搜索

[11347] 2017-05-14_首发Wannacry勒索软件母体主程序逆向分析（含临时解决方案自动化工具）

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2017-05-14_首发Wannacry勒索软件母体主程序逆向分析（含临时解决方案自动化工具） 首 发   |   W a n n a c r y 勒 索 软 件 母 体 主 程 序 逆 向 分 析 （ 含 临 时 解 决 方 案 自 动 化 工 具 ） e x p s k y   F r e e B u f   2 0 1 7 - 0 5 - 1 4 声 明 ： 本 文 由 e x p s k y @ M S 5 0 9 T e a m 原 创 ， 仅 用 于 技 术 交 流 分 享 ,   转 载 请 注 明 来 自 F r e e B u f . C O M         W a n n a c r y 勒 索 软 件 的 背 景 大 家 都 知 道 了 ， 就 是 老 美 的 重 武 器 泄 漏 出 来 ， 结 果 被 其 他 人 捡 了 便 宜 所 利 用 。 类 似 这 样 的 事 情 几 年 前 我 在 以 前 的 公 司 也 做 过 ， 从 国 外 弄 来 的 高 级 样 本 ， 然 后 逆 向 后 改 良 成 自 己 的 产 品 。 毕 竟 这 些 高 级 货 能 原 创 出 来 的 人 太 少 了 ， 逆 向 分 析 下 改 造 改 造 这 个 擅 长 ^ _ ^         逆 向 分 析 好 了 ， 说 正 题 ， 我 从 这 里 下 载 了 W a n n a c r y 样 本 ， 一 些 枯 燥 的 汇 编 分 析 细 节 就 不 多 讲 ， 我 们 尽 量 快 速 的 了 解 到 整 体 过 程 。 首 先 会 通 过 一 个 函 数 算 出 一 个 标 识 ， 我 们 将 这 个 函 数 命 名 为 g e t D i s p l a y N a m e ， 本 质 就 是 通 过 G e t C o m p u t e r N a m e W 获 取 计 算 机 名 然 后 取 随 机 数 算 出 一 个 唯 一 对 应 的 标 识 （ 我 们 命 名 为 D i s p l a y N a m e ） ， 后 面 的 执 行 过 程 会 用 到 这 个 标 识 接 下 来 会 做 几 件 事 情 ， 任 意 一 项 未 执 行 成 功 都 会 退 出
检 查 命 令 行 参 数 是 否 为 两 个 ， 并 且 是 否 有 / i 这 个 参 数 检 查 并 尝 试 在 P r o g r a m D a t a 目 录   或   I n t e l 目 录   或           T e m p 系 统 临 时 目 录 下 创 建 前 面 算 出 的 D i s p l a y N a m e 为 标 识 的 目 录 将 这 个 工 作 目 录 设 置 为 6 也 就 是 0 × 2   和   0 × 4 （ F I L E _ A T T R I B U T E _ H I D D E N   和   F I L E _ A T T R I B U T E _ S Y S T E M   ） 隐 藏 和 系 统 创 建 自 身 的 副 本 并 命 名 为 t a s k s c h e . e x e
将 t a s k s c h e . e x e 优 先 以 服 务 方 式 启 动 ， 如 果 失 败 则 以 普 通 进 程 方 式 启 动 （ 副 本 启 动 的 入 口 点 和 原 始 文 件 启 动 的 入 口 点 不 同 ， 从 而 实 现 不 同 的 逻 辑 ） 通 过 互 斥 体 G l o b a l M s W i n Z o n e s C a c h e C o u n t e r M u t e x A 来 判 断 是 否 启 动 成 功 以 上 几 项 都 成 功 完 成 后 流 程 才 会 继 续 ， 否 则 终 止 。
        创 建 注 册 表 项 H K E Y _ L O C A L _ M A C H I N E S o f t w a r e W a n a C r y p t 0 r w d   ， 写 入 当 前 路 径 值
        从 资 源 中 释 放 P E 文 件 t a s k d l . e x e 、 t a s k s e . e x e ， 为 了 免 杀 ， 资 源 中 的 P E 文 件 是 加 了 密 的 ， 释 放 过 程 中 会 解 密 ， 比 较 繁 琐 会 给 释 放 的 资 源 传 一 个 类 似 k e y 之 类 的 参 数 过 去 ， 参 数 值 为 W N c r y @ 2 o l 7         然 后 在 当 前 目 录 下 读 取 c . w n r y 文 件
