搜索

[11368] 2017-05-20_WannaCry勒索病毒详细解读

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2017-05-20_WannaCry勒索病毒详细解读 W a n n a C r y 勒 索 病 毒 详 细 解 读 腾 讯 电 脑 管 家   F r e e B u f   2 0 1 7 - 0 5 - 2 0 2 0 1 7 年 年 5 月 月 1 2 日 ， 日 ， W a n n a C r y 蠕 虫 通 过 蠕 虫 通 过 M S 1 7 - 0 1 0 漏 洞 在 全 球 范 围 大 爆 发 ， 感 染 了 大 量 的 计 算 机 ， 该 蠕 虫 感 染 计 算 机 后 会 向 计 算 机 中 植 入 敲 诈 者 病 毒 ， 导 致 电 脑 大 量 文 件 被 加 密 。 腾 讯 电 脑 管 家 对 其 进 行 详 漏 洞 在 全 球 范 围 大 爆 发 ， 感 染 了 大 量 的 计 算 机 ， 该 蠕 虫 感 染 计 算 机 后 会 向 计 算 机 中 植 入 敲 诈 者 病 毒 ， 导 致 电 脑 大 量 文 件 被 加 密 。 腾 讯 电 脑 管 家 对 其 进 行 详 细 分 析 ， 分 析 纲 要 如 下 ： 细 分 析 ， 分 析 纲 要 如 下 ： 一 、 病 毒 概 况 二 、 病 毒 详 细 分 析 1 、 m s s e c s v c . e x e 行 为 2 、 t a s k s c h e . e x e 行 为 （ 敲 诈 者 ） 3 、 解 密 程 序 4 、 文 件 列 表 及 作 用 三 、 W a n a c r y 加 解 密 过 程 深 入 分 析 1 、 文 件 加 密 2 、 文 件 删 除 及 擦 写 逻 辑 3 、 文 件 擦 写 方 案 4 、 详 细 加 密 流 程 5 、 解 密 过 程 6 、 分 析 及 调 试 验 证 四 、 变 种 及 关 联 样 本 五 、 安 全 建 议 六 、 比 特 币 支 付 以 及 解 密 流 程 七 、 比 特 币 和 洋 葱 网 络 一 、 病 毒 概 况 一 、 病 毒 概 况 一 、 病 毒 概 况 一 、 病 毒 概 况 W a n n a C r y 病 毒 利 用 前 阵 子 泄 漏 的 方 程 式 工 具 包 中 的 “ 永 恒 之 蓝 ” 漏 洞 工 具 ， 进 行 网 络 端 口 扫 描 攻 击 ， 目 标 机 器 被 成 功 攻 陷 后 会 从 攻 击 机 下 载 W a n n a C r y 病 毒 进 行 感 染 ， 并 作 为 攻 击 机 再 次 扫 描 互 联 网 和 局 域 网 其 他 机 器 ， 形 成 蠕 虫 感 染 ， 大 范 围 超 快 速 扩 散 。 病 毒 母 体 为 m s s e c s v c . e x e ， 运 行 后 会 扫 描 随 机 i p 的 互 联 网 机 器 ， 尝 试 感 染 ， 也 会 扫 描 局 域 网 相 同 网 段 的 机 器 进 行 感 染 传 播 。 此 外 ， 会 释 放 敲 诈 者 程 序 t a s k s c h e . e x e ， 对 磁 盘 文 件 进 行 加 密 勒 索 。 病 毒 加 密 使 用 A E S 加 密 文 件 ， 并 使 用 非 对 称 加 密 算 法 R S A   2 0 4 8 加 密 随 机 密 钥 ， 每 个 文 件 使 用 一 个 随 机 密 钥 ， 理 论 上 不 可 破 解 。 二 、 病 毒 详 细 分 析 二 、 病 毒 详 细 分 析 二 、 病 毒 详 细 分 析 二 、 病 毒 详 细 分 析 1 、 、 m s s e c s v c . e x e 行 为 行 为 1 ） 开 关 病 毒 在 网 络 上 设 置 了 一 个 开 关 ， 当 本 地 计 算 机 能 够 成 功 访 问 h t t p : / / w w w . i u q e r f s o d p 9 i f j a p o s d f j h g o s u r i j f a e w r w e r g w e a . c o m 时 ， 退 出 进 程 ， 不 再 进 行 传 播 感 染 。 目 前 该 域 名 已 被 安 全 公 司 接 管 。
2 ） 蠕 虫 行 为 通 过 创 建 服 务 启 动 ， 每 次 开 机 都 会 自 启 动 。 从 病 毒 自 身 读 取 M S 1 7 _ 0 1 0 漏 洞 利 用 代 码 ， p l a y l o a d 分 为 x 8 6 和 x 6 4 两 个 版 本 。 创 建 两 个 线 程 ， 分 别 扫 描 内 网 和 外 网 的 I P ， 开 始 进 程 蠕 虫 传 播 感 染 。 对 公 网 随 机 i p 地 址 4 4 5 端 口 进 行 扫 描 感 染 。 对 于 局 域 网 ， 则 直 接 扫 描 当 前 计 算 机 所 在 的 网 段 进 行 感 染 。
