用wanakiwi解密被勒索病毒wanacry加密的文件

注意：
1.这不是数据恢复软件，而是真正意义上的解密
2.原理是wanacry加密文件后并没有立即删除密钥，所以有一定几率可以在内存里找到密钥。
3.只适用于被加密过后不久、且没有重启过的电脑，所以，大部分人的还是……

上VMware

拔网线……啊不，删网卡
加内存（内存太小容易失败）

首先……准备好病毒样本和wanakiwi。
……以及一些随便拖来的图片压缩包还有记事本。

运行wnry.exe
嗯……

在桌面上运行wanakiwi

会提示开始搜索内存。
成功了会直接导出密钥，失败了就如下图所示。

（第一次内存才开1G,太小了失败）
成功了是这样:

密钥收集完成

点Check Paymet居然提示我付款成功了！exm，我明明还在断网啊……
可能它只是检查了解密的000000.dky文件而已。

不多说了，上车，解密

解密后的文件全部恢复正常

解密就这样结束了……
最可恶的事情就是……wanadecrypt0r这玩意解密了居然不自动销毁，桌面还是那个敲诈壁纸，敲诈消息还是继续弹窗置顶。

（以下是LZ在病毒吧发的，估计不适合卡巴基佬，不过LZ也懒得写适合卡巴基佬们看的文字了，凑合着看看吧）
=======================================
顺便提一下第一次失败的原因……
虚拟机母机自身占用内存太多，虚拟机内存太小。
也就是说，内存小于2G的电脑很有可能就算没有重启电脑也还是没办法恢复，大于2G内存的如果开了太多的别的占内存的东西也还是一样会把内存中的密钥给覆盖掉。
*建议:
遇上wanacry病毒立即停止使用电脑，不要关机，退出所有别的应用程序。然后使用wanakiwi碰碰运气。
当然最有用的预防办法还是养成良好的使用电脑的习惯，不要嫌麻烦吧WIndows Update给关了。对电脑不太熟悉的还是建议安装杀毒软件，