黑月教主解密工具最早是黑月在一个私密论坛里看到的。帖子标题写得含糊，教主解密附件是工具个压缩包，解压密码藏在回复可见里。黑月下载完打开一看，教主解密界面粗糙得像是工具2005年的产物——灰底白字，三个输入框，黑月一个按钮。教主解密但就是工具这东西，能把黑月教主加密过的黑月配置文件还原成明文。

黑月教主本身是教主解密个挺有意思的案例。2019年前后，工具一批安卓恶意样本开始用自定义的黑月异或加位移算法加密C2通信内容。算法不难，教主解密但变种多，工具每个样本的密钥偏移量都不一样。手动分析一个样本大概要花两三个小时，写脚本又得针对每个变种改代码。当时有个做应急响应的朋友跟我抱怨，说周末全搭进去了。

解密工具的核心逻辑其实就一层壳。它把已知的十二种密钥派生方式全写进了配置表，用户把样本里的密文和疑似密钥串贴进去，工具遍历所有组合，输出可读结果。听起来笨，但管用。我试过一个2020年的样本，密文是一串base64，密钥藏在assets目录下的一个so文件里。工具跑了不到两秒，明文就出来了——是个IP地址加路径，指向东南亚某台服务器。

有意思的是工具作者的处理方式。他在代码注释里写了一句“给不想读汇编的人”。这话有底气。逆向黑月教主的加密流程确实不需要读汇编，因为它的密钥生成逻辑几乎没变过，只是外层套了不同的混淆。工具作者应该是把每个变种的密钥生成函数用Frida hook了一遍，记录输入输出，反推出规律。这种“动态提取+静态归纳”的路子，比纯静态分析快得多。

不过工具也有局限。2021年之后出现的几个变种用了运行时动态生成的密钥，每次启动都不同。工具就无能为力了，只能解出前几个字节的明文，后面全是乱码。作者在更新日志里承认了这点，建议用户配合内存dump使用。这算是诚实。

我拿它解过一批钓鱼样本的配置文件。有个样本的C2域名被加密成了一段看似随机的字符串，工具解出来是“update.office-verify[.]com”。域名注册时间比样本出现时间早了三个月，说明攻击者提前做了准备。这种时间线上的细节，靠人工分析很容易漏掉，但工具批量处理时一眼就能看出来。

工具本身不联网，所有运算都在本地完成。这点很重要。分析恶意样本时，任何外连都可能暴露分析环境。作者显然清楚这个场景，连更新检查都没做。界面上的“关于”按钮点开只有一行字：“别问，用就行。”

现在这个工具还在更新，但频率低了。黑月教主的活动也少了，最近半年没看到新变种。不过那些旧样本还在流通，应急响应时偶尔还会遇到。工具就放在那里，像一把旧钥匙，不常用，但需要的时候能省不少事。

我把它放在虚拟机的一个固定目录里，旁边是几个常用的脱壳机和内存取证工具。每次新建分析环境，第一个装的就是它。没什么特别的原因，就是习惯了。界面还是那么粗糙，但按钮按下去，结果出来，干净利落。