感 染 过 程 ， 尝 试 连 接 4 4 5 端 口 。 如 果 连 接 成 功 ， 则 对 该 地 址 尝 试 进 行 漏 洞 攻 击 感 染 。 3 ） 释 放 敲 诈 者 2 、 、 t a s k s c h e . e x e 行 为 （ 敲 诈 者 ） 行 为 （ 敲 诈 者 ） 解 压 释 放 大 量 敲 诈 者 模 块 及 配 置 文 件 ， 解 压 密 码 为 W N c r y @ 2 o l 7 首 先 关 闭 指 定 进 程 ， 避 免 某 些 重 要 文 件 因 被 占 用 而 无 法 感 染 。
遍 历 磁 盘 文 件 ， 避 开 含 有 以 下 字 符 的 目 录 。 P r o g r a m D a t a I n t e l W I N D O W S P r o g r a m   F i l e s P r o g r a m   F i l e s   ( x 8 6 ) A p p D a t a L o c a l T e m p L o c a l   S e t t i n g s T e m p T h i s   f o l d e r   p r o t e c t s   a g a i n s t   r a n s o m w a r e .   M o d i f y i n g   i t   w i l l   r e d u c e   p r o t e c t i o n 同 时 ， 也 避 免 感 染 病 毒 释 放 出 来 的 说 明 文 档 。 病 毒 加 密 流 程 图 ：
遍 历 磁 盘 文 件 ， 加 密 以 下 1 7 8 种 扩 展 名 文 件 ： . d o c ,   . d o c x ,   . x l s ,   . x l s x ,   . p p t ,   . p p t x ,   . p s t ,   . o s t ,   . m s g ,   . e m l ,   . v s d ,   . v s d x ,   . t x t ,   . c s v ,   . r t f ,   . 1 2 3 ,   . w k s ,   . w k 1 ,   . p d f ,   . d w g ,   . o n e t o c 2 ,   . s n t ,   . j p e g ,   . j p g ,   . d o c b ,   . d o c m ,   . d o t ,   . d o t m ,   . d o t x ,   . x l s m ,   . x l s b ,   . x l w ,   . x l t ,   . x l m ,   . x l c ,   . x l t x ,   . x l t m ,   . p p t m ,   . p o t ,   . p p s ,   . p p s m , . p p s x ,   . p p a m ,   . p o t x ,   . p o t m ,   . e d b ,   . h w p ,   . 6 0 2 ,   . s x i ,   . s t i ,   . s l d x ,   . s l d m ,   . s l d m ,   . v d i ,   . v m d k ,   . v m x ,   . g p g ,   . a e s ,   . A R C ,   . P A Q ,   . b z 2 ,   . t b k ,   . b a k ,   . t a r ,   . t g z ,   . g z ,   . 7 z ,   . r a r ,   . z i p ,   . b a c k u p ,   . i s o ,   . v c d ,   . b m p ,   . p n g ,   . g i f ,   . r a w ,   . c g m ,   . t i f ,   . t i f f ,   . n e f ,   . p s d ,   . a i ,   . s v g , . d j v u ,   . m 4 u ,   . m 3 u ,   . m i d ,   . w m a ,   . f l v ,   . 3 g 2 ,   . m k v ,   . 