根据这篇分析，病毒开始加密时并不需要回传密钥，只有在检查赎金是否支付时才需要连上 Tor，然后透过 Tor 检查是否已经支付赎金、上传加密过的 RSA 私钥。

@geelaw 360 已经出分析了：
http://bobao.360.cn/learning/detail/3853.html
真是丧病，每一台受害机器都用新生成的 RSA 密钥对，而且每一个文件都用新生成的 AES 密钥，如果做得点水不漏，就算 dump 内存都只能解救一个文件。

@ouqihang 我觉得卡巴的分析好像不太严谨，SMBv1 都打成 SMBv2 了……

@opnb 正解。
亲测双击弹 UAC，但 TCP 445 端口传染时，受害机器 UAC 开到顶也不会弹。

@gdtv
不够安全，如果你的宿主系统没打补丁，不安全，而且直接给试毒的虚拟机分配了网卡，那就 GG 了。

我觉得不是这个专业的还是别瞎折腾了……现在信息噪音已经很大了，各种谣言飞起。

去 FreeBuf 看看吧：
http://www.freebuf.com/vuls/134508.html
没 GUI，但简单粗暴有效……

@Laforet 为啥我看最近才装的 Win10 15063 虚拟机里 SMBv1 是安装的？虽然安装了，实际上也是禁用的么？

@gdtv
我也只是外行啊……我说的仅供参考。
TPM 如果没设 PIN，或者即使开了 PIN，但对方拿到电脑时还没关机，那理论上可能被冷冻内存法直接 dump 内存找出密钥。对了，还有硬件加密没考虑，也许硬盘支持硬件加密，内存里就没密钥了，可能更安全一些。
如果真的对安全要求那么高，那系统安全也得把守住，否则可能被键盘记录、mimikatz 之类手段搞到密码（复杂密码也可能泄露啊）。而且，如果平时使用时，系统有漏洞，或者自己手贱了，中了木马，也会 GG。

打补丁，装杀软（开勒索防护！很多是默认不开勒索防护的），用路由器，平时不作死。

@gdtv U 盘有解锁密码啊，直接 manage-bde 命令就解开了。如果没有 EFS 之类保护，文件就随便拷了。

据说是 NSA 提前通知微软补洞了，所以才没成为全版本 Windows 通杀漏洞。
蜜汁更新干掉了 Shadow Brokers 的 0day：
https://arstechnica.com/security/2017/04/purported-shadow-brokers-0days-were-in-fact-killed-by-mysterious-patch/

@netfee 我说的可能有点误导……
想直接提取 EFS 的密钥，必须让目标账户登录一下。没有目标账户的密码，目标账户没登录的话，私钥也是不会被解密的，有管理员权限（比如用 WinPE 开启 Administrator 账号）也没用。

@wevsty 系统盘必须加密，否则……就我知道的，蓝屏 dump，还有休眠文件 hiberfil.sys 就有可能被拿去 dump 内存、读取密钥了。

@netfee 如果登录密码足够靠谱，没泄露也不会被暴力猜解，那 EFS 和 BitLocker 都足够靠谱，除非对方可以通过液氮冷却等方法 dump 内存。

@netfee
随手一搜： https://zh.scribd.com/doc/130070110/Extracting-Encryption-keys-from-RAM
不过有些硬盘支持加密，可能这样就可以避免从内存中 dump 密钥的问题。
EFS 的问题和这个差不多吧，好像直接拿 SYSTEM 账户打开 certmgr.msc 就可以看到私钥的样子。

MyWifiAP ？