本文作者：李勤，雷鋒網網路安全專欄作者，安全圈大姐姐，入錯行的八卦愛好者。

最近，雷鋒網小李遇到了一個神奇的人。

他自稱為「勒索軟體終結者」，

「要教勒索軟體一些做人的道理」。

納尼？感覺好厲害的樣子。

小李的腦海里瞬間浮現出這樣的形象。

然後，雷鋒網小李在2017先知白帽大會的現場遇到了他——倪茂志。

雖然，他不是上面這種手持機槍的酷炫狂拽叼霸天的扛把子，但頗有幾分掃地僧的氣質。

一

要知道他到底厲害不厲害。先得了解什麼是勒索軟體：

根據百度百科，勒索軟體是黑客用來劫持用戶資產或資源並以此為條件向用戶勒索錢財的一種惡意軟體。

它如何劫持用戶資產？

把你電腦里所有的文件都加密！

一旦加密，按照勒索軟體的調性和加密的特殊方法，你基本是無法解密的。

也就是說，要麼給錢贖文件，要麼坐等期限一到文件被刪，或者忍痛自己重裝系統，放聲大哭！

最近，也許因為勒索軟體作妖無敵手，還冒出了一些特別奇葩的勒索軟體。

一款勒索軟體讓受害者用語音說出解鎖密碼，又不是你家親愛的，居然還要搞語音識別說悄悄話！

一款奇特的勒索軟體：只要閱讀兩篇有關勒索軟體的文章就可以解鎖。這位勒索軟體作者，你是不是從小深藏一個人民教師的夢想？

一款「可能會被判刑」的勒索軟體，你敢不付贖金，它就敢控制工控系統往飲水機里投毒！

勒索軟體如此猖狂又不講道理，感覺整個人都不好了。

二

據倪茂志說，他研究主機安全十幾年了，2015年開始研究勒索軟體。

2015年，倪茂志還在一家公司愉快的當著小工，接到一個艱巨的任務：

了解勒索軟體的童鞋可能知道，很多勒索軟體的加密十分複雜，需要超級計算機一刻不停地計算，才能在數百年後解密。人們對這些勒索軟體的反破解能力如同一艘小船在蒼茫大海上遇上一艘巨輪，無疑以卵擊石。

由於很多高強度的勒索軟體密鑰生成演算法使用的是微軟的加密庫，這應該是一個重要的突破口，倪茂志默默地把win2K到win10的微軟加密庫的密鑰生成演算法給逆了一遍。

得出的結論是：

要採集數據生成同樣的密鑰，複雜度還不如直接去爆破密鑰！

當他把這個結果提交了以後得到的反饋是：

難度肯定會有的呀，所以我們應該繼續堅持和努力，你要知道，你現在是在解決世界的頂尖難題，加油，一定要撐住！

這……在忍無可忍就要發飆的關節上，倪茂志想到領導的知遇之恩，以及公司給發的薪水，還是默默的選擇了慫……

隨著在這條蛋疼的不歸路上越走越遠，倪茂志也在痛苦摸索中尋找到了另外一條出路：利用陷阱文件檢測+輕量級的還原系統+文件備份保護來阻止勒索軟體對電腦系統中文件的加密。

當他有這個思路時，也很猶豫是否要把思路說出來大家一起弄，但他仔細想了想，發現當時能寫高質量代碼的人可能不超過兩個（也就是他自己一個）。

這分明就是在給自己挖坑嘛？算了算了，還是自己搞吧。

於是，他頭懸樑，菊刺骨（不是錯別字），卧薪嘗膽，下班就往家裡趕，耗盡所有節假日，寫到昏天黑地。越搞越覺得應該單搞，索性就辭職了。

「『勒索軟體終結者』是我個人的業餘作品，開發時間大概從15年12月到16年11月份左右，後面幾個月都在寫網頁（都快把我寫殘了）。」倪茂志說。

倪茂志本來想找個工作，白天上班、晚上繼續搞研究。但是，為了招攬前期用戶，他把自己對「勒索軟體終結者」的構想寫了一篇文章發在了某媒體上。在簡歷上，為了證明自己的資歷，他把這篇文章的鏈接附上了。

HR一看，表示這個軟體思路確實做得不錯，然後拒絕了他。

「你這一看就是為了找個工作養活自己，然後專心搞反勒索軟體的呀。」

花掉三分之一的積蓄後，倪茂志被逼上了創業的梁山——自己開公司。

因為個人身份沒法購買軟體驅動簽名，沒有簽名尼瑪計算機不認你這個軟體，你沒法運行啊！為什麼個人身份無法購買驅動簽名？因為只有這樣，你的軟體幹了壞事，警察蜀黍才能靠驅動簽名認出你，找到你。