3 g p ,   . m p 4 ,   . m o v ,   . a v i ,   . a s f ,   . m p e g ,   . v o b ,   . m p g ,   . w m v ,   . f l a ,   . s w f ,   . w a v ,   . m p 3 ,   . s h ,   . c l a s s ,   . j a r ,   . j a v a ,   . r b ,   . a s p ,   . p h p ,   . j s p ,   . b r d ,   . s c h ,   . d c h ,   . d i p ,   . p l ,   . v b ,   . v b s ,   . p s 1 ,   . b a t ,   . c m d ,   . j s ,   . a s m ,   . h ,   . p a s ,   . c p p , . c ,   . c s ,   . s u o ,   . s l n ,   . l d f ,   . m d f ,   . i b d ,   . m y i ,   . m y d ,   . f r m ,   . o d b ,   . d b f ,   . d b ,   . m d b ,   . a c c d b ,   . s q l ,   . s q l i t e d b ,   . s q l i t e 3 ,   . a s c ,   . l a y 6 ,   . l a y ,   . m m l ,   . s x m ,   . o t g ,   . o d g ,   . u o p ,   . s t d ,   . s x d ,   . o t p ,   . o d p ,   . w b 2 ,   . s l k ,   . d i f ,   . s t c ,   . s x c ,   . o t s ,   . o d s ,   . 3 d m ,   . m a x ,   . 3 d s ,   . u o t ,   . s t w ,   . s x w , . o t t ,   . o d t ,   . p e m ,   . p 1 2 ,   . c s r ,   . c r t ,   . k e y ,   . p f x ,   . d e r 程 序 中 内 置 两 个 R S A   2 0 4 8 公 钥 ， 用 于 加 密 ， 其 中 一 个 含 有 配 对 的 私 钥 ， 用 于 演 示 能 够 解 密 的 文 件 ， 另 一 个 则 是 真 正 的 加 密 用 的 密 钥 ， 程 序 中 没 有 相 配 对 的 私 钥 。 病 毒 随 机 生 成 一 个 2 5 6 字 节 的 密 钥 ， 并 拷 贝 一 份 用 R S A 2 0 4 8 加 密 ， R S A 公 钥 内 置 于 程 序 中 。 构 造 文 件 头 ， 文 件 头 中 包 含 有 标 志 、 密 钥 大 小 、 R S A 加 密 过 的 密 钥 、 文 件 大 小 等 信 息 。
使 用 C B C 模 式 A E S 加 密 文 件 内 容 ， 并 将 文 件 内 容 写 入 到 构 造 好 的 文 件 头 后 ， 保 存 成 扩 展 名 为 . W N C R Y 的 文 件 ， 并 用 随 机 数 填 充 原 始 文 件 后 再 删 除 ， 防 止 数 据 恢 复 。 完 成 所 有 文 件 加 密 后 释 放 说 明 文 档 ， 弹 出 勒 索 界 面 ， 需 支 付 价 值 数 百 美 元 不 等 的 比 特 币 到 指 定 的 比 特 币 钱 包 地 址 ， 三 个 比 特 币 钱 包 地 址 硬 编 码 于 程 序 中 。 1 1 5 p 7 U M M n g o j 1 p M v k p H i j c R d f J N X j 6 L r L n 1 2 t 9 Y D P g w u e Z 9 N y M g w 5 1 9 p 7 A A 8 i s j r 6 S M w 1 3 A M 4 V W 2 d h x Y g X e Q e p o H k H S Q u y 6 N g a E b 9 4 3 、 解 密 程 序 、 解 密 程 序 病 毒 解 密 程 序 中 内 置 了 其 中 一 个 公 钥 的 配 对 私 钥 ， 可 以 用 于 解 密 使 用 该 公 钥 加 密 的 几 个 文 件 ， 用 于 向 用 户 “ 证 明 ” 程 序 能 够 解 密 文 件 ， 诱 导 用 户 支 付 比 特 币 。
