crypter

crypter是一個PE32 executable for MS Windows (GUI) Intel 80386 32-bit 疑似病毒檔案。

檔案名稱稱：crypter.exe
檔案大小：19968byte
檔案類型：PE32 executable for MS Windows (GUI) Intel 80386 32-bit
檔案來源：冰雹暴力強制視頻軟體.exe（qq強制視頻軟體）
間諜軟體: 否
病毒: 未知
木馬: 未知（各大防毒軟體對其定位不一）
系統進程: 否
伴隨檔案：zero.exe,冰雹暴力V2.3.exe
crypter 是加密解密QQ訊息的工具類. QQ訊息的加密算法是一個16次的疊代過程，並且是反饋的，每一個加密單元是8位元組，輸出也是8位元組，密鑰是16位元組。我們以prePlain表示前一個明文塊，plain表示當前明文塊，crypt表示當前明文塊加密得到的密文塊，preCrypt表示前一個密文塊，f表示加密算法，d表示解密算法 那么從plain得到crypt的過程是: crypt = f(plain ˆ preCrypt) ˆprePlain 所以，從crypt得到plain的過程自然是 plain = d(crypt ˆ prePlain) ˆpreCrypt 此外，算法有它的填充機制，其會在明文前和明文後分別填充一定的位元組數，以保證明文長度是8位元組的倍數。
填充的位元組數與原始明文長度有關，填充的方法是:
a = (明文長度 + 10) mod 8
if(a 不等於 0) a = 8 - a;
b = 隨機數 & 0xF8 | a; 這個的作用是把a的值保存了下來
plain[0] = b; 然後把b做為明文的第0個位元組，這樣第0個位元組就保存了a的信息，這個信息在解密時就要用來找到真正明文的起始位置
plain[1 至 a+2] = 隨機數 & 0xFF; 這裡用隨機數填充明文的第1到第a+2個位元組
plain[a+3 至 a+3+明文長度-1] = 明文; 從a+3位元組開始才是真正的明文
plain[a+3+明文長度, 最後] = 0; 在最後，填充0，填充到總長度為8的整數為止。到此為止，結束了，這就是最後得到的要加密的明文內容