文章总结： 本文详细分析了LIVE勒索病毒2.0版本的技术细节，包括加密流程、文件结构和运行机制。与1.0版本相比，2.0版本将密钥长度从16字节减至8字节，取消了多线程操作以避免bug，采用随机数作为加密文件名，并在加密文件末尾添加了原始文件名和长度信息。文章还提供了风险消减措施、安全设备调优建议和全员安全意识增强方案，并预告将发布LIVE2.0勒索病毒的解密器。
综合评分： 90
文章分类： 恶意软件,漏洞分析,应急响应,威胁情报,解决方案

【病毒分析】独家揭秘LIVE勒索病毒家族之2.0（全版本可解密）

原创

索勒安全团队

solar应急响应团队

2024年3月8日 14:11
山东

1.背景

1.1 来源

公司从客户现场提取出来了该勒索样本，通过分析发现该样本存在LIVE家族的特征，但与LIVE1.0的加密特征略有不同，故称为LIVE2.0版本。该文我们会对LIVE2.0加密流程进行分析，并在接下来的文章发布LIVE2.0勒索病毒的解密器。

1.2 介绍

LIVE2.0勒索病毒是LIVE家族的第二代恶意软件，该恶意软件会加密受害者的文件，并且将受害者的ID、文件名称和文件名称的长度写入到加密文件的末尾，最后会将文件名重命名成带.LIVE的文件，尤其是针对较重要的文本类文件会采用全部数据加密的方式。此外，它还会提供给受害者一封“FILE RECOVERY_ID_+受害者ID.txt”的勒索信。

加密前：

加密后：

2.文件分析

2.1 文件结构

与LIVE1.0版本不同的地方是密钥的长度从16byte变到了8byte，勒索壁纸换成了png格式的新图片。

2.2 程序配置信息

MinDate:&nbsp;int64&nbsp;1672531200
MaxDate:&nbsp;int64&nbsp;1707955200
AppendedExtension:&nbsp;'LIVE'
NoteFilename:&nbsp;'FILE&nbsp;RECOVERY_ID_124188258340.txt'
DeleteSystemRestorePoints:&nbsp;false
StopServices:&nbsp;true
ServicesToStop:&nbsp;['MSSQLFDLauncher',&nbsp;'MSSQLSERVER',&nbsp;'SQLSERVERAGENT',&nbsp;'SQLBrowser',&nbsp;'SQLTELEMETRY',&nbsp;'SQLWriter',&nbsp;'MSSQL',&nbsp;'SQLAgent',&nbsp;'MSSQLServerOLAPService']
StopProcesses:&nbsp;true
ProcessesToStop:&nbsp;['postgresql',&nbsp;'sqlbrowser',&nbsp;'sqlwriter',&nbsp;'sqlservr',&nbsp;'sqlceip',&nbsp;'SQLAGENT',&nbsp;'sqlservr',&nbsp;'pg_ctl',&nbsp;'postgres']
DropNoteInSpecificDirectories:&nbsp;true
DirectoriesToDropNoteIn:&nbsp;['C:\Users\Public\Documents',&nbsp;'C:\Users\Public\Desktop']
IncludeFiles:&nbsp;false
FileSet:&nbsp;['C:\bootmgr',&nbsp;'FILE&nbsp;RECOVERY_ID_124188258340.txt']
IncludeDirectories:&nbsp;false
DirectorySet:&nbsp;['C:\Program&nbsp;Files',&nbsp;'C:\Program&nbsp;Files&nbsp;(x86)',&nbsp;'C:\ProgramData',&nbsp;'C:\Windows',&nbsp;'C:\msys64',&nbsp;'C:\Users\All&nbsp;Users']
IncludeExtensions:&nbsp;false
NoneSet:&nbsp;['exe',&nbsp;'dll',&nbsp;'ink',&nbsp;'ini',&nbsp;'lnk',&nbsp;'ico',&nbsp;'sys',&nbsp;'desktop',&nbsp;'mui',&nbsp;'live']
FastSet:&nbsp;@as&nbsp;[]
IntermittentSet:&nbsp;@as&nbsp;[]
FullSet:&nbsp;['txt',&nbsp;'log',&nbsp;'doc',&nbsp;'docx',&nbsp;'msg',&nbsp;'rtf',&nbsp;'dat',&nbsp;'ppt',&nbsp;'pptx',&nbsp;'xml',&nbsp;'csv',&nbsp;'xls',&nbsp;'xlsx']
EncryptHiddenFiles:&nbsp;true
EncryptHiddenDirectories:&nbsp;false
BufferSize:&nbsp;8192
Percent:&nbsp;0.10000000000000001
Segmentation:&nbsp;512.0
ChangeWallpaper:&nbsp;true
WallpaperName:&nbsp;'124188258340.png'

