語言分析發現 | WannaCry勒索軟體背後的開發者可能是中國人？

Flashpoint的兩位研究員Jon Condra和John Costello稱，從語言的角度分析，WannaCry勒索軟體背後的開發者可能來自說中文的國家。

近期Wannacry勒索病毒肆虐全球，由於病毒利用了Windows系統的網路服務(SMB)漏洞，具有主動傳播的特性，在全球範圍內已經對多家醫院、服務機構、學校等進行了勒索攻擊，該病毒在全球的廣泛傳播最近幾年實屬罕見。

在病毒獲得大家關注的同時， 病毒的來源也引發了大家的猜測，病毒爆發後，Google、卡巴斯基和賽門鐵克等公司安全研究者相繼發布消息稱，WannaCry勒索蠕蟲與朝鮮黑客組織Lazarus存在聯繫，他們的分析基於惡意軟體代碼中的相似性。不過也有人認為，這場攻擊並不符合朝鮮的作風，也不符合朝鮮利益。

勒索軟體語言文件基於英語和中文

來自Flashpoint的研究員則從語言的角度嘗試溯源。勒索軟體中的提示信息提供了28種不同的語言，包括挪威語，波蘭語，葡萄牙語，羅馬尼亞語，挪威語，俄語，印尼語，義大利語，荷蘭語，英語，菲律賓語，芬蘭語，保加利亞語，繁體中文，簡體中文，俄語，斯洛伐克語，西班牙語，瑞典語。經過分析，研究人員認為病毒開發者中文和英語都非常流利。

研究人員認為所有其他的語言文件都基於英語和中文，其他語言都是由英語翻譯而來存在很多錯誤和不準確的翻譯，除了中文。

中文的勒索信息與其他語言的勒索信息截然不同。中文勒索信息使用了正確的語法、標點和句法，而且應該是用中文（拼音）輸入法寫的。

Flashpoint的研究人員發現，繁體中文和簡體中文的勒索信息相比英語更長，格式也不同，很多信息在其他語言中是沒有的。

比如「就算老天爺來了也不能恢復這些文檔」在英文的勒索信息中只是」Nobody can recover your files without our decryption service.」而「請您放心，我是絕不會騙你的」則完全沒有出現在英語版本中。

信息的撰寫者能夠用中文表達錯綜複雜的意思。這樣看來，至少勒索信息的撰寫者一定懂中文，並且不太可能是中文愛好者。其實從以下兩張圖中的勒索信息我們可以看出，勒索軟體作者中文十級（儘管有一些中文表達並不通順，但我們也不能排除作者故意假裝外國人的可能性）：

中文勒索信息

英語勒索信息

關鍵發現

儘管英文版的勒索信息寫的也很好，撰寫者英語不錯，但是信息中還是存在語法錯誤，這表明作者母語不是英語，或者受教育程度不高。

另一方面，Flashpoint的研究人員將中英文的勒索信息放到Google翻譯中進行了比較，但實際上我們作為中國人，一眼就能看出中文勒索信息不可能翻譯自英文。

勒索信息中的筆誤也與我們的結論相互驗證，比如信息中出現了「幫組」，實際應為「幫助」。

通過對勒索信息中的一些用語進行分析，我們其實可以進一步縮小範圍。比如勒索信息中用到了「禮拜」，這個用法更多出現在中國南方、香港、台灣或者新加坡。而「殺毒軟體」則是大陸的用語，港台地區則會使用「防毒軟體（軟體）」。

除此之外，小編在網上看到了一些信息，雖然真假未知，但也可能表明勒索軟體作者與中國存在某種特殊關係。

*參考來源：

SecurityWeek，

本文作者：Sphinx，轉載請註明來自FreeBuf（FreeBuf.COM）

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！