此 后 ， 程 序 判 断 本 地 是 否 存 在 “ 0 0 0 0 0 0 0 0 . d k y ” 文 件 ， 该 文 件 为 真 实 解 密 所 需 私 钥 文 件 。 若 存 在 ， 则 通 过 解 密 测 试 文 件 来 检 测 密 钥 文 件 是 否 正 确 。 若 正 确 ， 则 解 密 。 若 错 误 或 不 存 在 ， 病 毒 将 程 判 断 解 压 后 的 T o r 目 录 下 是 否 存 在 t a s k h s v c . e x e 。 若 不 存 在 ， 则 生 成 该 文 件 ， 并 且 调 用 C r e a t e P r o c e s s A 拉 起 该 进 程 ： 该 程 序 主 要 为 t o r 匿 名 代 理 工 具 ， 该 工 具 启 动 后 会 监 听 本 地 9 0 5 0 端 口 ， 病 毒 通 过 本 地 代 理 通 信 实 现 与 服 务 器 连 接 。 在 点 击 “ C h e c k   P a y m e n t ” 按 钮 后 ， 由 服 务 端 判 断 是 否 下 发 解 密 所 需 私 钥 。 若 私 钥 下 发 ， 则 会 在 本 地 生 成 解 密 所 需 要 的 d k y 文 件 。 而 后 ， 程 序 便 可 利 用 该 d k y 文 件 进 行 解 密 。 不 过 ， 到 目 前 为 止 ， 未 曾 有 解 密 成 功 的 案 例 。 4 、 文 件 列 表 及 作 用 、 文 件 列 表 及 作 用
b . w n r y :   中 招 敲 诈 者 后 桌 面 壁 纸 c . w n r y :   配 置 文 件 ， 包 含 洋 葱 域 名 、 比 特 币 地 址 、 t o r 下 载 地 址 等 r . w n r y :   提 示 文 件 ， 包 含 中 招 提 示 信 息 s . w n r y :   z i p 文 件 ， 包 含 T o r 客 户 端 t . w n r y :   解 密 后 得 到 加 密 程 序 所 需 的 d l l 文 件 u . w n r y :   解 密 程 序 （ 敲 诈 者 主 界 面 ） f . w n r y :   可 免 支 付 解 密 的 文 件 列 表 W N C Y R T :   加 密 过 程 中 生 成 的 ， 有 的 被 随 机 擦 写 过 、 有 的 是 原 文 件 、 有 的 只 对 文 件 头 进 行 了 处 理 W N C R Y :   加 密 后 的 文 件 三 、 三 、 W a n a c r y 加 解 密 过 程 深 入 分 析 加 解 密 过 程 深 入 分 析 三 、 三 、 W a n a c r y 加 解 密 过 程 深 入 分 析 加 解 密 过 程 深 入 分 析 勒 索 软 件 一 个 核 心 重 点 是 其 加 解 密 过 程 ， 接 下 来 我 们 对 加 解 密 和 擦 写 逻 辑 进 行 详 细 分 析 。 1 、 文 件 加 密 、 文 件 加 密 1 ） 文 件 是 使 用 A E S 进 行 加 密 的 。   2 ） 加 密 文 件 所 使 用 的 A E S 密 钥 （ A E S K E Y ） 是 随 机 生 成 的 ， 即 每 个 文 件 所 使 用 的 密 钥 都 是 不 同 的 。   3 ） A E S K E Y 通 过 R S A 加 密 后 ， 保 存 在 加 密 后 文 件 的 文 件 头 中 。   4 ） 敲 诈 者 会 根 据 文 件 类 型 、 大 小 、 路 径 等 来 判 断 文 件 对 用 户 的 重 要 性 ， 进 而 选 择 对 重 要 文 件 的 先 行 进 行 加 密 并 擦 写 原 文 件 ， 对 认 为 不 太 重 要 的 文 件 ， 仅 作 删 除 处 理 。 2 、 文 件 删 除 及 擦 写 逻 辑 、 文 件 删 除 及 擦 写 逻 辑 1 ） 对 于 桌 面 、 文 档 、 所 有 人 桌 面 、 所 有 人 文 档 四 个 文 件 夹 下 小 于 2 0 0 M 的 文 件 ， 均 进 行 加 密 后 擦 写 原 文 件 。   2 ） 对 于 其 他 目 录 下 小 于 2 0 0 M 的 文 件 ， 不 会 进 行 擦 写 ， 而 是 直 接 删 除 ， 或 者 移 动 到 b a c k 目 录 （ C 盘 下 的 “ % T E M P % ” 文 件 夹 ， 以 及 其 他 盘 符 根 目 录 下 的 “ $ R E C Y C L E ” 文 件 夹 ） 中 。   3 ） 移 动 到 b a c k 后 ， 的 文 件 重 命 名 为 % d . W N C R Y T ， 加 密 程 序 每 3 0 秒 调 用 t a s k d l . e x e 对 b a c k 目 录 下 的 这 些 文 件 定 时 删 除 。   4 ） 对 于 大 于 2 0 0 M 的 文 件 ， 在 原 文 件 的 基 础 上 将 文 件 头 部 6 4 K B 移 动 到 尾 部 ， 并 生 成 加 密 文 件 头 ， 保 存 为 “ W N C R Y T ” 文 件 。 而 后 ， 创 建 “ W N C R Y ” 文 件 ， 将 文 件 头 写 入 ， 进 而 按 照 原 文 件 大 小 ， 对 该 “ W N C R Y ” 文 件 进 行 填 充 。 3 、 文 件 擦 写 方 案 、 文 件 擦 写 方 案 1 ） 先 重 写 尾 部 1 k 。   