2.3 勒索信

Hello....Your&nbsp;file&nbsp;has&nbsp;been&nbsp;encrypted&nbsp;and&nbsp;cannot&nbsp;be&nbsp;used..When&nbsp;you&nbsp;see&nbsp;this&nbsp;letter,&nbsp;your&nbsp;privacy&nbsp;data&nbsp;has&nbsp;been&nbsp;backed&nbsp;up&nbsp;by&nbsp;us.&nbsp;If&nbsp;you&nbsp;do&nbsp;not&nbsp;handle&nbsp;it,&nbsp;we&nbsp;will&nbsp;publish&nbsp;your&nbsp;privacy&nbsp;data&nbsp;after&nbsp;the&nbsp;7th.....Don't&nbsp;try&nbsp;to&nbsp;change&nbsp;or&nbsp;restore&nbsp;the&nbsp;file&nbsp;yourself,&nbsp;which&nbsp;will&nbsp;destroy&nbsp;them..If&nbsp;necessary,&nbsp;you&nbsp;can&nbsp;decrypt&nbsp;a&nbsp;test&nbsp;file&nbsp;for&nbsp;free.&nbsp;Free&nbsp;test&nbsp;decryption&nbsp;is&nbsp;only&nbsp;available&nbsp;for&nbsp;files&nbsp;less&nbsp;than&nbsp;3MB&nbsp;in&nbsp;size.....To&nbsp;restore&nbsp;files,&nbsp;you&nbsp;need&nbsp;a&nbsp;decryption&nbsp;tool.&nbsp;Please&nbsp;contact&nbsp;us&nbsp;by&nbsp;email...Please&nbsp;add&nbsp;the&nbsp;file&nbsp;name&nbsp;of&nbsp;this&nbsp;document&nbsp;to&nbsp;the&nbsp;email&nbsp;and&nbsp;send&nbsp;it&nbsp;to&nbsp;me.&nbsp;..¡¾FILE&nbsp;RECOVERY_ID&nbsp;xxxxxx¡¿..I&nbsp;will&nbsp;tell&nbsp;you&nbsp;the&nbsp;amount&nbsp;you&nbsp;need&nbsp;to&nbsp;pay.&nbsp;After&nbsp;the&nbsp;payment&nbsp;is&nbsp;completed,&nbsp;we&nbsp;will&nbsp;make&nbsp;the&nbsp;decryption&nbsp;tool&nbsp;and&nbsp;send&nbsp;it&nbsp;to&nbsp;you.....Customer&nbsp;service&nbsp;mailbox:[email protected]&nbsp;mailbox:&nbsp;(use&nbsp;this&nbsp;mailbox&nbsp;after&nbsp;no&nbsp;reply&nbsp;in&nbsp;24&nbsp;hours)[email protected]&nbsp;can&nbsp;also&nbsp;contact&nbsp;us&nbsp;through&nbsp;intermediary&nbsp;agencies&nbsp;(such&nbsp;as&nbsp;data&nbsp;recovery&nbsp;companies)....If&nbsp;you&nbsp;refuse&nbsp;to&nbsp;pay,&nbsp;you&nbsp;will&nbsp;be&nbsp;attacked&nbsp;constantly.&nbsp;Your&nbsp;privacy&nbsp;-sensitive&nbsp;data&nbsp;will&nbsp;also&nbsp;be&nbsp;announced&nbsp;on&nbsp;Internet.....!!&nbsp;We&nbsp;are&nbsp;a&nbsp;team&nbsp;that&nbsp;pays&nbsp;attention&nbsp;to&nbsp;credibility,&nbsp;so&nbsp;you&nbsp;can&nbsp;pay&nbsp;safely&nbsp;and&nbsp;restore&nbsp;data.

