著名的新西兰IT安全公司Emsisoft的首席技术官Wosar，因为开发了该公司发布的免费勒索病毒解密工具，被全球多个勒索病毒黑产团伙追捕，迫使他从一个地方转移到另一个地方，估计有100个勒索病毒黑产团伙试图追踪他

这些勒索病毒黑产团伙在Twitter上关注Wosar，并试图弄清楚Wosar居住的地方，一些勒索病毒黑产团伙甚至发布了以他名义命名的勒索病毒

根据Malwarebytes Labs的数据，针对企业的勒索病毒攻击在过去一年中增加了365%，99%的勒索病毒攻击案例中，都需要受害者使用BTC进行交易

Wosar是通过什么方式开发解密工具的呢?开发勒索病毒解密工具是一项复杂的工作，事实上很多勒索病毒暂时都没有解密工具，开发解密工具的前题需要拿到相应的密钥，或找到勒索病毒可能存在的缺陷，同时还需要分析勒索病毒的整个加密流程，一般可以通过以下两种方式获取到密钥：

1.黑客的服务器比较脆弱，通过攻击黑客服务器，破解获取加密密钥

2.黑客开发的勒索病毒存在缺陷，可以通过在内存中搜索找到密钥

还有一些勒索病毒本身使用的加密算法存在问题，也许是因为勒索病毒开发者在使用加密算法的时候并没有很好的设计，这样安全研究人员可以开发出相应的解密工具

 Emsisoft勒索病毒解密网站

1a6K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2W2L8i4y4A6M7$3!0X3N6q4)9J5k6h3y4G2L8g2)9J5c8Y4u0S2L8Y4y4G2L8i4N6S2M7X3g2Q4x3X3c8V1k6h3y4J5P5i4m8@1K9h3!0F1i4K6u0V1N6r3!0G2L8s2y4Q4x3V1j5`.

解密工具使用步骤：

1)首先确认是哪个勒索病毒家族，可以通过上传勒索提示信息文件、被加密后的文件、黑客留下的联系邮箱等信息进行查询，如下所示：

通过698K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6A6k6q4)9J5k6s2u0S2L8Y4y4G2L8i4N6S2M7X3g2Q4x3X3g2E0j5h3I4%4j5i4u0W2K9s2g2F1N6r3g2J5N6r3g2S2L8g2)9J5k6h3y4G2L8g2!0q4z5q4!0n7c8W2)9&6b7W2!0q4z5q4!0m8x3g2)9^5b7#2!0q4y4W2)9&6c8W2!0m8y4g2!0q4z5q4!0m8c8W2!0m8x3R3`.`.

2)然后查找是否有相应勒索家族的解密器，Emsisoft公司的解密工具集网站：

c9fK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2W2L8i4y4A6M7$3!0X3N6q4)9J5k6h3y4G2L8g2)9J5c8Y4u0S2L8Y4y4G2L8i4N6S2M7X3g2Q4x3X3c8V1k6h3y4J5P5i4m8@1K9h3!0F1i4K6u0V1N6r3!0G2L8s2y4Q4x3V1k6X3M7X3g2W2i4K6u0V1k6r3!0%4L8X3I4G2j5h3b7`.

如果Emsisoft没有相应的解密工具，还可以去其他解密工具网站进行查询，比如：

725K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2F1L8$3#2G2M7X3g2J5j5h3&6K6L8$3#2Q4x3X3g2G2M7X3N6Q4x3V1j5`.

Emsisoft安全公司曾发布过多款流行的勒索病毒解密工具，包含：Aurora、CryptON、Xorist等，Emsisoft曾发布了JSWORM2.0解密工具，帮助多个客户解密，此前又更新发布了JSWORM4.0的解密工具，如下所示：

工具下载链接：

58eK9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2W2L8i4y4A6M7$3!0X3N6q4)9J5k6h3y4G2L8g2)9J5c8Y4u0S2L8Y4y4G2L8i4N6S2M7X3g2Q4x3X3c8V1k6h3y4J5P5i4m8@1K9h3!0F1i4K6u0V1N6r3!0G2L8s2y4Q4x3V1k6V1L8%4N6F1L8r3!0S2k6q4)9J5c8X3A6K6N6$3!0J5L8g2)9J5k6o6b7H3

解密工具使用指南：

a65K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6V1k6h3y4J5P5i4m8@1k6i4u0Q4x3X3g2W2L8i4y4A6M7$3!0X3N6q4)9J5k6h3y4G2L8g2)9J5c8X3S2G2N6%4c8G2M7#2)9J5c8X3g2E0M7$3W2K6L8$3k6@1i4K6g2X3K9r3!0%4N6r3!0Q4y4h3k6B7M7%4N6G2M7X3@1@1i4K6u0W2M7r3c8X3

JSWORM勒索病毒在2019年1月被首次发现，通过垃圾邮件进行传播，后面经过几个版本的更新迭代，最新的JSWORM勒索病毒版本为4.0.2

JSWORM4.0.2勒索病毒加密后的文件，如下所示：

加密后的文件后缀名：[ID-XXXXXXX][symmetries@tutamail.com].JSWRM

JSWORM4.0.1的加密后缀名：

[ID-XXXXXX][RansomwareRecoveryExperts@tutanota.c].JSWORM

JSWORM3.1的加密后缀名：

[ID-%ID%][backupuser198@gmail.com].JSWORM

JSWORM2.0的加密后缀名：

[ID-%ID%][doctorSune@protonmail.com].JURASIK

JSWORM2.0的解密工具链接：

ed4K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6%4N6%4N6Q4x3X3g2W2L8i4y4A6M7$3!0X3N6q4)9J5k6h3y4G2L8g2)9J5c8Y4u0S2L8Y4y4G2L8i4N6S2M7X3g2Q4x3X3c8V1k6h3y4J5P5i4m8@1K9h3!0F1i4K6u0V1N6r3!0G2L8s2y4Q4x3V1k6V1L8%4N6F1L8r3!0S2k6q4)9J5c8X3A6K6N6$3!0J5L8g2)9J5k6o6t1H3

JSWORM4.0.2的勒索提示信息，如下所示：

更多的解密工具网站，可以参考我之前发布的一篇文章，里面包含更多勒索病毒解密工具，链接如下：

《企业中了勒索病毒该怎么办？可以解密吗？》

《勒索病毒防范措施与应急响应指南》

安全行业真是个"高危行业"，有利益的地方就有斗争，真正的安全从业者不去炫技，自high，一直都是在默默地与真正的黑产做斗争，运用自己掌握的一些安全技能帮客户解决最实际的安全问题，踏踏实实为客户创造价值，勒索病毒带来了巨大的利益，做黑产的依靠受害者交付的赎金赚了很多钱，然而像Emsisoft这类的安全公司却无私地发布了各种免费的解密工具，支持这些优秀的安全公司，支持这些解密工具的开发者

现在大多数的安全问题都是通过恶意软件进行攻击的，如果你对恶意软件感兴趣，想研究学习各类恶意样本的分析技术，想与一些专业的安全分析师与漏洞研究专家交流，欢迎加入知识星球：安全分析与研究，分享各种安全技术：应急响应、恶意样本分析、渗透测试、漏洞研究、移动安全等

加入知识星球的朋友，可以加我微信:pandazhengzheng，然后会拉你加入微信群：安全分析与研究，可以随时提供专业的安全咨询和指导，欢迎关注微信公众号：安全分析与研究，会不定期分享各种安全知识与技术，因为专注，所以专业！

安全的路很长，贵在坚持......

[培训]科锐逆向工程师培训第53期2025年7月8日开班！