2 ） 判 断 大 小 后 重 写 尾 部 4 k 。   3 ） 从 文 件 头 开 始 每 2 5 6 k 填 充 一 次 。   4 ） 填 写 的 内 容 为 随 机 数 或 0 x 5 5 。 4 、 详 细 加 密 流 程 、 详 细 加 密 流 程 总 结 密 钥 及 加 密 关 系 大 致 如 下 ： 1 ） 程 序 加 密 过 程 中 ， 动 态 加 载 的 d l l 里 含 有 两 个 公 钥 （ K E Y B L O B 格 式 ） ， 这 里 分 别 记 为 P K 1 和 P K 2 。 其 中 P K 2 用 于 加 密 部 分 文 件 的 A E S K E Y ， 并 将 该 部 分 加 密 文 件 的 路 径 存 放 在 f . w n r y 中 ， 这 些 文 件 是 可 以 直 接 解 密 的 （ D K 2 也 存 在 与 可 执 行 文 件 中 ） 。 而 P K 1 用 于 加 密 D K 3 （ 见 后 文 介 绍 ） 。  
2 ） 解 密 程 序 u . w n r y （ 即 界 面 程 序 @ W a n a D e c r y p t o r @ . e x e ） 中 包 含 有 一 个 私 钥 （ K E Y B L O B 格 式 ） ， 该 私 钥 与 P K 2 配 对 ， 记 为 D K 2 。 该 D K 2 用 于 解 密 f . w n r y 中 记 录 的 文 件 。   3 ） 程 序 在 每 次 运 行 时 ， 会 随 机 生 成 一 组 公 私 钥 ， 用 于 。 记 为 P K 3 、 D K 3 。 其 中 P K 3 保 存 在 本 地 ， 主 要 用 于 加 密 各 文 件 加 密 时 随 机 生 成 的 A E S K E Y 。 而 D K 3 则 由 P K 1 加 密 后 保 存 在 本 地 ， 文 件 名 为 0 0 0 0 0 0 0 0 . e k y 。 5 、 解 密 过 程 、 解 密 过 程 1 ） f . w n r y 中 记 录 的 文 件 ， 主 要 使 用 D K 2 完 成 解 密 。   2 ） 其 余 文 件 若 需 要 解 密 ， 则 需 点 击 c h e c k   p a y m e n t 后 ， 通 过 T o r 将 本 地 0 0 0 0 0 0 0 0 . e k y 、 0 0 0 0 0 0 0 0 . r e s 文 件 信 息 上 传 到 服 务 端 ， 由 服 务 端 使 用 作 者 自 己 保 存 的 D K 1 解 密 后 ， 下 发 得 到 D K 3 ， 本 地 保 存 为 0 0 0 0 0 0 0 0 . d k y 。   3 ） 得 到 D K 3 后 ， 即 可 完 成 对 磁 盘 中 其 余 文 件 的 解 密 。 6 、 分 析 及 调 试 验 证 、 分 析 及 调 试 验 证 将 t a s k s c h e . e x e 拖 到 i d a 里 可 以 发 现 ， 其 加 解 密 用 到 的 是 系 统 自 带 A P I ， 通 过 G e t P r o c A d d r e s s 来 获 取 地 址 动 态 调 用 的 。 于 是 ， 就 可 以 以 此 为 突 破 口 来 进 行 分 析 。 1 ） 密 钥 分 发 过 程 a .   导 入 密 钥 D K 2 ， 存 放 于 0 0 1 5 4 8 3 0 b .   解 密 t . w n r y 解 密 得 到 的 t . w n r y 实 则 为 一 个 D L L 文 件 ， 该 文 件 负 责 文 件 加 密 操 作 。
c .   D L L 线 程 导 入 P K 1 ， 存 放 于 0 0 1 6 B E 1 8 d .   生 成 P K 3 、 D K 3 e .   导 出 P K 3 导 出 后 ， 会 调 用 w r i t e f i l e 在 本 地 生 成 0 0 0 0 0 0 0 0 . p k y 。 f .   使 用 P K 1 加 密 D K 3 由 上 图 可 以 匹 配 P K 3 和 D K 3 。 加 密 后 ， 会 调 用 w r i t e f i l e 在 本 地 生 成 0 0 0 0 0 0 0 0 . e k y 。   至 此 ， 验 证 了 密 钥 生 成 关 系 。 2 ） 文 件 加 密 a .   导 入 P K 3 ， 放 到 0 0 1 6 D 9 5 0 b .   导 入 P K 2 ， 放 到 0 0 1 6 E 5 1 0 c .   生 成 A E S K E Y ， 并 使 用 P K 3 加 密 生 成 随 机 A E S K E Y ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理