2.4 勒索壁纸

2.5 密钥

2.6 加密文件结构

其中原始文件名长度和progarm_id都是以小端序的方式存储的。

2.7 加密文件样式

加密文件名特征：随机数+.LIVE

加密文件目录样式：

勒索信+加密文件

解密后：

3.程序运行分析

初步来看加密器并未使用保护措施，并且没有移除符号表，入口点为main。

首先因虑到LIVE1.0版本和LIVE2.0版本有过多相似的地方，所以2.0的伪C代码就不再重复加注释了，注释可以参考上篇LIVE1.0版本内容。

3.1 Main函数

从Main函数中可以知道主要逻辑在progarm_main函数中，跟LIVE1.0版本一致。

3.2 Progarm_main函数

首先程序会获取程序运行中的命令行，并且根据其参数内容进行其他功能的使用。

3.3 program_print_help函数（打印使用说明）

具体实现在函数program_print_help函数中有所说明，如：指定加密的目录、删除系统还原点、停止服务等，使用方法是–参数 true/false，跟LIVE1.0版本一致。

Progarm_main函数逻辑分析，最开始仅仅只检测cmd命令行的第一个参数是不是–self，如果是需要将第二个参数即程序本身路径作为cmdline的第一个参数，以防止后续读取自身文件时，使用第一个参数不是文件本身路径而是–self参数，导致后续读取密钥与程序配置内容失败。

