搜索

[7626] 2021-07-01_对勒索病毒的逆向分析

文档创建者：s7ckTeam
浏览次数：12
最后更新：2025-01-17
2021-07-01_对勒索病毒的逆向分析 对 勒 索 病 毒 的 逆 向 分 析 F 1 2 s e c   2 0 2 1 - 0 7 - 0 1 以 下 文 章 来 源 于 小 道 安 全   ， 作 者 小 道 安 全 样 本 分 析 准 备 样 本 分 析 准 备 基 础 知 识 ： 基 础 知 识 ： 1 . 需 要 具 备 一 定 的 开 发 能 力 2 . 熟 悉 汇 编 语 言 3 . P E 文 件 结 构 的 掌 握 工 具 使 用 ： 工 具 使 用 ： 熟 练 掌 握 以 下 常 用 工 具 的 功 能 ， 基 于 以 下 工 具 展 开 详 细 分 析 ， 可 以 对 病 毒 样 本 进 行 一 个 详 细 流 程 和 功 能 分 析 ， 从 而 分 析 还 原 出 关 键 的 病 毒 功 能 ， 及 研 究 对 应 的 对 抗 方 案 。 样 本 分 析 流 程 样 本 分 析 流 程 小 道 安 全 小 道 安 全   . 以 安 全 开 发 、 逆 向 破 解 、 黑 客 技 术 、 病 毒 技 术 、 灰 黑 产 攻 防 为 基 础 ， 兼 论 程 序 研 发 相 关 的 技 术 点 滴 分 享 。
对 一 个 病 毒 样 本 或 者 软 件 详 细 分 析 ， 一 般 可 以 通 过 五 个 步 骤 进 行 分 析 样 本 功 能 ： 样 本 基 本 属 性 、 样 本 结 构 、 样 本 静 态 分 析 、 样 本 功 能 行 为 监 控 、 样 本 动 态 分 析 。 基 于 以 上 的 五 个 步 骤 基 本 上 可 以 分 析 出 详 细 的 样 本 功 能 实 现 。 样 本 基 本 信 息 样 本 基 本 信 息 通 过 P E I D 、 E x e I n f o P E 工 具 分 析 出 样 本 的 几 个 基 本 属 性 。 通 过 H a s h e r 工 具 可 以 分 析 出 样 本 的 M D 5 、 s h a 1 、 C R C 3 2 的 属 性 值 。 P E I D 、 、 E x e I n f o P E 两 个 工 具 原 理 ： 两 个 工 具 原 理 ： 通 过 解 析 P E 文 件 结 构 解 析 出 样 本 的 区 段 信 息 、 通 过 匹 配 征 码 方 式 匹 配 出 样 本 是 否 加 壳 、 加 什 么 壳 ， 样 本 开 发 语 言 和 开 发 工 具 。
样 本 功 能 分 析 样 本 功 能 分 析 病 毒 样 本 功 能 可 以 从 几 个 维 度 分 析 ： 自 启 动 病 毒 样 本 功 能 可 以 从 几 个 维 度 分 析 ： 自 启 动 ( 服 务 器 ， 注 册 表 服 务 器 ， 注 册 表 ) 、 释 放 文 件 、 网 络 通 信 、 加 密 解 密 、 释 放 文 件 、 网 络 通 信 、 加 密 解 密 。 主 要 通 过 静 态 I D A 分 析 和 动 态 o l l y d b g 分 析 相 结 合 ， 通 过 I D A 分 析 出 样 本 中 的 流 程 结 构 （ 也 重 点 关 注 下 导 入 表 信 息 ， 字 符 串 信 息 ） ， 然 后 再 针 对 每 个 函 数 进 行 分 析 ， 函 数 中 的 参 数 传 递 和 返 回 值 信 息 通 过 o l l y d b g 工 具 附 加 下 断 点 进 行 动 态 调 试 分 析 。 以 下 流 程 图 是 整 个 病 毒 样 本 的 功 能 流 程 ， 主 要 就 是 进 行 系 统 服 务 操 作 ， 利 用 微 软 的 S M B 漏 洞 进 行 4 4 5 端 口 漏 洞 的 尝 试 、 释 放 真 正 的 勒 索 病 毒 样 本 。
样 本 在 样 本 在 I D A 工 具 中 的 工 具 中 的 m a i n 函 数 的 流 程 结 构 函 数 的 流 程 结 构 样 本 入 口 函 数 的 关 键 功 能 函 数 实 现 的 解 析 样 本 入 口 函 数 的 关 键 功 能 函 数 实 现 的 解 析
恶 意 代 码 功 能 解 析 恶 意 代 码 功 能 解 析 开 始 对 开 始 对 4 4 5 端 口 漏 洞 尝 试 功 能 解 析 端 口 漏 洞 尝 试 功 能 解 析
进 行 内 网 进 行 内 网 4 4 5 端 口 漏 洞 尝 试 功 能 实 现 解 析 端 口 漏 洞 尝 试 功 能 实 现 解 析 进 行 外 网 进 行 外 网 4 4 5 端 口 漏 洞 尝 试 功 能 实 现 解 析 端 口 漏 洞 尝 试 功 能 实 现 解 析
漏 洞 尝 试 的 效 果 展 示 漏 洞 尝 试 的 效 果 展 示 释 放 真 正 的 勒 索 病 毒 文 件 释 放 真 正 的 勒 索 病 毒 文 件 通 过 从 应 用 程 序 的 资 源 部 分 进 行 释 放 出 病 毒 样 本 e x e 和 d l l 模 块 ， 并 将 样 本 的 e x e 和 d l l 模 块 释 放 到 C 盘 的 w i n d o w s 目 录 下 ， 以 伪 装 成 为 系 统 程 序 。
释 放 样 本 文 件 效 果 展 示 释 放 样 本 文 件 效 果 展 示 通 过 p r o c m o n 工 具 ， 并 进 行 针 对 病 毒 样 本 进 程 进 行 监 控 ， 可 以 实 际 监 控 到 样 本 释 放 文 件 的 操 作 。
释 放 勒 索 病 毒 功 能 梳 理 释 放 勒 索 病 毒 功 能 梳 理 释 放 出 来 的 样 本 在 释 放 出 来 的 样 本 在 I D A 中 展 示 中 展 示 m a i n 函 数 的 流 程 结 构 （ 直 接 用 拖 入 方 式 即 可 ） 函 数 的 流 程 结 构 （ 直 接 用 拖 入 方 式 即 可 ） 样 本 样 本 m a i n 函 数 流 程 中 的 关 键 函 数 进 行 解 析 函 数 流 程 中 的 关 键 函 数 进 行 解 析
样 本 中 将 比 特 币 账 号 采 用 硬 编 码 方 式 直 接 写 在 代 码 中 样 本 中 将 比 特 币 账 号 采 用 硬 编 码 方 式 直 接 写 在 代 码 中 采 用 微 软 的 加 解 密 算 法 ， 通 过 调 用 系 统 采 用 微 软 的 加 解 密 算 法 ， 通 过 调 用 系 统 C r y p t D e c r y p t 和 和 C r y p t D e c r y p t 函 数 用 于 进 行 加 解 密 函 数 用 于 进 行 加 解 密 Z I P 文 件 。 文 件 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理