近日網路上出現了一種名為「WannaRen」的新型比特幣勒索病毒。它與2017年大爆發的「WannaCry」病毒類似，當用戶電腦系統被「WannaCry」入侵後，會彈出勒索對話框，提示勒索目的並向用戶索要比特幣。用戶電腦上的所有重要文件，如：照片、圖片、文檔、壓縮包、音頻、視頻、可執行程序幾乎所有類型的文件，都會被加密，加密文件的後綴名被統一修改為「.WNCRY」。用戶電腦一旦被勒索病毒侵入，只能通過重裝操作系統的方式來解除勒索行為，但是用戶重要數據文件無法被直接恢復。

（文中「火絨工作室****@huorong.ltd」為用戶私人郵箱）

9日上午，一名火絨用戶以解密為由，通過郵件嘗試聯繫「WannaRen」勒索病毒作者獲取更多信息。該作者在要求火絨用戶支付比特幣作為贖金未果後，竟主動提供病毒解密鑰匙，並要求該火絨用戶將密鑰轉發給火絨團隊，製作「相應解密程序」。

從上述郵件可以看出，該病毒作者在使用英語進行交流後，又使用了中文進行溝通，再加上火絨此前披露該病毒使用易語言編寫的情況來看，極有可能為國人所為。

至此，隨著事件發酵，各媒體、安全廠商進行了大量的曝光和溯源調查，截止目前，該病毒作者提供的比特幣錢包未收到任何贖金，而該作者也已經停止下發、傳播「WannaRen」勒索病毒。