接下来进行了读取系统时间，以用作后续的日期判断，来对程序状态进行设置。

再往下是初始化，初始化主要分为两部分，密钥初始化和程序初始化。这里再次提一下文件的结构组成：

其中初始化和LIVE1.0版本一样，都是两个初始化由encryption_Initialize函数和program_Initialize函数来实现。

3.4 encryption_Initialize函数（密钥初始化）

密钥初始化核心为两部分，一个是从程序文件本身读取KEY，另外是从将硬编码的IV赋值。

读取KEY

原理和LIVE1.0版本一样，先从末尾读取4字节长度，再用fseek来不断的移动文件指针到key处。

赋值IV

整体的密钥初始化结束。

3.5 program_Initialize函数（程序初始化）

其功能是读取勒索信前面部分程序配置信息，并且将其转换为key:value的形式，以便于后续功能的使用。

读取配置项

原理和LIVE1.0版本一样，先读取末尾的勒索信长度，再依次移动文件指针到配置信息的开头

转化为key:value的形式

文件内配置信息

MinDate:&nbsp;int64&nbsp;1672531200
MaxDate:&nbsp;int64&nbsp;1707955200
AppendedExtension:&nbsp;'LIVE'
NoteFilename:&nbsp;'FILE&nbsp;RECOVERY_ID_124188258340.txt'
DeleteSystemRestorePoints:&nbsp;false
StopServices:&nbsp;true
ServicesToStop:&nbsp;['MSSQLFDLauncher',&nbsp;'MSSQLSERVER',&nbsp;'SQLSERVERAGENT',&nbsp;'SQLBrowser',&nbsp;'SQLTELEMETRY',&nbsp;'SQLWriter',&nbsp;'MSSQL',&nbsp;'SQLAgent',&nbsp;'MSSQLServerOLAPService']
StopProcesses:&nbsp;true
ProcessesToStop:&nbsp;['postgresql',&nbsp;'sqlbrowser',&nbsp;'sqlwriter',&nbsp;'sqlservr',&nbsp;'sqlceip',&nbsp;'SQLAGENT',&nbsp;'sqlservr',&nbsp;'pg_ctl',&nbsp;'postgres']
DropNoteInSpecificDirectories:&nbsp;true
DirectoriesToDropNoteIn:&nbsp;['C:\Users\Public\Documents',&nbsp;'C:\Users\Public\Desktop']
IncludeFiles:&nbsp;false
FileSet:&nbsp;['C:\bootmgr',&nbsp;'FILE&nbsp;RECOVERY_ID_124188258340.txt']
IncludeDirectories:&nbsp;false
DirectorySet:&nbsp;['C:\Program&nbsp;Files',&nbsp;'C:\Program&nbsp;Files&nbsp;(x86)',&nbsp;'C:\ProgramData',&nbsp;'C:\Windows',&nbsp;'C:\msys64',&nbsp;'C:\Users\All&nbsp;Users']
IncludeExtensions:&nbsp;false
NoneSet:&nbsp;['exe',&nbsp;'dll',&nbsp;'ink',&nbsp;'ini',&nbsp;'lnk',&nbsp;'ico',&nbsp;'sys',&nbsp;'desktop',&nbsp;'mui',&nbsp;'live']
FastSet:&nbsp;@as&nbsp;[]
IntermittentSet:&nbsp;@as&nbsp;[]
FullSet:&nbsp;['txt',&nbsp;'log',&nbsp;'doc',&nbsp;'docx',&nbsp;'msg',&nbsp;'rtf',&nbsp;'dat',&nbsp;'ppt',&nbsp;'pptx',&nbsp;'xml',&nbsp;'csv',&nbsp;'xls',&nbsp;'xlsx']
EncryptHiddenFiles:&nbsp;true
EncryptHiddenDirectories:&nbsp;false
BufferSize:&nbsp;8192
Percent:&nbsp;0.10000000000000001
Segmentation:&nbsp;512.0
ChangeWallpaper:&nbsp;true
WallpaperName:&nbsp;'124188258340.png'

整体的程序初始化结束。

接下来是一个死循环，主要针对于文件本身的第一个参数以后的其他参数进行遍历，并且判断其功能是否开启等操作，具体功能介绍在program_print_help函数有介绍，如果参数未在其中，会触发program_print_help函数。

参数遍历完毕后，就是针对于时间的比较，从文件配置信息中可以得到一个最大与最小的日期信息，是个时间戳，转换一下可以得到其具体时间。

Mindate:&nbsp;2023-01-01&nbsp;08:00:00
Maxdate:&nbsp;2024-02-15&nbsp;08:00:00

逻辑实现

原理与LIVE1.0版本一样，都是根据Unix时间戳的形式来进行的判断，作用就是来判断软件是否在2023-01-01 08:00:00 ～ 2024-02-15 08:00:00 之间，不在则不能够运行。

接下来会从配置文件中读取勒索信的文件名称，并且从文件名中以‘_’字符进行分割包含的ID，给到progarms_id变量以便后续的使用，最后获取更换壁纸功能的状态，如果是true的话就会进入到progarm_ChangeWallpaper函数进行勒索壁纸的更换。

配置中的变量内容

'NoteFilename':&nbsp;<'FILE&nbsp;RECOVERY_ID_124188258340.txt'>&nbsp;//勒索信文件名称
'ChangeWallpaper':&nbsp;<true>&nbsp;//壁纸更换功能状态
&nbsp;'WallpaperName':&nbsp;<'124188258340.png'>&nbsp;//勒索壁纸文件名称

