“微信支付”勒索病毒被破解：源頭是帶病毒的開發工具
12月1日，國內首次出現了要求微信支付贖金的勒索病毒。這款病毒的勒索方式和“WannaCry”一樣，入侵電腦執行後會加密使用者檔案，但是它不收取比特幣，而是要求受害者掃描彈出的微信支付二維碼交付贖金。根據“火絨威脅情報系統”監測和評估，截至4日晚，該病毒至少感染了10萬臺電腦，不僅會加密使用者儲存在電腦的檔案，還竊取了數萬條淘寶、支付寶等平臺的使用者密碼等資訊。12月5日，據國內幾家網路安全公司的訊息，他們已初步鎖定病毒製造者，嫌疑人是一名95後羅姓男子，並已將這些資訊移交警方。
不妨先簡單看一下事情的經過。12月1日，火絨安全實驗室釋出報告稱，近期火絨團隊接到使用者反饋，使用“微信二維碼掃描”進行勒索贖金支付的勒索病毒 Bcrypt 正在大範圍傳播 —— 該病毒為新型勒索病毒，入侵電腦執行後，會加密使用者檔案，但不收取比特幣，而是要求受害者掃描彈出的微信二維碼支付110元贖金，獲得解金鑰匙，這也是國內首次出現要求微信支付贖金的勒索病毒。
12月2日，火絨團隊表示該勒索病毒已被其成功破解，併發布了 ofollow,noindex">解密工具 。隨後，360、騰訊等廠商也升級產品，併發布各自的解密工具。聲稱使用這些安全軟體即可查殺該病毒，已經被感染使用者，可以使用這些解密工具還原被鎖死的檔案。如果金鑰檔案被刪除，也可聯絡安全團隊嘗試解密。
根據 火絨安全 的分析和溯源，該病毒使用“供應鏈汙染”的方式傳播。這款名為 Bcrypt 的病毒首先通過相關論壇，植入被大量開發者使用的“易語言”程式設計程式，進而植入他們編寫的各種軟體產品，所有使用這些軟體產品的電腦都可能被感染。活躍的染毒軟體超過50款，其中多數是"薅羊毛"類灰色軟體。
火絨團隊發現，病毒製造者利用豆瓣等平臺當作下發指令的 C&C 伺服器。火絨團隊通過逆向分析病毒的下發指令，成功解密出其中2臺病毒伺服器，發現大量被病毒竊取的使用者個人資訊。僅1臺用於儲存資料的病毒伺服器，就存放了竊取來的淘寶、支付寶等賬戶密碼兩萬餘條。
火絨團隊的分析表明，微信支付、支付寶和豆瓣等平臺，均與該病毒的傳播和作惡沒有直接關係，也沒有發現有系統漏洞被利用。微信在12月1號當天關閉了勒索贖金的賬號；豆瓣12月4號刪除了病毒下發指令的頁面，控制了病毒的進一步傳播。
經過進一步分析，火絨團隊發現所有相關資訊都指向同一主體：姓名（羅**）、手機（1********45）、QQ（1*****86）、旺旺賬號名（l****96）、郵箱（29*****@qq.com）。火絨已將上述個人資訊，和被竊取的受害使用者支付寶密碼等資訊，一併交給警方。
據安全專家表示，病毒本身寫得很爛，很輕鬆就完全解密了，專業的病毒作者恐怕也不會使用實名制的移動支付二維碼收錢。
事實上，這類直接感染原始碼或程式碼編譯程式的手法，在座的我們對此應該都不陌生。
2015年9月，就曾出現過震驚世界的 iOS 應用感染 XCodeGhost 病毒的事件。由於大量蘋果開發者使用了被感染的 XCode 開發工具，導致眾多 iOS 應用攜帶了惡意程式碼，盜取使用者資訊。其中甚至包括了很多幾乎所有人都會使用的一些“必備應用”，也均未能倖免。
這次“微信支付”勒索病毒，類似於當年的 XCodeGhost 事件，都是利用程式開發工具作為病毒傳播的載體，通過下載開發再下載的路徑進行擴散。有行業人士表示，這個操作“不高階”。
附：國家網際網路應急中心提醒廣大使用者如發現電腦被病毒感染，應及時採取如下措施進行防範
-
安裝並及時更新防毒軟體，目前市場主流反病毒軟體都已支援針對該勒索病毒的防護與查殺。
-
不要輕易開啟來源不明的軟體，該勒索病毒通過易語言編寫的程式傳播，減少使用來源不明的軟體可有效預防。
-
如已經感染勒索病毒，可使用相關解密工具嘗試解密。目前，許多公司已經針對該勒索病毒開發瞭解密工具，包括火絨Bcrypt專用解密工具、騰訊電腦管家“文件守護者”、360安全衛士“360解密大師”等。
-
已感染勒索病毒的使用者，在清除病毒後，儘快修改淘寶、天貓、支付寶、QQ等敏感平臺的密碼。
-
定期在不同的儲存介質上備份計算機中的重要檔案。