如 果 读 取 到 了 c . w n r y 文 件 ， 就 会 将 1 3 A M 4 V W 2 d h x Y g X e Q e p o H k H S Q u y 6 N g a E b 9 4 通 过 一 个 随 机 数 加 密 后 写 回 到 c . w n r y ， 而 这 一 串 数 字 就 是 黑 客 的 比 特 币 地 址 ， 也 就 是 说 c . w n r y 文 件 里 保 存 的 是 加 密 后 的 黑 客 的 比 特 币 地 址 上 图 就 是 c . w n r y 文 件 的 加 密 算 法 ， 这 个 加 密 很 简 单 ， 只 用 了 两 句 来 实 现 下 面 的 临 时 解 决 方 案 的 自 动 化 工 具 里 就 用 到 了 这 三 个 黑 客 的 比 特 币 地 址 执 行 这 两 句 命 令 a t t r i b 命 令 将 D i s p l a y N a m e 工 作 目 录 设 置 为 隐 藏 i c a c l s 命 令 开 放 目 录 的 用 户 权 限         接 下 来 是 动 态 获 取 所 需 的 A P I 地 址        
        首 先 是 获 取 k e r n e l 3 2 . d l l 中 的 文 件 相 关 的 A P I 然 后 是 获 取 a d v a p i 3 2 . d l l 中 的 加 解 密 相 关 的 A P I
C S P 用 的 是 系 统 默 认 或 者 是 R S A   a n d   A E S         加 密 文 件 以 W A N A C R Y ! 为 特 征 头 被 加 密 的 文 件 涉 及 到 各 种 文 档 、 文 本 、 虚 拟 机 、 压 缩 包 、 镜 像 、 图 片 、 视 频 、 音 乐 、 源 代 码 、 脚 本 、 数 据 库 、 邮 件 、 证 书 等 近 2 0 0 种 文 件 类 型 ， 几 乎 涵 盖 了 方 方 面 面 ， 但 确 没 有 B T 种 子 文 件 ， 看 来 黑 客 还 是 有 所 为 有 所 不 为 啊 ^ _ ^
临 时 解 决 方 案 自 动 化 工 具 网 上 流 传 了 一 个 临 时 解 决 方 案 的 思 路 是 ： 通 过 h t t p s : / / b t c . c o m / 可 以 查 询 到 交 易 记 录 ， 但 是 我 们 需 要 有 黑 客 的 收 款 地 址 ， 上 面 我 们 已 经 分 析 出 来 了 网 上 有 个 p y t h o n 的 自 动 化 脚 本 ， 这 里 再 优 化 一 下 ， 而 且 还 有 很 多 人 不 是 搞 I T 的 ， 不 懂 什 么 p y t h o n ， 于 是 做 了 一 个 傻 瓜 式 的 e x e 程 序 来 自 动 获 取 交 易 记 录 工 具 链 接 :   h t t p : / / p a n . b a i d u . c o m / s / 1 h s b w Q a C   密 码 :   p 2 6 3 结 尾
从 下 午 开 始 一 直 坐 在 电 脑 前 就 没 起 过 身 ， 分 析 、 码 字 、 写 工 具 ， 一 晃 现 在 都 到 半 夜 了 ， 搞 这 行 伤 不 起 啊 。 写 不 动 了 ， 今 天 先 休 息 了 。 不 过 也 能 猜 到 其 他 还 要 做 什 么 ， 就 是 扫 端 口 ， 找 到 开 放 了 4 4 5 端 口 S M B v 1 的 就 使 用 N S A 老 大 的 E t e r n a l b l u e   D o u b l e p u l s a r 实 现 蠕 虫 式 传 播 最 后 再 分 享 下 这 次 罪 魁 祸 首 的 工 具 ： h t t p s : / / g i t h u b . c o m / x 0 r z / E Q G R P _ L o s t _ i n _ T r a n s l a t i o n         h t t p s : / / g i t h u b . c o m / m i s t e r c h 0 c / s h a d o w b r o k e r         是 工 具 （ 没 有 源 码 ） ， 用 了 一 个 p y t h o n 攻 击 框 架 F u z z b u n c h 简 称 f b ， 这 个 框 架 怎 么 用 ， 可 以 看 这 里 h t t p : / / w w w . f r e e b u f . c o m / a r t i c l e s / s y s t e m / 1 3 3 8 5 3 . h t m l 微 软 的 补 丁 信 息 ： h t t p s : / / b l o g s . t e c h n e t . m i c r o s o f t . c o m / m s r c / 2 0 1 7 / 0 4 / 1 4 / p r o t e c t i n g - c u s t o m e r s - a n d - e v a l u a t i n g - r i s k / * 声 明 ： 本 文 由 e x p s k y @ M S 5 0 9 T e a m 原 创 ， 仅 用 于 技 术 交 流 分 享 ， 转 载 请 注 明 来 自 F r e e B u f . C O M         阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理