1.背景

本篇文章主要讲解mallox家族lmallox勒索病毒的破解方法，背景详情可参考

【病毒分析】Mallox家族再进化：首次瞄准Linux，勒索新版本全面揭秘！

2.恶意文件基础信息

2.1 加密器基本信息

3.逆向分析

加密算法分析：

解密核心代码：

func decode_file(wg *sync.WaitGroup, path string) bool {    defer wg.Done()    hexKey := "310e72d723af744be6377c08949965626b1df9c3db6db2a418331fb1344c9a90"    key, err := hex.DecodeString(hexKey)    key = xor0x9b(key)    cipherText, err := ioutil.ReadFile(path)    if err != nil {       log.Fatalf("Error reading file: %v", err)       return false    }    iv := cipherText[:16]            // First 16 bytes for IV    encryptedData := cipherText[16:] // Remaining part is encrypted data    block, err := aes.NewCipher([]byte(key))    if err != nil {       log.Fatalf("Error creating cipher: %v", err)       return false    }    mode := cipher.NewCBCDecrypter(block, iv)    decrypted := make([]byte, len(encryptedData))    mode.CryptBlocks(decrypted, encryptedData)    decrypted = pkcs7Unpad(decrypted)    if decrypted == nil {       return false    }    outputpath := strings.Replace(path, ".lmallox", "", 1)    err = ioutil.WriteFile(outputpath, decrypted, 0644)    if err != nil {       log.Fatalf("Error writing decrypted data to file: %v", err)    }    fmt.Printf("[+]文件: %s 解密成功!!n", path)    os.Remove(path)    return true }

解密结果：

工具下载地址

原文始发于微信公众号（solar专业应急响应团队）：从无解到破解：Mallox家族linux的解密器制作