勒索病毒加密通用流程:

  ① 密钥生成
     随机数生成器(CSPRNG) / C2远程下发 → 生成对称密钥(AES/ChaCha20)
     → 对称密钥长度: AES-128(16B) / AES-256(32B) / ChaCha20(32B)

  ② 密钥封装
     对称密钥 → RSA/ECC公钥加密 → 密文密钥(仅攻击者私钥可解)
     → RSA封装: C = M^e mod N (M=对称密钥, e=公钥指数, N=模数)
     → ECC封装: 共享密钥 = d_A × Q_B (ECDH密钥协商)

  ③ 文件遍历与加密
     遍历文件系统 → 跳过系统关键文件 → 对称加密每个文件
     → AES-CBC: C_i = E_K(P_i ⊕ C_{i-1}), C_0 = IV
     → AES-CTR: C_i = P_i ⊕ E_K(Counter+i)
     → ChaCha20: C_i = P_i ⊕ ChaCha20(Key, Nonce, Counter+i)
     → 加密后修改文件后缀 → 写入勒索信

  ④ 密钥销毁
     内存清零(SecureZeroMemory) → 删除卷影副本(vssadmin)
     → 覆写原始文件 → 擦除密钥残留痕迹

  ⑤ 勒索通知
     桌面壁纸修改 → 勒索信(含Tor支付链接) → 倒计时威胁

AES加密流程 (以AES-128为例):
  输入: 128位明文P, 128位密钥K
  输出: 128位密文C

  ① 密钥扩展 (Key Expansion)
     K → RoundKeys[0..10] (11个128位轮密钥)
     每轮使用Rijndael密钥调度算法派生

  ② 初始轮密钥加 (AddRoundKey)
     State = P ⊕ RoundKeys[0]

  ③ 主轮循环 (Round 1-9, 每轮4步):
     a) SubBytes:  S盒代换 (基于GF(2⁸)上的乘法逆元)
                     S(x) = A·x⁻¹ + b (A为8×8矩阵, b=0x63)
     b) ShiftRows: 行移位 (第i行左移i字节)
     c) MixColumns: 列混合 (基于GF(2⁸)上多项式乘法)
                     c(x) = {03}x³ + {01}x² + {01}x + {02}
     d) AddRoundKey: State ⊕ RoundKeys[i]

  ④ 最终轮 (Round 10, 无MixColumns):
     SubBytes → ShiftRows → AddRoundKey → C

AES-CBC模式 (勒索软件最常用):
  C_0 = IV (16字节随机初始化向量)
  C_i = AES_Encrypt_K(P_i ⊕ C_{i-1})
  解密: P_i = AES_Decrypt_K(C_i) ⊕ C_{i-1}

AES-CTR模式 (并行加密,更快):
  C_i = P_i ⊕ AES_Encrypt_K(Nonce || Counter+i)
  解密: P_i = C_i ⊕ AES_Encrypt_K(Nonce || Counter+i)
  → 注意: CTR模式加密和解密操作完全相同!

ChaCha20加密流程:
  输入: 256位密钥K, 96位Nonce, 明文P
  输出: 密文C

  ① 初始状态矩阵 (4×4, 每元素32位):
     State[0]  = \"expa\"    State[1]  = \"nd 3\"    State[2]  = \"2-by\"    State[3]  = \"te k\"
     State[4..7] = K[0..3]  (密钥, 128位)
     State[8..11] = K[4..7]  (密钥, 128位)
     State[12] = Counter   State[13..15] = Nonce[0..2]

  ② 20轮Quarter Round运算 (10次双轮):
     每轮包含4次 Quarter Round:
     a += b;  d ^= a;  d <<<= 16
     c += d;  b ^= c;  b <<<= 12
     a += b;  d ^= a;  d <<<= 8
     c += d;  b ^= c;  b <<<= 7
     (其中 += 是模2³²加法, ^= 是XOR, <<< 是循环左移)

  ③ 生成密钥流:
     KeyStream_i = State + ChaCha20_Round(State, Counter+i)

  ④ 加密:
     C_i = P_i ⊕ KeyStream_i  (逐字节异或)
     解密: P_i = C_i ⊕ KeyStream_i  (加密=解密,对称操作)

Salsa20核心函数:
  与ChaCha20的区别:
  - Quarter Round中循环左移位数不同: (7,12,17,19) vs ChaCha20的(16,12,8,7)
  - 初始状态矩阵排列不同
  - 安全性: Salsa20/20(20轮)仍安全,但ChaCha20更优(扩散更快)

NotPetya中的Salsa20:
  密钥 = 硬编码种子 ⊕ 当前时间戳
  加密目标 = NTFS MFT (主文件表)
  → Salsa20(Key, Nonce=0, MFT_data)
  → MFT加密后文件系统瘫痪,文件无法定位

RSA密钥生成:
  ① 选择两个大素数 p, q (各1024/2048位)
  ② 计算 N = p × q (模数, 2048/4096位)
  ③ 计算欧拉函数 φ(N) = (p-1)(q-1)
  ④ 选择公钥指数 e (通常65537 = 2¹⁶+1)
  ⑤ 计算私钥指数 d = e⁻¹ mod φ(N)
  → 公钥: (e, N)    私钥: (d, N)

RSA加密 (密钥封装):
  C = M^e mod N
  其中 M = 对称密钥(AES/ChaCha20 Key)
  → C写入文件尾部或勒索信

RSA解密 (需私钥):
  M = C^d mod N
  → 无私钥则需分解N=p×q (RSA-1024可行, RSA-2048+不可行)

RSA-OAEP填充 (现代实现):
  M_pad = OAEP_Encode(M, seed)
  C = M_pad^e mod N
  → OAEP提供语义安全性,防止选择密文攻击

ECC密钥协商 (ECDH, LockBit 3.0使用):
  曲线: secp256k1 (y² = x³ + 7 mod p)
  → 与比特币使用相同曲线

  ① 攻击者生成长期密钥对: (d_A, Q_A = d_A × G)
  ② 每次感染生成临时密钥对: (d_B, Q_B = d_B × G)
  ③ 共享密钥: K = d_A × Q_B = d_B × Q_A = d_A × d_B × G
  ④ 用K派生AES/ChaCha20密钥: HKDF-SHA256(K, salt, info)

  优势 vs RSA-2048:
  - 密钥更短: 256位ECC ≈ 3072位RSA安全强度
  - 运算更快: 椭圆曲线点乘 vs 大数模幂
  - 带宽更小: 公钥仅33字节(compressed) vs RSA 256字节

PBKDF2 (GlobeImposter 4.0使用):
  DK = T1 ∥ T2 ∥ ... ∥ Tdklen/hlen
  Ti = F(Password, Salt, c, i)
  F(Password, Salt, c, i) = U1 ⊕ U2 ⊕ ... ⊕ Uc
  U1 = PRF(Password, Salt ∥ INT(i))
  Uj = PRF(Password, U_{j-1})
  → c=迭代次数(越大越慢), Salt=盐值(硬编码则可提取)

HKDF (LockBit 3.0使用):
  ① Extract: PRK = HMAC-Hash(salt, IKM)
  ② Expand: OKM = T(1) ∥ T(2) ∥ ...
     T(i) = HMAC-Hash(PRK, T(i-1) ∥ info ∥ i)
  → IKM=输入密钥材料, salt=设备UUID, info=\"LOCKBIT3\"
  → 输出: ChaCha20密钥(32字节)