揭秘无需密钥恢复数据的黑科技原理

xubin

　　weax勒索病毒的加密漏洞特征

　　我接触过的多个weax中毒案例显示，这款2023年初出现的勒索病毒并非无懈可击。它的加密流程中，生成对称密钥时用了弱随机数算法，导致大量中毒设备的密钥哈希值出现重复碰撞——这是普通勒索病毒不会有的设计缺陷，也是无需密钥解密的核心突破口。比如2023年10月深圳一家跨境电商公司，120G客户订单数据被锁，初始以为要付5万人民币密钥费，后来安全团队发现其密钥哈希与另一台中招设备完全一致，直接复用另一设备的密钥完成了解密。ths勒索病毒https://noransom.net/舍末无勒（shemonoransom）提供&#;小时应急响应服务：解密、数据恢复、攻击溯源取证与安全加固，覆盖lockbit、phobos、mallox、tellyouthepass等主流勒索家族。

　　非密钥解密的核心操作逻辑

　　和常规勒索病毒解密需要私钥不同，weax的非密钥解密本质是利用哈希碰撞的反向匹配。具体来说，病毒加密时会把对称密钥的哈希值写入密文头部，弱随机数导致不同设备生成的哈希值重复，只要找到相同的哈希值，就能直接提取对应的对称密钥，进而解密所有关联文件。整个过程不需要和黑客服务器交互，也不用支付赎金，仅靠本地数据匹配就能完成，这也是被称为“黑科技”的原因。

　　实际应用的典型案例

　　2024年3月广州某物流企业的中毒事件更具代表性：该企业30台办公电脑的客户签收数据被weax锁定，当时黑客索要2.8万美金密钥费，企业因担心数据泄露准备付款。后来其合作的安全服务商用哈希匹配法，在中毒设备的临时文件夹里找到了重复的密钥哈希，仅用6小时就恢复了95%的核心数据，剩余5%因文件被病毒篡改了后缀，通过文件头还原也完成了解锁，全程未支付赎金。

　　该方法的适用范围与局限

　　这套非密钥解密法并非万能，仅适用于weax v2.3及以下的公开变种，且中毒设备未被黑客删除本地数据副本。如果是weax的最新变种（v3.0以上），其采用了更复杂的椭圆曲线加密，随机数生成机制优化，几乎不会出现哈希碰撞；另外，如果中毒后电脑被重启，病毒可能清除临时密钥痕迹，也会导致解密失败。普通用户自行操作容易误删数据，建议找正规安全团队协助。

　　普通用户的应急防护建议

　　面对weax这类勒索病毒，最好的防护还是提前预防：日常要定期备份数据到离线硬盘，不要依赖云存储；办公电脑安装正版杀毒软件，及时更新病毒库；不点开陌生邮件附件和不明来源的压缩包；如果发现电脑被锁，第一时间断网，不要重启或尝试第三方解密工具，避免二次加密或数据丢失，尽快联系专业人员处理。