wannakey

警告

此软件仅在 Windows XP、7 x86、2003、Vista 和 Windows Server 2008 下进行了测试，已知可正常运行（由 @msuiche 进行测试）。

请注意，要使其正常运行，您需要运气（见下文），因此在某些情况下可能无法正常运行！

免责声明

• 此代码始终遵循 GPLv3 许可。请参阅附件中的 LICENSE 文件。

• 自动查找加密过程 PID * 将私钥写入，以便原始恶意软件的进程可以解密文件（使用“解密”按钮） * 代码重构和 cmake 使用

它通过在「wcry.exe」进程中搜索它们来实现此功能。这个进程生成 RSA 私密钥。主要问题是「CryptDestroyKey」和「CryptReleaseContext」在释放相关内存之前没有从内存中删除素数。

这并不是勒索软件作者的错误,因为他们正确地使用了 Windows Crypto API。事实上,在我测试的情况下,在 Windows 10 中,"CryptReleaseContext"确实会清理内存(因此这种恢复技术不起作用)。在 Windows XP 下,它可以起作用,因为在这一版本中,"CryptReleaseContext"不会进行清理。此外,MSDN 还指出了这一点,对于此函数:"调用此函数后,已释放的 CSP 句柄不再有效。此函数不会销毁密钥容器或密钥对。"因此,似乎没有干净的方法。