份，勒索病毒拿你一点办法都没有，查杀出来了病毒源，如果你数据还是重要，还是必须支付赎金购买私钥才能恢复你的被加密文件）
9：绿盟科技（上市公司）提出的Locky预防方案，同样对Cryptowall有效：链接：
2016年3月3日更新：（新闻）
两位密码专家荣获图灵奖:发明公共密钥密码体系（新浪新闻）
密码学科已经第三次斩获计算机科学最高奖项”图灵奖“
分别是：2002年
的RSA公钥加密学。
2012年 Shafi Goldwasser Silvio Micali 的密码学复杂理论领域。
2016年3月3日 Whitfield Diffie Martin Hellman 的现代密码学领域及SHA公钥密码体系，同时
他们站在了苹果这边反对政府的做法。
2016年2月28日更新：
问：如何免费解密一个加密文件？为什么有人解密一个文件还收费？
答：黑客很早就提供了这项服务，任何中毒者可以免费解一个低于512KB的任意加密文件。
不需要任何费用可以解密1个文件，不要相信任何咨询或者协助类的私人网站，倘若你要解密全部加密文件，你可以选择淘宝担保交易，也可以选择你身边的资深bitcoin老玩家进行此交易。
方法：打开黑客提供的网页，找到
点击上传，等待几分钟即可。
我们试探性的问过黑客免费解一个文件的原因：
1）这是为了确认密码服务器可以自动检索到你的私钥。
2）确定你的私钥是对应你的全部加密文件的公钥不会出错。
3）如果黑客网页被墙了，把一个低于512KB的任意文件发送到追击者邮箱 ransomware@126.com，我们收到后第一时间解密并免费返回给你。
2016年2月27日更新：
问:如何删除这些残留的勒索信息Recovery+xxxxx.txt ,Recovery+xxxxx.png,Recovery+xxxxx.html 文件？
答：淘宝店主经过多次测试成功用DOS一次性删除所有以上产生的残留文件。
在各个本地盘里面打入bat代码: del /s *recovery*?.txt *recovery*?.html *recovery*? .png /f /s /q /a
2016年2月26日更新：
问：勒索病毒的作者是谁？踢开计算机科学，从社会学，经济学，心理学来考量Cryptowall是个什么类型的病毒？
答：前方高能，高级猿禁入;
这个答案我写出来后，非常多高级码农私信我想了解更多东西，我觉得码农不用过多参与此话题的讨论，如果你是POLICE，请私信联系我，我有大于50%的把握能找出这个黑客或者某个黑客，但是需要更多计算机技术及警方资源方面的帮助。
2016年2月25日:更新，如果有中毒者的文件后缀全部变成了Micro，mp3，或者各种乱码，这些都是cryptowall的特征，cryptowall 具有加密文件随机生成后缀文件名的功能，目前中毒者有不同加密文件后缀有不同的情况，其实都是cryptowall的作为，但是同样不排除黑客模仿cryptowall 作案 进行无良吸金。
RSA-4096的中毒者在每个文件夹下面都有三个同样的文件: Recovery+xxxxx.txt ,Recovery+xxxxx.png,Recovery+xxxxx.html 文件内容为：
NOT YOUR LANGUAGE? USE
What happened to your files ?
All of your files were protected by a strong encryption with RSA-4096.
More information about the encryption keys using RSA-4096 can be found here:
.....等等。
2016年2月22日：更新
问：为什么自行购买比特币去支付赎金的风险风险大？
答： 1：比特币交易是 你用法币（美元或者人民币）去购买比特币 2：然后你再用比特币支付给黑客。 1所产生的风险是：比特币没有法偿性，交易过程的风险不被法律保护，汇率波动大，交易过程被黑的概率是50%。2：即使你支付了比特币给黑客 同样不能得到私钥的概率是50% ！所有你自行支付赎金的风险接近风险1和风险2的级数:75%, 属于高风险的行为,倘若你是高风险偏好者，完全可以自己去尝试。
2016年2月21日：更新
问：为什么过年那段时间支付赎金后5-10天后才拿到私钥？（本人强烈不建议支付赎金给黑客）
由于此黑客胆子太大，把LA的医院给黑了，惹毛了FBI，最近非常多中毒者支付赎金后，仍然会碰鼻，过去黑客能沟通，现在黑客只字不提，最难受就是支付赎金后，不给解密私钥和软件，或者只给软件不给私钥，或者只给私钥不给软件。请大家慎重付款，所以暂时关闭支付教程，避免遭受更多损失。新闻链接：
2016年1月22日：
问：网上有私钥下载，我可以使用吗？
答：黑客 更新 RSA 4096加密的的方案
同样我买入了私钥和软件( 这是我本人测试某个中毒者的一个方案）
decryption software : 百度网盘 ：
私钥：Run decryption software, and enter your personal key: 6CAC0CC4F35B4C6772889D98A891A1192D33412A5ADD6E2EE9DCD2A8206D13EB
Press a button!
以下来自新浪博客链接：
转载：。
博主明显已经怒了！！ 那么多年存的大量.....TB 文件啊。。可惜了。。日了狗了。。
这是一个不知羞耻的病毒！
为什么这么说？
1：cryptowall 是个RSA2048加密的病毒，公钥用于加密你的文件，而私钥被黑客保存在他的秘密服务器。这是个没招的解密方式，除非你拿到私钥。
2：这个私钥，黑客要收取500美金的赎金才能给你，如果在规定时间内，你支付不了！！ 那么抱歉，赎金翻倍。
3：如果你放弃支付赎金，那么你的数据将会被永久性加密。
（BTW， 黑客在HELP_YOUR_FILE 中 也提到，不要去尝试其他方式去破解密钥。 最终你会无功于返！）
最近出现大量中毒者自己支付赎金被骗，所以隐藏，如果实在是被逼无奈，请私信我。*隐藏支付教程*
*隐藏支付教程*
*隐藏支付教程*
*隐藏支付教程*
*隐藏支付教程*
过了3-5个小时后 ， 可以下载解密软件了。！！
把decrypt.zip 解压后，得到一个软件。
（软件我就公开给大家算了，不知道你能不能用！）
360会报毒，黑客在上面提示也说了会报毒！
（目前已经测试针对其他电脑无效）
最后打开软件 跑起来了。。。哎！！
如果你中毒的是RSA4096的加密，请看2016年1月22日更新。
最后一切顺利了，文件解密成功，备份文件到网盘！！妈的！！太坑了！！ 几千大洋就这样没了！！
请关注勒索病毒追击者：我只能把自己的经历写在最下面，2016年2月25日更新：最新原创，我和勒索病毒3年里不的不说的二三事。