获取progarm_id

读取壁纸更换功能状态，并且判断是否更换壁纸。

读取勒索壁纸文件名称，并且进行壁纸更换的操作。

3.6 progarm_ChangeWallpaper函数(更改壁纸)：

先移动FILE指针到程序文件中的勒索壁纸的开头，读入到临时变量中，跟LIVE1.0版本相比，除了图片的类型和内容长度发生了变化，其余的实现逻辑一样。

获取程序文件的目录，进行勒索壁纸的保存。

写入一个更换壁纸的Powershell脚本wallpaper.ps1，并且使用system函数执行，完成更换壁纸的操作。

更换壁纸powershell脚本wallpaper.ps1内容:

Add-Type&nbsp;-TypeDefinition&nbsp;@"
using&nbsp;System;
using&nbsp;System.Runtime.InteropServices;
public&nbsp;class&nbsp;Wallpaper&nbsp;{
&nbsp;&nbsp;&nbsp;&nbsp;[DllImport("user32.dll",&nbsp;CharSet&nbsp;=&nbsp;CharSet.Auto)]
&nbsp;&nbsp;&nbsp;&nbsp;public&nbsp;static&nbsp;extern&nbsp;int&nbsp;SystemParametersInfo(int&nbsp;uAction,&nbsp;int&nbsp;uParam,&nbsp;string&nbsp;lpvParam,&nbsp;int&nbsp;fuWinIni);
}
"@;&nbsp;$wallpaperPath&nbsp;=&nbsp;"C:\新建文件夹\124188258340.png";
$SPI_SETDESKWALLPAPER&nbsp;=&nbsp;0x0014;
$UpdateIniFile&nbsp;=&nbsp;0x01;
$SendChange&nbsp;=&nbsp;0x02;
[Wallpaper]::SystemParametersInfo($SPI_SETDESKWALLPAPER,&nbsp;0,&nbsp;$wallpaperPath,&nbsp;$UpdateIniFile&nbsp;-bor&nbsp;$SendChange)"@;
$wallpaperPath&nbsp;=&nbsp;"C:\新建文件夹\124188258340.png";
$SPI_SETDESKWALLPAPER

获取勒索信的内容分析，将勒索信内容赋值到了NoteBytes变量中，以便后续的使用。

对IncludeExtensions配置项的状态进行获取，来判断是否启动包含扩展的功能，这里配置中IncludeExtensions是False，所以他将获取NoneSet的配置项内容，即不加密的文件后缀。

IncludeExtensions配置项的状态也决定了程序使用那个加密函数，这里加密函数有两个一个是___lambda4__program_encrypt,另外一个是___lambda5__program_encrypt，根据IncludeExtensions配置项的内容为false的缘故，所以progarm_encrypt将使用这个加密___lambda5__program_encrypt作为其执行函数。

程序为了保证写入勒索信和对文件进行加密顺利，将利用system函数来执行相应的cmd命令对系统进行恢复选项的禁用并且对操作系统的引导状态策略设置为忽略所有故障。

之后就是对程序指定的服务和进程的停止操作.

对进程

原理和LIVE1.0版本一样，先是判断其功能的开关状态，再进行执行

对服务

原理和LIVE1.0版本一样，先是判断其功能的开关状态，再进行执行

在对指定的服务和进程进行关闭后，将开始最为关键的对文件操作的流程了。

首先是比较明显的目录下进行勒索信的写入.

因为DropNoteInSpecificDirectories配置项内容为true的缘故，所以勒索信会在DirectoriesToDropNoteIn配置项内容下的两个目录中写入名为NoteFilename配置项内容的勒索信文件。

DropNoteInSpecificDirectories内容为：
'DropNoteInSpecificDirectories':&nbsp;<true>
DirectoriesToDropNoteIn内容为：
‘DirectoriesToDropNoteIn':&nbsp;<['C:\\Users\\Public\\Documents',&nbsp;'C:\\Users\\Public\\Desktop']>&nbsp;//明显目录的路径
NoteFilename内容为：
&nbsp;'NoteFilename':&nbsp;<'FILE&nbsp;RECOVERY_ID_170605242653.txt'>

