背景：

amnesia勒索病毒在2017年中旬曾經出現過，寶駿560，不過隨后Emsisoft就發布了解密工具，至今年，amnesia重新發布了第二版，完善了加密算法。

運行過程：

該勒索病毒搜索電腦上的每一個文件，每遇到一個文件，將會判斷是否為文件，如果是，則進行跳轉

當找到文件夾的時候，該勒索病毒將會判斷是否為以下的文件夾，并對相應的文件夾實施跳過處理：

Microsoft\Exchange Server\

Microsoft SQL Server\

Firebird\

MSSQL.1\

Microsoft SQL Server Compact Edition\

Adobe\

Oracle\

ALLUSERSPROFILE

寶駿RM-52019款是一款寶駿旗下的MPV,其官方指導價為78800元-120800元。我們以寶駿RM-5的最高配2019款1.5TCVT24小時在線尊貴型7座為例,據了解,目前在南充市沒有什么優惠。首先來看看以貸款方式購買這款車需要多少錢。

APPDATA

ProgramData

ProgramFiles

ProgramFiles(x86)

WINDIR

并繼續判斷相應的系統路徑，如果為關鍵的系統路徑，將會跳過（加冒號的為根目錄下文件）：

:\$RECYCLE.BIN\

\All Users\

\AppData\

\Application Data\

:\Program Files (x86)\

:\Program Files\

:\System Volume Information\

:\Windows\

:\intel\

具體來說，新寶駿RM-5的車主如果需要將手機連接 汽車 ，不需要和用數據線連接，坐上車之后，手機就能主動和 汽車 連接，單憑這一點，新寶駿RM-5的這套車聯網就能讓人感覺到便利。不僅如此，在手機連接上新寶駿RM-

:\nvidia\

當文件夾符合加密要求時，從當前文件夾里繼續搜索。

當開始加密文件時，勒索病毒將會判斷文件名后幾個字節是否為.animes如果是，則跳過

在進行判斷文件名是否為 HOW TO RECOVER ENCRYPTED FILES.txt，如果是，則跳過：

該勒索病毒將加密以下后綴名的文件：

開始加密文件后，首先勒索病毒將會保存文件的修改時間，以及設置文件的屬性：

打開文件后，判斷文件的長度，如果大于0x80000則加密0x80000大小，如果小于，則加密文件全部：

隨后，分別隨機生成0x20、0x10個字節的隨機數，分別用做AES密鑰以及IV：

讀取文件，并對文件進行加密（讀取內容頭部有4字節長度）：

將文件被加密后的內容寫入到文件中（頭部有長度）：

同時，新寶駿RM-5配備了一塊12.3英寸全液晶組合儀表和10.25英寸高清觸控屏，在實際的操作中，無論是響應速度還是清晰度都算得上同級別價位上乘水準了。而作為一輛智能家用MPV，內部空間才是是車的核心部分，新寶駿RM-5的。

寫入被加密快的大小：

寫入1（作用不詳）：

將AES密鑰與IV進行拼接，并使用ECC進行加密，并將加密結果寫入文件中：

獲取文件名，使用ECC加密結果生成新的密鑰后對文件名進行加密，拼接文件名后對文件進行重命名：

設置原有的時間以及原有的屬性：

文件被加密后的結構示意圖：

勒索病毒還會在每個被加密的文件夾下生成HOW TO RECOVER ENCRYPTED FILES.txt文件，文件內容為：

Your files are now encrypted!

—–BEGIN PERSONAL IDENTIFIER—–

%你的個人ID%

—–END PERSONAL IDENTIFIER—–

All your files have been encrypted due to a security problem with your PC.

Now you should send us email with your personal identifier.

根據上汽通用五菱汽車的官方介紹，新寶駿RM-5標配了主副駕駛座安全氣囊、胎壓監測系統、ISOFIX兒童座椅接口、ABS防抱死系統、制動力分配系統、剎車輔助系統、牽引力控制系統、車身穩定系統。 對于高配的新寶駿RM-5來說，它還增。

This email will be as confirmation you are ready to pay for decryption key.

You have to pay for decryption in Bitcoins. The price depends on how fast you write to us.

After payment we will send you the decryption tool that will decrypt all your files.

Contact us using this email address: bitkick@protonmail.com

If you don’t get a reply or if the email dies，then contact us using Bitmessage.

Register it form here:

Run it，click New Identity and then send us a message at BM

BM-2cVXsen2VfP29zQmAF2F5xf9cWbKBxUzVC

Free decryption as guarantee!

valuable information (databases，backups，large excel sheets，etc.).

新寶駿RM-5是新寶駿品牌旗下的一款跨界家用車，在2019年9月5日正式上市，售價8.68-12.08萬元。新寶駿RM-5基于全新智能化R平臺打造，延續了新寶駿的“智能網聯”品牌基因，極具科技感與未來感，讓人眼前一亮，超酷炫的。

How to obtain Bitcoins?

Create a Bitcoin purse:

The easiest way to buy bitcoins is LocalBitcoins site. You have to register，click

(Visa/MasterCard，Perfect Money，WU etc.)

Also you can find other places to buy Bitcoins and beginners guide here:

Attention!

Do not rename encrypted files.

Do not try to decrypt your data using third party software，it may cause permanent data loss.

Decryption of your files with the help of third parties may cause increased price

(they add their fee to our) or you can become a victim of a scam.

機器感染勒索病毒后的截圖：

*作者：奇虎360技術博客