Red‑Spider‑Lily 彼岸花开win勒索项目实现勒索仿真工具：C2 服务、进程守护、文件加密

很多人只听过勒索病毒，却很少完整看过一套仿真实现。今天给大家分享一个项目 Red‑Spider‑Lily（彼岸花）的Windows勒索模拟，包含客户端加密程序、Web C2 管控面板、Watchdog 进程守护、心跳上报、数据外泄模拟等全套能力。 ⚠️重要声明：本项目仅用于授权环境安全研究、学习防御对抗，禁止用于任何未授权真实环境。

这个桌面图标很喜欢，分享高清版给你看看：

图片演示：

watchdog.exe在这个项目中绝不只是一个简单的“看门狗”，它是一个具备工业级强度的进程守护与资源管理引擎。它的强大不仅在于能“复活”进程，更在于其智能感知、隐形潜伏和自我增殖的能力。直观感受它的设计精妙，我从5个维度拆解它的强悍之处：

传统的计划任务最快也要5分钟才能唤醒一次，而 watchdog.exe实现了 1秒级别的监控循环。

核心机制：它每隔 MONITOR_INTERVAL（默认1秒）轮询一次目标进程的 PID。
实战效果：你在任务管理器里结束 彼岸花开.exe，刚松手鼠标，它就被重新拉起来了。
很多守护进程只检查“进程是否存在”，而 watchdog.exe能检查“进程是否健康”。这是它最核心的高级功能。
它作为一个守护者，拒绝“抛头露面”。
它扮演了“父进程”的角色，建立了清晰的进程树管理逻辑。

单例锁（Singleton）：通过 PID 文件锁，保证系统中永远只有一个Watchdog 实例在运行，防止多个守护进程互相打架或资源浪费。
级联清理：当你运行 watchdog.exe --stop时，它会先干掉自己，然后顺带把被守护的 彼岸花开.exe也一并杀死。这保证了你不会在测试环境中留下“僵尸进程”。

无窗口运行：启动时带入了 CREATE_NO_WINDOW标志。
无托盘图标：你完全察觉不到它的存在。
系统目录寄生：运行时被释放到 %TEMP%RANSOM_WATCHDOG这种普通用户从不关注的临时目录。
结果：在任务管理器的“应用”列表里绝对找不到它，只有去“详细信息”或“后台进程”里才能发现它的踪迹。

一、项目整体架构

彼岸花开.exe（彼岸花开客户端）

文件 AES 加密
Watchdog 进程自守护（内嵌二进制释放到临时目录，秒级拉起）
C2 心跳上报、主机信息采集
弹窗勒索信、注册表 / 计划任务持久化

C2 服务端

Web 可视化控制面板
接收靶机心跳，展示感染主机列表、加密统计
支持远程解密下发指令
二进制自定义 payload 编解码

彼岸花开解密器.exe

参数	短参数	说明	默认值
`--target`	`-t`	必填，加密文件所在目录	—
`--key`	`-k`	手动指定解密密钥	—
`--victim-id`	手动指定受害者 ID（配合 `--from-c2`）	自动读取
`--from-c2`	从 C2 自动获取密钥	—
`--c2-port`	C2 端口	`8443`
`--full-cleanup`	解密后清理所有残留	关闭

自动查找 victim_id

解密器按以下顺序自动查找 victim_id，无需手动指定：

.encrypted
文件头（MARKER 后 16 字节）
%TEMP%RANSOMSIM_MARKERidentity.json
telemetry.json
勒索信文本文件

完整清理（--full-cleanup）

清理项	内容
注册表	删除 `HKCU...RunWindowsUpdateService`
计划任务	删除 `MicrosoftWindowsUpdateService`
勒索信	删除 `README_FOR_DECRYPT.txt`、`HOW_TO_DECRYPT.txt`
遥测数据	删除 `ransom_sim_telemetry.json`
标记目录	删除 `%TEMP%RANSOMSIM_MARKER`