勒索信写入完毕后，将开始对磁盘文件的遍历与加密。

到了这部分原本的1.0在接下来的代磁盘遍历前，将进行多线程的操作，以此种方式来加快加密的速度，但是因为LIVE1.0版本的BUG问题，所以会导致出现非预期的文件，这里就是与LIVE1.0版本最不一样的地方。

黑客发现bug后开始做修复，直接去掉了多线程的方式，采用单线程的方式进行磁盘的遍历与加密。

获取IncludeDirectories指定目录的功能开关状态，开始判断。

如果开则获取DirectorySet的目录并且向下遍历。

程序因为并未开启该功能，所以跳过，准备对所有磁盘进行遍历操作。

首先是对A-Z字符做了拷贝，以供后续作为磁盘的盘符。

img

对其进行遍历路径的拼接，不断的迭代，类似树的DFS，具体由progarm_Iterate函数实现。

3.7 progarm_Iterate函数（遍历文件路径，过滤文件，加密文件）

其参数有四个，分别为：（文件路径，配置信息，勒索信内容，勒索信长度，多线程对象）

因为LIVE2.0版本取消了多线程的操作，直接去掉了多线程对象的这个参数。

首先该函数会打开文件路径下的目录，并且获得该目录下的所有文件的同时进行路径拼接，对其路径所指文件或目录进行判断是文件还是目录。

打开目录

获取该目录下的文件并做判断

如果是普通文件的话，先对其中的隐藏文件进行判断，根据EncryptHiddenFiles配置项来决定是否加密隐藏文件，EncryptHiddenFiles内容为true，所以对隐藏文件也进行加密。

考虑到存在NAS的缘故，所有判断了‘.‘开头的文件。

当满足了上述条件后，将最后做一次文件过滤，判断其加密文件后缀是否在Noset配置项内容中，所有过程过程由program_Filter函数实现，与LIVE1.0版本一样。

3.7.1 program_Filter函数（文件过滤）

其参数有七个，分别为（文件名称，IncludeFiles配置项内容，FileSet配置项内容，FileSet配置项内容长度，IncludeExtension配置项内容，IncludeExtension配置项内容长度）

首先是获取文件的后缀，并且转换为小写

判断该文件后缀是否在Noset配置项内容中，Noset配置项内容：[‘exe’, ‘dll’, ‘ink’, ‘ini’, ‘lnk’, ‘ico’, ‘sys’, ‘desktop’, ‘mui’, ‘live’]，若是不在则通过，若是在则不通过。

(这里考虑到判断较多，不美观，所以选用LIVE1.0版本的图，实现是一致的)

最后会多加一个判断，判断其文件是否是勒索信文件。

在完成文件过滤后，如果该文件符合上述所有条件，原本的LIVE1.0版本操作则会采用：需要将其普通文件丢入到线程池中，进行最后的加密了，然后还会将勒索信文件可写标志设置成true。

而在LIVE2.0版本中去掉了多线程的操作后，将直接执行progarm_encrypt函数，进行文件的加密操作，紧接着写入加密的标志性内容和重命名操作。

程序加密

对不是普通文件的进行一个判断，如果是目录的话就会继续往下遍历，执行与上面一样的操作。

3.7.2 progarm_encrypt函数（文件加密）

文件加密的progarm_encrypt函数的实现在程序中有两个：

___lambda4__program_encrypt函数
___lambda5__program_encrypt函数(此程序选择该函数作为加密函数)

而这两个函数的实现基本一致。

在LIVE1.0版本中，采用的核心加密函数为两个，但也可以算作是一个，只是加密的部分有所区别，而区分标准则是根据后缀类型：

‘txt’, ‘log’, ‘doc’, ‘docx’, ‘msg’, ‘rtf’, ‘dat’, ‘ppt’, ‘pptx’, ‘xml’, ‘csv’, ‘xls’, ‘xlsx’后缀的文件采用encryption_Full函数加密，会对其文件的全部数据进行加密
除了’exe’, ‘dll’, ‘ink’, ‘ini’, ‘lnk’, ‘ico’, ‘sys’, ‘desktop’, ‘mui’, ‘live’后缀的文件，都采用encryption_Fast函数加密，会对其文件的部分数据进行加密，也就是文件数据的前0x2000字节大小的数据进行加密。