WannaRen勒索病毒解密密鑰

-----BEGIN RSA PRIVATE KEY-----

MIIEowIBAAKCAQEAxTC/Igjuybr1QbQ1RmD9YxpzVnJKIkgvYpBrBzhsczHQ8WeC

7ikmC5jTbum1eCxTFTxvtnONEy2qDbnSS5fbK/lxYExj6aDLKzQxXCOVSdSQCesW

g1i5AAdUC9S246sdS9VKxT0QL24I+SG+ixckBhcB+ww6z47ACegoH0aLDwvRvehZ

Ycc1qFr1lhRXQpHunrlg4WRphH5xBbszOI+dFRDOpprnbN56CHoLb0q1SzzV3ZFA

FF6Df68Pux1wMHwEXbULRHo5AIZJPJq8L9ThWVsj6v42jAjJQ8m8bRh0+Jz4Rohk

WwPgL+VFxDG2AiiCU5/yLNoQX0JM9VWBxy6Z3QIDAQABAoIBADi/KoH06CMNtn7O

CXbTepgGiKKcCVGMTHak8OgHCM6ty19tVnSLSvOTa2VDxIFs4AwAdHWhEzwtq/5/

N1GhxeUFx+balPYq28z3HC1T4CZ7EWiJStVJtxOXCEzPTkJ+f9PO8dGJHRtJIzPu

zhLg+fD2tg81GceZYRJ4yPMXLfWKA5DmGkRv/1Usq5zvMClLdrmw/q2rnCbRLdeE

EAzSAi9kqsnEaZKfCbXb/gby+bUwAgn7mxs+CJ611hzD/r2w9dgXkaUJYuKRRv+B

GlQHBRQ7hXogkIzeaGqmw8M3xko7xzADsytFYxt2Kthuww2YV4E6Q1Hl4bBW0q+g

w+jSolECgYEA0Tnns+LaqMd5KCQiyWlCodQ2DtOMOefhIrJbRhdAkAq6FtVICxkL

nIJL0gmo4T/zDaMr8vsn7Ck+wLjXUsYt1/EulLtVnuH76FU0PkjJqBdre5Gjf23/

YGHW7DJEoH3p/7DIgV4+wXPu6dD+8eECqwm1hLACOxkfZnOFZ1VGxeMCgYEA8UYH

jaA69ILlz0TzDzoRdTmam6RDqjsVO/bwaSChGphV0dicKue25iUUDj87a1yLU5Nq

t0Kt0w1FL/iile1Eu4fe4ryukPGw2jAZh/xq7i2RRSFLXim5an9AbBVQ55478AJa

sTaIOSoODgBspsBLShnXQRKEfwYPv2GthhcJLT8CgYAssRDERQ3uBYXkxCtGGJzq

Enllm1yVtelKTwzeIPNikVgErpRQAo6PZOmrOPMBAnb5j8RAh9OUR48m/ZTJEpoS

SWtoy8dTQ/RaQXECaOviYvZLk+V3v9hQDzYoh+hO2/aS7oE12RrQmeILwd/jbOvz

+wPyDuK7GvexG7YAR5/xfwKBgQCA8p6C0MnxeCv+dKk60BwYfKrm2AnZ5y3YGIgw

h2HS5uum9Y+xVpnnspVfb+f/3zwPdNAqFZb1HziFBOtQGbkMSPeUUqcxjBqq4d4j

UYKMvQnQ2pR/ROl1w4DYwyO0RlteUMPLxotTkehlD1ECZe9XMSxb+NubT9AGxtuI

uLMM3QKBgGl0mYCgCVHi4kJeBIgabGqbS2PuRr1uogAI7O2b/HQh5NAIaNEqJfUa

aTKS5WzQ6lJwhRLpA6Un38RDWHUGVnEmm8/vF50f74igTMgSddjPwpWEf3NPdu0Z

UIfJd1hd77BYLviBVYft1diwIK3ypPLzhRhsBSp7RL2L6w0/Y9rf

-----END RSA PRIVATE KEY-----

---

4.8日晚更新：通過進一步溯源，我們發現國內西西軟體園（西西軟體園-西西遊戲網-多重安全的軟體下載基地）中一款被惡意篡改的開源代碼編輯器所攜帶的病毒傳播腳本，與該勒索病毒的傳播腳本具有同源性，因此不排除下載站曾作為WannaRen勒索病毒的傳播的渠道之一。

分析發現，火絨捕獲到的勒索病毒會在本地同時執行下載挖礦病毒和勒索病毒兩個命令，還可以通過「永恆之藍」漏洞進行橫向傳播，並與大多數勒索病毒一樣使用了非對稱的加密方式，因此暫時無法對其進行解密。

而西西下載站內軟體所攜帶的病毒傳播腳本目前雖然只傳播挖礦病毒，但不排除未來傳播勒索病毒的可能性。令人擔憂的是，通過搜索發現，該下載站的開源代碼編輯器在同類軟體中人氣排名第一（如下圖），或已致使不少用戶受到影響。

詳細分析報告見：

火絨安全實驗室：WannaRen勒索病毒溯源新進展 或通過下載站大量傳播?

zhuanlan.zhihu.com

---

近期，網上出現一款名為「WannaRen」的新型勒索病毒。對於該網傳病毒樣本，各廠商進行了第一時間的處理。但經火絨分析溯源發現，該樣本並非病毒樣本，而是該病毒進行勒索後留給用戶交贖金用的「解密工具」，經檢測其中並沒有惡意代碼。另外，火絨已經溯源到真實的「WannaRen」勒索病毒並進行分析（詳細分析後續發布），火絨用戶（企業、個人）升級到最新版即可對該病毒進行攔截查殺。

4月6日，有用戶在火絨論壇等地反饋，表示中了新型勒索病毒，被加密文件後綴名變為「. WannaRen」，並被索取0.05比特幣作為解密贖金。得知情況後，火絨第一時間對用戶反饋的可疑樣本進行拉黑查殺處理。

隨後，火絨工程師通過溯源分析發現，真正的勒索病毒已經在感染用戶電腦後的第一時間就自我刪除。留在用戶電腦上的並非該勒索病毒，而是病毒用以獲取勒索贖金的解密工具，被感染用戶只有通過該工具提交贖金後才能獲得密鑰。另外分析還發現，該被病毒使用易語言編寫，基本排除與「WannaCry」勒索病毒具有同源性。

針對該勒索病毒，火絨已經解除了對其解密工具的拉黑行為，並對真實的「WannaRen」勒索病毒進行攔截、查殺。

目前，感染該勒索病毒的文件還無法被破解。建議用戶不要輕易使用安全軟體對該解密工具進行查殺，以免無法贖回被加密的重要資料。最後，火絨也會密切關注該病毒的後續情況，如果您遇到所述問題，可隨時聯繫火絨尋求幫助。

