卡巴斯基实验室指出，NotPetya并不是上周唯一利用M.E.Doc更新机制感染目标的恶意软件：山寨版WannaCry勒索软件利用同样的渠道进行传播。

“冒牌”得“有模有样”

6月27日感染M.E.Doc用户的勒索软件被称为“FakeCry”，也就是NotPetya爆发当天。卡巴斯基表示，FakeCry通过父进程ezvit.exe在M.E.Doc目录中作为ed.exe运行，也就是说，这款勒索软件的传递机制与NotPetya一致。

“made in China”最强背锅,勒索软件FakeCry“各种冒牌”有何目的?-E安全

FakeCry用.Net编写，并使用了“WNCRY”字符串，显然是想跟WannaCry沾边，同样，其中还存在一个“被遗忘”的PDB路径。

中国躺枪

FakeCry还伪装自己是“中国制造”，但这种冒充行为被研究人员识破。

上个月，一些安全研究人员认为，WannaCry的幕后黑手是朝鲜黑客，而也有专家认为，WannaCry不是朝鲜黑客的风格。Flashpoint公司对28封WannaCry勒索信进行语言分析后认为，攻击者中文流利，似乎还懂英文。

WannaCry通过“永恒之蓝”(EternalBlue)Windows漏洞利用进行传播，而FakeCry使用丢弃器(Dropper)，其作为wc.exe在磁盘保存。该Dropper可以执行几种命令：

丢弃勒索软件组件;

开始加密，

开始解密;

密钥(加密公共密钥和机密私钥);

演示(借助硬编码RSA密钥加密或解密)。

另一方面，这款勒索软件的组件能生成RSA-2048密钥对，加密/解密文件，加密/解密磁，盘，并删除被感染设备上的卷影副本(Shadow Copy)。执行时，这款恶意软件首先会删除卷影副本，之后初始化密钥，创建加密文件列表，处理加密文件，并显示勒索窗口。

冒牌货可加密170余种文件类型

研究人员表示，FakeCry可以加密大约170种文件类型。如果使用具有针对性的文件，攻击者还可以杀死进程，解锁文件。这款软件使用Handler Viewer Sysinternals工具完成任务。FakeCry还包含仅含有图像文件(jpg、jpeg、png、tif、gif和bmp)的扩展列表，攻击者可利用该列表免费解密。

FakeCry的勒索信与WannaCry类似。FakeCry索要的赎金为0.1比特币(约1042元)，并在所有感染中使用相同的钱包号码(迄今为止，此钱包收到7笔赎金)。这款勒索软件使用Tor命令与控制服务器。

还会不会有别的FakeCry?

卡巴斯基指出，ExPetr/Petya不是唯一通过MeDoc更新传播的恶意软件。与此同时，另一勒索软件FakeCry也在感染MeDoc用户。约90个被攻击的组织机构收到了FakeCry勒索软件，这些组合机构几乎均位于乌克兰。

乌克兰当局本周宣布突击调查了M.E.Doc服务器，他们担心NotPetya背后的网络犯罪分子仍在使用这些资源。乌克兰官员发布官方公告建议，用户关闭所有运行M.E.Doc软件的电脑，及时修改密码和电子数字签名。

考虑到这两款恶意软件家族同时通过相同的媒介感染目标，这表明，这两起活动可能有关联。但是，安全研究人员尚未明确将两者关联起来。