3.7.3 encryption_Full函数（全加密）

这里和LIVE1.0版本的一样，就完全采用LIVE1.0版本的内容

该函数整体其实主要做的是文件的分快读写操作，一次读0x1000大小的数据，然后交给加密算法进行加密，最后写入原文件，直到加密完全部的文件数据为止，而加密部分主要是由encryption_OFB_Encrypt实现。

注意：2.0的全加密的算法中，并未采用8字节对齐的操作，最后一块加密内容若是少于8字节就不加密了。

1.采用读写的模式打开文件流；

2.采用分块加密，一次加密0x1000大小的数据,直到加密完所有数据为止；

3.采用了AES_OFB的加密方式，由函数encryption_OFB_Encrypt实现；

4.最后依次将其加密数据写入到原文件中。

3.7.4 encryption_Fast函数（部分加密）

这里和LIVE1.0版本的一样，就完全采用LIVE1.0版本的内容

该函数整体其实主要做的是文件的读写操作，一次性读取0x2000大小的文件数据交给加密函数进行加密，而加密部分主要是也是由encryption_OFB_Encrypt实现。

1.采用读写的模式打开文件流；

2.采用一次性读取0x2000大小数据进行加密；

3.加密算法采用了AES_OFB的加密方式，由函数encryption_OFB_Encrypt实现；

4.最后将加密数据写入到原文件中。

3.7.5 encryption_OFB_Encrypt函数（核心加密函数）

这里和LIVE1.0版本的不一样，LIVE1.0版本采用的是encryption_Treyfer128函数对IV和Key进行处理

该函数核心是异或加密，首先程序会处理一下iv,这里变成了通过encryption_Xor函数进行处理,最后将处理过的IV和原文件进行异或运算,8个字符为一组，将结果作为加密后的结果，最后再处理一次IV。

3.7.6 encryption_Xor函数（IV处理）

整体的处理呢大致分为两步：

将key和iv的值进行异或操作
将对应得到的iv加13

这里反而与LIVE1.0版本相比变的更加简单

当文件全部加密结束后，将回到progarm_lterate函数，然后继续执行写入加密标志内容与文件重命名操作。

写入加密的标志性内容：

这里与LIVE1.0版本不同，LIVE1.0版本标志性内容只有progarm_id

加密的标志性内容组成：

原始文件名；
原始文件名长度；
8字节的progarm_id。

重命名

这里也与LIVE1.0版本有所不同，LIVE1.0版本仅仅是在原始文件名后加.LIVE，而LIVE2.0版本则会采用随机数作为文件名。

在该加密文件的目录下写入勒索信文件。

下面会发现磁盘中的文件变成下图。

最后，在所有磁盘加密完成后将执行：

清空应用程序日志、安全日志和系统日志；
获取当前的UTC时间；
计算当前时间和另一个时间（v401）之间的差值，并将结果输出为字符串；
释放内存并清理变量。

4.安全建议

#

4.1 风险消减措施

资产梳理排查目标:根据实际情况，对内外网资产进行分时期排查

服务方式:调研访谈、现场勘查、工具扫描

服务关键内容：流量威胁监测系统排查、互联网暴露面扫描服务、技术加固服务、集权系统排查

4.2 安全设备调优

#

目标

通过对安全现状的梳理和分析，识别安全策略上的不足，结合目标防御、权限最小化、缩小攻击面等一系列参考原则，对设备的相关配置策略进行改进调优，一方面，减低无效或低效规则的出现频次；另一方面，对缺失或遗漏的规则进行补充，实现将安全设备防护能力最优化。