附預防勒索病毒的方式：

1、 重要資料進行多地備份

2、 不點擊陌生鏈接、郵件（附件），不瀏覽不安全的網站

3、 及時修復系統漏洞

4、 設置強度高的登錄賬號、密碼

5、 安裝並開啟合格的安全軟體，並定期查殺病毒

編輯於 2020-04-14繼續瀏覽內容知乎發現更大的世界打開Chrome繼續yang leonierBlack-frame Glasses and Belts

這病毒用來存儲本體的肉雞上面的那幾個木馬文件都還在，我直接下載回來了。

WINWORD.EXE的微軟簽名是真的。難不成，用上hash碰撞了？但應該不是這樣，只是拿合法的EXE去載入非法的DLL。這種玩藝不會用如此高大上的手段。

這個UUID，查了一下是Word 2007的。

看到這個pdb信息，我懷疑這部分代碼真的來自Word 2007了。。

文件的版本信息。

查了一下12.0.4518.1014，發現有報道以前APT32「海蓮花」的釣魚郵件裡面用了這個版本的winword.exe載入惡意wwlib.dll。

【微步在線報告】零殺軟檢出，我國遭到「海蓮花」新手法攻擊 - 情報詳情?

x.threatbook.cn

看來這個winword.exe確實是微軟的文件，可能只是WannaRen作者從哪裡抄了這種手法，可執行文件都沒有換一下。之前版本的回答裏對這個exe多寫了一點東西，但完全都是無用功。

不過Word 2007啟動要調用wwlib.dll，看一下我下下來的這個文件吧。有微軟簽名的這個WINWORD.EXE會騙過某些眼瞎的（沒有這個wwlib.dll的特徵碼）的殺軟，再啟動這個不屬於Word的木馬本體wwlib.dll。

我日，VMProtect殼。。。不好玩。但反正微軟不可能用這個玩藝加殼。這玩藝挺大，估計脫了殼就是病毒本體了。

至於you這個文件，一眼看出就是加密了。

還有兩個文件，一個是驅動，一個是應該屬於這個挖門羅幣的軟體。

這個驅動文件和Github下下來的完全一樣，它確實是CrystalDiskMark作者的作品。

看來這個木馬，一邊加密勒索比特幣，一邊還挖門羅幣。可謂兩不誤。

我回去再找塊硬碟，看能不能把vmp加殼的主程序釋放的文件再看一下。。

根據360抓到的那段PowerShell腳本，木馬會從某個國外網盤上下載兩個文本文件，一個用於判斷自己是否已經下載運行成功，一個則是判斷是否下載運行挖礦程序。

好像還有一個office.exe，用來本地區域網攻擊的模塊，我沒成功下下來。

更新：我找到了另一個版本的攻擊PowerShell腳本，寫的東西差不多，下載的東西不一樣。

nb.exe、office.exe都沒了，yuu.exe下回來一看，一個WinRAR的自解壓包，中文版WinRAR做的。

duser.dll，太像木馬了。而且好像還是易語言寫的。userapp.exe其實是Win7的rekeywiz.exe，似乎rekeywiz.exe會導致Windows的knownDLLs機制失效，而直接把這個非系統的duser.dll載入了。

網上查，似乎rekeywiz.exe被利用的情況有一些，以往有用公式編輯器漏洞攻擊的Word文件下下來的東西會用它來載入惡意DLL。

9603ea7c66935f693721d3a09947e9d159b51252e352ba4abff04e1bdedd2f2a | ANY.RUN - Free Malware Sandbox Online

誰玩門羅幣的可以找f2pool礦池舉報一下這個ID。

---

這病毒用來存儲本體的肉雞上面的那幾個木馬文件都還在，我直接下載回來了。

WINWORD.EXE的微軟簽名是真的。難不成，用上hash碰撞了？但應該不是這樣，只是拿合法的EXE去載入非法的DLL。這種玩藝不會用如此高大上的手段。

這個UUID，查了一下是Word 2007的。

看到這個pdb信息，我懷疑這部分代碼真的來自Word 2007了。。

文件的版本信息。

查了一下12.0.4518.1014，發現有報道以前APT32「海蓮花」的釣魚郵件裡面用了這個版本的winword.exe載入惡意wwlib.dll。

【微步在線報告】零殺軟檢出，我國遭到「海蓮花」新手法攻擊 - 情報詳情?

x.threatbook.cn

看來這個winword.exe確實是微軟的文件，可能只是WannaRen作者從哪裡抄了這種手法，可執行文件都沒有換一下。之前版本的回答裏對這個exe多寫了一點東西，但完全都是無用功。

