搜索

[11345] 2017-05-14_【推广】永恒之蓝WannaCry详细分析报

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2017-05-14_【推广】永恒之蓝WannaCry详细分析报 【 推 广 】 永 恒 之 蓝 W a n n a C r y 详 细 分 析 报 瑞 星   F r e e B u f   2 0 1 7 - 0 5 - 1 4 2 0 1 7 年 5   月 1 2   日 晚 上 2 0   时 左 右 ， 全 球 爆 发 大 规 模 蠕 虫 勒 索 软 件 感 染 事 件 ， 仅 仅 几 个 小 时 内 ， 该 勒 索 软 件 已 经 攻 击 了 9 9 个 国 家 近 万 台 电 脑 。 英 国 、 美 国 、 俄 罗 斯 、 德 国 、 土 耳 其 、 意 大 利 、 中 国 、 菲 律 宾 等 国 家 都 已 中 招 ， 且 攻 击 仍 在 蔓 延 。   据 报 道 ， 勒 索 攻 击 导 致 1 6 家 英 国 医 院 业 务 瘫 痪 ， 西 班 牙 某 电 信 公 司 有 8 5 % 的 电 脑 感 染 该 恶 意 程 序 。 至 少 1 6 0 0 家 美 国 组 织 ， 1 1 2 0 0 家 俄 罗 斯 组 织 和 6 5 0 0 家 中 国 组 织 和 企 业 都 受 到 了 攻 击 。 国 内 也 有 大 量 教 学 系 统 瘫 痪 ， 包 括 校 园 一 卡 通 系 统 。 瑞 星 的 研 究 人 员 对 勒 索 软 件 进 行 详 细 的 分 析 ， 并 且 给 出 多 种 解 决 方 案 ， 包 括 “ 永 恒 之 蓝 ” 病 毒 免 疫 工 具 。 漏 洞 利 用 模 块 分 析 1 . 启 动 之 后 判 断 命 令 行 参 数 ， 是 否 已 经 释 放 文 件 。 如 果 没 有 释 放 文 件 则 释 放 文 件 ， 启 动 释 放 的 加 密 器 ， 把 自 身 设 置 为 服 务 。 图 - 创 建 服 务 病 毒 主 程 序   伪 装 为 微 软 安 全 中 心 图 - 伪 装 为 服 务 从 资 源 中 解 密 文 件
图 - 从 资 源 中 释 放 出 加 密 器 拼 凑 路 径 图 - 拼 凑 加 密 器 释 放 的 路 径 释 放 加 密 器 图 - 释 放 加 密 器 启 动 加 密 器
图 - 启 动 加 密 器 程 序 2 . 如 果 服 务 创 建 成 功 ， 则 启 动 服 务 进 入 服 务 函 数 ， 创 建 线 程   执 行 相 应 功 能 图 - 随 机 生 成 攻 击 I P 图 - 利 用 漏 洞 攻 击 生 成 的 I P 攻 击 线 程 中 构 造 e x p l o i t   发 送 漏 洞 利 用 程 序 数 据 包 复 制 s h e l l c o d e 图 - 构 造 漏 洞 利 用 数 据 包 发 送 数 据 包   利 用 漏 洞 攻 击 攻 击 生 成 的 I P 图 - 收 发 数 据 包 图 - 发 送 漏 洞 利 用 数 据 包 随 机 生 成 I P   攻 击 全 球 主 机
图 - 被 攻 击 I P 加 密 器 分 析 加 密 器 启 动 之 后 复 制 自 身 到 C : P r o g r a m D a t a d h o o d a d z a s k f l i p 3 7 3 （ 不 同 的 系 统 会 复 制 到 不 同 的 目 录 ） 目 录 下 图 - 复 制 自 身 并 启 动 创 建 服 务   使 用 c m d 命 令 启 动 自 身   防 止 被 结 束 进 程 创 建 服 务 图 - 创 建 服 务   防 止 被 结 束 各 参 数 信 息
图 - 服 务 信 息 创 建 互 斥 体   防 止 运 行 多 个 实 例 M s W i n Z o n e s C a c h e C o u n t e r M u t e x A 创 建 注 册 表 键 值 图 - 创 建 注 册 表 键 值 从 资 源 中 解 密 出 相 关 文 件 包 括 提 权 模 块 t a s k s e . e x e   、   清 空 回 收 站 模 块 t a s k d l . e x e 、 解 密 器 程 序 @ W a n a D e c r y p t o r @ 还 有 一 些   语 言 资 源 文 件 和   配 置 文 件 图 - 加 密 器 释 放 的 文 件 然 后 随 机 从 三 个 比 特 币 钱 包 中 选 取 一 个   作 为 勒 索 显 示 信 息
图 - 比 特 币 钱 包 地 址 把 释 放 的 文 件 夹   所 有 文 件   设 置 为 隐 藏 属 性 图 - 释 放 的 文 件 设 置 为 隐 藏 遍 历 查 找 文 件 图 - 遍 历 文 件 判 断 是 否 是 不 感 染 的 路 径 图 - 判 断 路 径 判 断 是 否 是 要 加 密 的 文 件 类 型
图 - 判 断 文 件 类 型 读 取 文 件 并 加 密 图 - 读 取 文 件 删 除 原 来 的 文 件   只 保 留 加 密 后 的 文 件 图 - 删 除 原 文 件 病 毒 会 加 密 指 定 类 型 的 文 件
图 - 加 密 的 文 件 类 型 加 密 后 的 文 件 添 加 后 缀   . W N C R Y T 图 - 被 加 密 的 文 件 后 缀 加 密 完 成 之 后 运 行 解 密 器   弹 出 勒 索 窗 口 解 密 器 分 析 解 密 器 运 行 之 后 会 删 除 w i n d o w s 自 动 备 份   无 法 还 原 被 加 密 的 文 件 图 - 删 除 备 份
修 改 桌 面 背 景   显 示 勒 索 信 息 图 - 勒 索 信 息 弹 出 勒 索 窗 口 ， 显 示 比 特 币 钱 包 地 址 和 付 款 金 额 图 - 勒 索 弹 窗
解 决 方 案 1 . 打 补 丁 由 于 此 次 勒 索 病 毒 大 范 围 传 播 是 由 于 很 多 机 器 没 有 打 补 丁 ， 被 攻 击 之 后 导 致 中 毒 。 没 有 中 毒 的 机 器 ， 尽 快 打 补 丁 可 以 避 免 中 毒 。 2 . 关 闭 端 口 由 于 此 漏 洞 需 要 利 用 4 4 5 端 口 传 播 ， 关 闭 端 口   漏 洞 就 无 法 利 用 关 闭 端 口 详 细 方 法 见 附 录 3 . 创 建 互 斥 体 由 于 加 密 器 ， 启 动 之 后 会 检 测 是 否 已 经 有 加 密 器 程 序 存 在 ， 防 止 互 相 之 间 干 扰 ， 所 以 会 创 建 互 斥 体 M s W i n Z o n e s C a c h e C o u n t e r M u t e x A 。 只 要 检 测 到 互 斥 体 存 在 就 会 关 闭 程 序 。 安 全 软 件 可 以 利 用 这 一 点   让 病 毒 运 行 之 后 自 动 退 出 ， 无 法 加 密 文 件 。 附 录 附 录   关 闭 端 口 方 法 关 闭 端 口 方 法 设 置 本 机 防 火 墙 策 略 阻 止 本 机 4 4 5 端 口 访 问 1 ） W i n d o w s X P   防 火 墙 设 置 方 法 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理