【七年前的狠活rensenware】#Ransomware 这个病毒不图财，而是要你打《东方星莲船》

Komeiji-Reimu

《东方星莲船》，一款弹幕射击游戏(stg)，是东方Project官方游戏 系列的 第十二作（Th12）


七年前的2017年，随着永恒之蓝等漏洞的滥用，在WannaCry的冲锋下，正是勒索病毒大鸣大放的好时代。在那一年，一个名为“rensenware”的小病毒悄悄感染了部分用户。

以下是watchguard对其介绍的翻译：

RensenWare 的独特之处在于，它不是要求受害者支付赎金，而是要求他们玩游戏来解锁文件。这个程序的作者 Kangjun Heo（0x000000FF）最初只是出于无聊和好奇制作的。事情变得有争议，是因为他不仅把使用说明和源代码上传到了 GitHub，还把第一个正式版本上传到了 VirusTotal，供研究人员获取样本。不过，也有恶意软件开发者利用这些源代码进行改动，制作了自己的恶意软件变种，后来确实有人这样做了。这是勒索软件作者为了教育目的公开代码，结果被恶意利用的又一个例子。

Heo 后来发布了道歉声明，还制作了几个解密工具。RensenWare 是用 C# 编写的，要求用户在弹幕游戏《th12》的 lunatic 难度下拿到 2 亿分。程序执行后，会用 AES-256-CBC 加密指定扩展名的文件，并像传统的勒索软件一样，在文件名后加上 .RENSENWARE 扩展名。不过，这次“勒索”要求并不是钱，而是游戏中的 2 亿分数。只要用户达到了要求，文件就会被解锁。

不过，加密和解密过程有几个问题。首先，AES 是对称加密算法，这意味着加密和解密用的是同一个密钥，而这个密钥是在程序运行时随机生成的并存储在内存中。如果程序进程被终止或者系统重启，文件就会永久丢失。另一个问题是《th12》不是免费的，受害者至少要买游戏。值得一提的是，因为作者某天晚上不小心自己中了这个勒索软件，他后来发布了三个解密工具——一个是最初的“强制解密器”，一个是改进版，还有一个可以直接满足分数要求，绕过玩游戏这一步的解密器。

也就是说，作为一个东方众的玩笑程序，由于作者轻易地把源代码与程序投放到了网络中，导致了不法分子的滥用，同时由于解密条件之严苛（作者后来感染病毒之后也表示无法达到这个分数），秘钥容易丢失（存在内存里）等因素，在网上造成了一定的破坏。
总之，这就是被坏人利用，并不是“暴力传教”


病毒削弱版GIthub界面：
https://github.com/0x00000FF/rensenware-cut

Avast对此的分析蹭热度：
https://www.avast.com/zh-cn/business/resources/what-is-rensenware#pc


我为什么运行不了这个样本？

• 首先，这个病毒是c++++编写，因此需要安装.net3.5运行库
• 这个病毒会遍历所有盘符，寻找相应的文件进行加密，当然也包括光驱或者网络驱动器注册的盘符。通常这些盘是空的，这会导致病毒崩溃并退出。因此，保存在进程内存中的秘钥也会丢失，文件将永远不能解密。要注意小心。为了能正常运行，你需要去磁盘管理器中删除所有空白的盘符，病毒样本即可正常运行。
  

玛姆库特

ESET解压

Loyisa

SEP kill

ongarabazanade

Komeiji-Reimu

Loyisa 发表于 2024-10-21 19:24
SEP kill

你的星莲船水平如何

Loyisa

Komeiji-Reimu 发表于 2024-10-21 19:33
你的星莲船水平如何

我是STG苦手啊

123456aaaafsdeg

连catchpulse都细分了，可见质量

心醉咖啡

360

kaba666

卡巴解压杀

846472713

G DATA