不過Word 2007啟動要調用wwlib.dll，看一下我下下來的這個文件吧。有微軟簽名的這個WINWORD.EXE會騙過某些眼瞎的（沒有這個wwlib.dll的特徵碼）的殺軟，再啟動這個不屬於Word的木馬本體wwlib.dll。

我日，VMProtect殼。。。不好玩。但反正微軟不可能用這個玩藝加殼。這玩藝挺大，估計脫了殼就是病毒本體了。

至於you這個文件，一眼看出就是加密了。

還有兩個文件，一個是驅動，一個是應該屬於這個挖門羅幣的軟體。

這個驅動文件和Github下下來的完全一樣，它確實是CrystalDiskMark作者的作品。

看來這個木馬，一邊加密勒索比特幣，一邊還挖門羅幣。可謂兩不誤。

我回去再找塊硬碟，看能不能把vmp加殼的主程序釋放的文件再看一下。。

根據360抓到的那段PowerShell腳本，木馬會從某個國外網盤上下載兩個文本文件，一個用於判斷自己是否已經下載運行成功，一個則是判斷是否下載運行挖礦程序。

好像還有一個office.exe，用來本地區域網攻擊的模塊，我沒成功下下來。

更新：我找到了另一個版本的攻擊PowerShell腳本，寫的東西差不多，下載的東西不一樣。

nb.exe、office.exe都沒了，yuu.exe下回來一看，一個WinRAR的自解壓包，中文版WinRAR做的。

duser.dll，太像木馬了。而且好像還是易語言寫的。userapp.exe其實是Win7的rekeywiz.exe，似乎rekeywiz.exe會導致Windows的knownDLLs機制失效，而直接把這個非系統的duser.dll載入了。

網上查，似乎rekeywiz.exe被利用的情況有一些，以往有用公式編輯器漏洞攻擊的Word文件下下來的東西會用它來載入惡意DLL。

9603ea7c66935f693721d3a09947e9d159b51252e352ba4abff04e1bdedd2f2a | ANY.RUN - Free Malware Sandbox Online

誰玩門羅幣的可以找f2pool礦池舉報一下這個ID。

---

先來簡略介紹一下這個「WannaRen」

「WannaRen」病毒入侵電腦後會加密系統中幾乎所有文件，恢復文件需支付0.05個比特幣的贖金。

「WannaRen」病毒現存在兩個變體，一個通過文字，另一個通過圖片發送勒索信息，這次勒索比特幣用的錢包地址與2017年相同，基本可以確定這是同一人所為。只不過不同的是，「WannaCry」利用的是NSA泄露的「永恆之藍」漏洞。而本次的「WannaRen」則並沒有。

依稀記得17年的勒索病毒造成的全球性互聯網災難。

而這次的「WannaRen」來勢洶洶，技能只會比它的前身更強，從目前的測試看來市面上的殺毒軟體是奈何不了。

希望應對本次可能重演的網路災難各政府網路部門可以快速做出反應，避免可能帶來的巨大損失。否則便是在疫情肆虐之時給各國經濟形勢火上澆油。

——-------------------------------分割線-----------------------------------------------

火絨方面已經表示可以查殺該病毒並且攔截其加密文件的攻擊，雖然具體效果我還沒有試過，但還是給這波迅速的反應點贊。

360方面也給出回應了，並進一步分析出了病毒的勒索攻擊代碼。不得不感嘆，雖然奇虎360的「全家桶」不太令人討喜，但其在網路安全領域的水準仍獨步天下。

-----------------------------------------------------------------------------------------

4月9日更新

據析，「WannaRen"的製作者已通過多方主動聯繫到火絨，並提供了相關解密密鑰。經證實該密鑰有效，我會在文末附上改解密密鑰，希望能幫到大家避免不必要的損失。當然，更多的還是要感謝火絨官方在破解病毒方面作出的努力。 @火絨安全實驗室

附 WannaRen勒索病毒解密密鑰-----BEGIN RSA PRIVATE KEY-----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-----END RSA PRIVATE KEY-----

---

關於WannaRen這個勒索病毒，我們已經有了較為詳細的分析，有興趣的朋友可以通過下面的鏈接去看詳細的內容。

頭條文章?