主要目标设备

网络安全防护设备、系统防护软件、日志审计与分析设备、安全监测与入侵识别设备。

4.3 全员安全意识增强调优

目标：

通过网络安全意识宣贯、培训提升全方位安全能力

形式：

培训及宣贯

线下培训课表

若无法组织线下的集体培训，考虑两种方式:

1.提供相关的安全意识培训材料，由上而下分发学习

2.组织相关人员线上开会学习。线上培训模式。

线上学习平台

5.团队介绍

团队坚持自主研发及创新，在攻防演练平台、网络安全竞赛平台、网络安全学习平台方面加大研发投入，目前已获得十几项专利及知识产权。团队也先后通过了ISO9001质量管理体系、ISO14000环境管理体系、ISO45001职业安全健康管理体系、ITSS（信息技术服务运行维护标准四级）等认证，已构建了网络安全行业合格的资质体系；

6.我们的数据恢复服务流程

多年的数据恢复处理经验，在不断对客户服务优化的过程中搭建了”免费售前+安心保障+专业恢复+安全防御”一体化的专业服务流程。

① 免费咨询/数据诊断分析

专业的售前技术顾问服务，免费在线咨询，可第一时间获取数据中毒后的正确处理措施，防范勒索病毒在内网进一步扩散或二次执行，避免错误操作导致数据无法恢复。

售前技术顾问沟通了解客户的机器中毒相关信息，结合团队数据恢复案例库的相同案例进行分析评估，初步诊断分析中毒数据的加密/损坏情况。

② 评估报价/数据恢复方案

您获取售前顾问的初步诊断评估信息后，若同意进行进一步深入的数据恢复诊断，我们将立即安排专业病毒分析工程师及数据恢复工程师进行病毒逆向分析及数据恢复检测分析。

专业数据恢复工程师根据数据检测分析结果，定制数据恢复方案（恢复价格/恢复率/恢复工期），并为您解答数据恢复方案的相关疑问。

③ 确认下单/签订合同

您清楚了解数据恢复方案后，您可自主选择以下下单方式：

双方签署对公合同：根据中毒数据分析情况，量身定制输出数据恢复合同，合同内明确客户的数据恢复内容、数据恢复率、恢复工期及双方权责条款，双方合同签订，正式进入数据恢复专业施工阶段，数据恢复后进行验证确认，数据验证无误，交易完成。

④ 开始数据恢复专业施工

安排专业数据恢复工程师团队全程服务，告知客户数据恢复过程注意事项及相关方案措施，并可根据客户需求及数据情况，可选择上门恢复/远程恢复。

数据恢复过程中，团队随时向您报告数据恢复每一个节点工作进展（数据扫描 → 数据检测 → 数据确认 → 恢复工具定制 → 执行数据恢复 → 数据完整性确认）。

⑤ 数据验收/安全防御方案

完成数据恢复后，我司将安排数据分析工程师进行二次检查确认数据恢复完整性，充分保障客户的数据恢复权益，二次检测确认后，通知客户进行数据验证。

客户对数据进行数据验证完成后，我司将指导后续相关注意事项及安全防范措施，并可提供专业的企业安全防范建设方案及安全顾问服务，抵御勒索病毒再次入侵。

点击关注下方名片进入公众号了解更多

喜欢此内容的人还喜欢

索勒安全团队

【病毒分析】独家揭秘LIVE勒索病毒家族之1.0（全版本可解密）

索勒安全团队

【病毒分析】交了赎金也无法恢复–针对国内某知名NAS的LVT勒索病毒最新分析

索勒安全团队

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：solar应急响应团队索勒安全团队《【病毒分析】独家揭秘LIVE勒索病毒家族之2.0（全版本可解密）》

Tags: 威胁情报应急响应恶意软件漏洞分析解决方案

你可能错过

10月17日专题会议：数据安全防护与治理前沿学术会议

【漏洞通告】Cisco ISE远程代码执行漏洞（CVE-2026-20211)

2026年人工智能大模型安全众测结果发布

【漏洞通告】Cisco ISE远程代码执行漏洞（CVE-2026-20211)