12月1日，首个要求"微信支付"赎金的勒索病毒在国内爆发，根据"火绒威胁情报系统"监测和评估，截至4日晚，该病毒至少感染了10万台电脑，不光锁死电脑文件，还窃取了数万条淘宝、支付宝等平台的用户密码等信息。
根据火绒团队的分析、溯源，该病毒使用"供应链污染"的方式传播。该病毒首先通过相关论坛，植入被大量开发者使用的"易语言"编程程序，进而植入他们编写的各种软件产品，所有使用这些软件产品的电脑都可能被感染。活跃的染毒软件超过50款，其中多数是"薅羊毛"类灰色软件。
图：部分被感染软件
火绒团队发现，病毒制造者利用豆瓣等平台当作下发指令的C&C服务器。火绒团队通过逆向分析病毒的下发指令，成功解密出其中2台病毒服务器，发现大量被病毒窃取的用户个人信息。仅1台用于存储数据的病毒服务器，就存放了窃取来的淘宝、支付宝等账户密码两万余条。
图：被盗取的登录信息数据统计信息
此外，该病毒还将受害电脑所有安装的软件进行统计和信息回传，通过对数据的分析发现，多数受害者没有安装安全软件。
经过进一步分析，火绒团队发现所有相关信息都指向同一主体--姓名（罗**）、手机（1********45）、QQ（1*****86）、旺旺账号名（l****96）、邮箱（29*****@qq.com）。火绒已将上述个人信息，和被窃取的受害用户支付宝密码等信息，一并交给警方。
12月1日该病毒爆发后，"火绒安全软件"当天升级查杀，火绒团队连夜制作了解密工具。随后，360、腾讯等厂商也升级产品，并发布各自的解密工具。广大用户无需担心，使用这些安全软件即可查杀该病毒，已经被感染用户，可以使用这些解密工具还原被锁死的文件。如果密钥文件被删除，也可联系火绒团队尝试解密。
火绒团队的分析表明，微信支付、支付宝和豆瓣等平台，均与该病毒的传播和作恶没有直接关系，也没有发现有系统漏洞被利用。微信在12月1号当天关闭了勒索赎金的账号；豆瓣12月4号删除了病毒下发指令的页面，控制了病毒的进一步传播。
閱讀更多 火絨安全實驗室 的文章