card.weibo.com

在這裡小編為大家總結一下重點：

1. 與全球知名的「老前輩」—WannaCry相比，目前WannaRen除了界面的外觀和病毒名稱有較高的相似度外，並沒有更多的證據證明兩者之間有關係。

2. WannaCry集成永恆之藍漏洞並利用組件進行傳播，而WannaRen則未發現具備主動擴散的能力，也沒有利用RDP、SMB等高危漏洞。

3. WannaRen病毒母體圖標偽裝Everyting，且病毒勒索信僅支持中文顯示，疑似通過軟體供應鏈方式傳播。

不論是技術性、傳播方式還是國際化程度，WannaRen都無法與「老前輩」相比。

現階段WannaRen的作者已經停止下發、傳播該病毒，並提供了相關的解密密鑰，所以這場「疑似WannaCry再度來襲」的鬧劇已暫時告一段落。

如果還是有人不幸中招，那麼可以參考以下的應對步驟：

1. 不要讀寫中毒設備上的文件，更不要嘗試使用手機、U盤、移動硬碟等設備連接電腦，這隻會增加病毒感染更多設備的概率。

2. 立即拔網線。是的你沒看錯，一旦電腦中了勒索病毒應立即採取斷網處理，把中毒設備進行網路的物理隔離以防止內網傳染，並及時向信息安全專家求助，由專業人士對受災設備和數據進行處理和保護。

3. 等待安全分析師通過查找、比對、校準樣本和勒索信息，確認勒索病毒的家族來源。

4. 確認病毒家族之後進行溯源分析、特徵入庫，通過同類型的解密工具進行處理，並封堵安全漏洞。

5. 做好相應的安全防護工作，以防再次感染。

除非作者自行提供解密密鑰，否則以上步驟中的3和4可能是一個十分漫長的過程，而且勒索軟體使用的加密技術也非個人之力就能進行破解。

所以，對於企業和個人用戶來說，應對勒索病毒最好的方法，就是養成良好的安全防護習慣。

以下就是小編為大家整理的勒索病毒防護指南：

1. 不要點擊或打開任何可疑的文件或鏈接

勒索病毒通常會偽裝成客戶端、鏈接、執行文件、表格甚至是圖片等，如果大家在遇到可疑的郵件或文件時，做到「不上鉤」「不打開」「不點擊」這三點，就能在極大程度上避免感染勒索病毒。

2. 隨時做好文件備份

正所謂「手有備份，心中不慌」，與其事後支付數百美元恢復文件，不如事先做好備份工作，這種良好的上網習慣會使你在工作、生活中受益無窮，特別是企業用戶，做好日常關鍵數據備份工作非常重要，企業用戶可以通過各種雲服務加強容災備份工作。像樓主這樣的個人用戶可以使用U盤、移動硬碟，以及微雲等相對便利的網盤進行文件備份，還可以通過騰訊電腦管家文檔守護者開啟自動備份功能，保護電腦文檔不丟失。

3. 安裝安全防護軟體

使用正規、安全、有效的安全防護軟體，最好選擇查殺病毒能力強大的。一個好用的安全軟體能夠防禦大部分病毒的危害，讓電腦能有一個安全的使用環境。

4. 及時進行系統更新

系統補丁/安全軟體病毒庫需要保持實時更新，以避免受到病毒的攻擊、泄露隱私信息，不僅會為生活和工作帶來不便，還可能會造成財產損失。Win7、XP作為黑客的重點關注目標尤其需要及時地更新補丁、修復漏洞，可以通過防護軟體如騰訊電腦管家對電腦進行實時的病毒防護和漏洞入侵防護、攔截程序惡意行為等，在重大高危漏洞的情況下，這類防護軟體也會及時發布漏洞熱補丁對系統進行免疫保護；當然最好是升級到最新系統，這樣會更加有效、安全。

編輯於 2020-04-30繼續瀏覽內容知乎發現更大的世界打開Chrome繼續柚木鉉GloomyGhost.com｜鏡音レン廢｜弱智｜C++人

虛擬機不作為，殺毒方法是安裝HyperV（可能，未被證實

4.8更新

物理機（Win To Go）運行發現需要NTVDM Windows功能，系統類型：Windows10 1809

跳過後

---

虛擬機不作為，殺毒方法是安裝HyperV（可能，未被證實

4.8更新

物理機（Win To Go）運行發現需要NTVDM Windows功能，系統類型：Windows10 1809

跳過後

---

推薦閱讀：