最重要的一點是，個人身份無法申請支付寶和微信收款公眾號的，不申請個公司你壓根就無法（收錢）回本。

「我純粹就是為了申請到數字簽名以及回本，才嗷嘮一聲跑去申請個公司。」

三

倪茂志花了這麼多心血和金錢，整出來的「勒索軟體終結者」到底是什麼樣子？

為了烘托自己的技術，他先鄙視了一下目前應對勒索軟體的辦法：

「剛開始研究時你會很緊張，天！我的思路不會被人先用了把？然後一看對方原理，心裡微微一笑，你個戰5渣，這麼挫的解決方案也好意思拉出來溜！」

「 傳統備份技術大部分是冷技術、冷備份，企業用戶受得了，但是普通用戶受不了。」

「雲備份對付小文件還可以，對付大文件不靈。雲備份技術原理和 SV 的原理很像，只是對某些目錄進行設置，不一定會記得把一個文件存在哪個目錄里，用戶有時直接存桌面了，而且大文件根本防不住，大文件直接會影響帶寬，最後是直接刪了。」

「很多解密勒索軟體的解密工具，是因為寫勒索軟體作者的水平太差了，慘不忍睹，這種水平也好意思寫勒索軟體。」

呸完現有技術思路後，要放大招了！

倪茂志的思路是這樣的：

就像警察破案，有時會先拋出卧底或誘餌。

陷阱文件就是偽裝一個適合勒索軟體加密的文件放到磁碟里，只要能保證讓勒索軟體不知道哪些文件是陷阱文件，勒索軟體就必然會加密這個陷阱文件。為什麼要保證勒索軟體不知道？因為陷阱文件也會存一個配置文件，判斷這個軟體是否是陷阱文件。

當受害者的機器不小心感染並運行了勒索軟體之後，勒索軟體就會遍歷磁碟，並且尋找符合加密文件進行加密，接著勒索軟體剛好加密到陷阱文件，當加密陷阱文件時，由於文件發生變化，就會被陷阱檢測系統檢測到。

哼哼哈哈吼吼，抓到了勒索軟體這個小婊砸！

當系統檢測到陷阱文件發生了變化以後，會先阻斷（使加密線程進入等待狀態）當前的勒索軟體的加密操作，觸發還原清除系統開始進入還原清除步驟。

寶寶的反擊要開始了！

還原系統會比較當前系統盤中的文件與上次還原點中系統盤的文件的差異變化，然後把記錄這些變化後會重啟一次系統，重啟系統以後清除系統會第一時間把記錄下的變化文件全部清掉。因為勒索軟體肯定是在這些變化的差異文件中，因此就會一同把勒索軟體給清掉，原理類似於windows系統還原。

哼哼哈哈吼吼，把勒索軟體這個小婊砸從電腦里踢出去！

不過，不要高興太早，雖然檢測和清除了勒索軟體，在遇到陷阱文件之前，勒索軟體肯定已經加密了一些文件。怎麼辦？

挽回損失！

此時，就可以通過備份保護系統把被加密的文件還原回來，因為這些被加密的文件在被加密時文件備份系統都會對其進行備份的。 這樣就保證哪怕中了勒索軟體不僅可以清掉，而且還可以把被勒索軟體所加密的文件還原回來。

哼哼哈哈吼吼，沒損失不在怕的！

四

為了完善這個軟體，倪茂志發揮了「左右互搏」的精神！

自己想一個坑，然後填一個坑（和自己過不去的典範）。

「如果你知道陷阱文件，就算放在雲端，勒索軟體也能知道，因此要增加陷阱文件的隨機性，讓用戶設置陷阱文件，勒索軟體就無法準確的判斷哪些是陷阱文件。」

世界上最可怕的加密就是，人心！！！

「備份系統最容易遭受攻擊，到處是坑，備份系統理念是什麼？對小文件進行備份，對大文件進行保護，保護是只允許你讀，不允許你刪除和修改，從普通用戶的實際應用角度來看，大文件更改幾率比較小，小文件更改頻率會很大，所以，對小文件進行備份，對大文件不進行備份是基於效率，如果對大文件也進行備份，寫入磁碟的最大吞吐量是一定的，對大文件進行備份會影響用戶體驗，用戶會罵娘的。」

如果勒索軟體從C盤開始遍歷，C盤是100兆，D盤是200兆，E盤是300兆，最佳備份空間是什麼？就是300兆，如果從C盤便利到陷阱文件是100兆、200兆、300兆，其實備份空間保留300兆就夠了，可以保證如果從C盤先加密加密到陷阱文件，頂多佔用100兆。

在具體操作過程中還有逆序遍歷，從後往前遍歷，就是挑出最大值就可以了。但是如果現在同時對三個磁碟加密怎麼辦？同時加密就會發300兆可能不夠，這時100+200+300兆，600兆夠了。

倪茂志說，按照目前這種方法，基本上已知和未知的勒索軟體都能被防住。但是這款「勒索軟體終結者」有一個使用須知：只適合知道自己什麼文件值得保護的人使用。潛台詞就是：