【软件】CTB-Locker敲诈者病毒分析

1.CTB-Locker主要通过邮件传播，然后会有一个类似是传真发错邮箱的假象，让人打开了他的附件就中毒。

CTB-Locker样本下载: 点击下载

解压密码：www.aiwanba.net

2.打开之后会看到一个传真文件，打开他发现，真的是一个传真文件，不过看不懂，所以就扔在一边了，其实它还在后台默默的运行着。

3.他会悄然的识别电脑中的各种照片文档等加密，等下次开机的时候就会出现勒索画面。

4.在此之后，你所有文件[文档]就变成了7位随机结尾的加密文件[文档]，将后缀名更改成原后缀仍然无法正常打开。

5.剩下的解决办法就是：付钱/重装系统。
6.装系统的话会把病毒刷掉，但是这些文件会一直保持这样的后缀，直到CTB-Locer被破解之后。

7.上面那个界面点击NEXT之后的一个画面上，作者会给出一个BTC钱包的汇款地址，并且标出需要支付的比特币数量，该样本是勒索3个BTC。

8.目前CTB-locker还在不断升级，勒索的比特币也从3个成了8个。

9.支付的时候会有一定的手续费，所以多支付了0.0007比特币。

10.大约在一个半小时之后那个画面产生变化，开始解密运算。 
11.在支付完到解密的过程中需要保持网络的畅通及电脑开机状态，最好关闭杀软。

12.解密的过程非常的长，不过起码作者遵守约定为文档解密。

13.比特币换算：1比特币 = 1500+人民币

温馨提醒：利用虚拟机测试CTB-Locker是行不通的！虚拟机无法触发CTB-Locker；首先，CTB-Locker远程注入恶意代码到svchost.exe中，接着，判断中毒用户是否有vboxtray.exe、vboxservice.exe、vmtoolsd.exe等虚拟机进程，目的也是为了阻碍分析，增加触发病毒代码的条件。

CTB-Locker实机运行截图：