搜索

[11371] 2017-05-21_WanaCrypt0r“想哭”勒索蠕虫数据恢复可行性分析报告

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-18
2017-05-21_WanaCrypt0r“想哭”勒索蠕虫数据恢复可行性分析报告 W a n a C r y p t 0 r “ 想 哭 ” 勒 索 蠕 虫 数 据 恢 复 可 行 性 分 析 报 告 3 6 0 安 全 卫 士   F r e e B u f   2 0 1 7 - 0 5 - 2 1 目 录 目 录 第 一 章   前 言 … 第 二 章   加 密 文 件 核 心 流 程 分 析 … 第 三 章   数 据 恢 复 可 行 性 分 析 … 第 四 章   总 结 … 第 一 章 第 一 章   前 言 前 言 近 日 ， 近 日 ， 3 6 0 互 联 网 安 全 中 心 发 现 全 球 多 个 国 家 和 地 区 的 机 构 及 个 人 电 脑 遭 受 到 了 一 款 新 型 勒 索 软 件 攻 击 ， 并 于 互 联 网 安 全 中 心 发 现 全 球 多 个 国 家 和 地 区 的 机 构 及 个 人 电 脑 遭 受 到 了 一 款 新 型 勒 索 软 件 攻 击 ， 并 于 5 月 月 1 2 日 国 内 日 国 内 率 先 发 布 紧 急 预 警 。 该 款 勒 索 软 件 在 短 时 间 内 在 全 球 范 围 内 爆 发 了 广 泛 的 攻 击 活 动 ， 据 不 完 全 统 计 ， 它 在 爆 发 后 的 几 个 小 率 先 发 布 紧 急 预 警 。 该 款 勒 索 软 件 在 短 时 间 内 在 全 球 范 围 内 爆 发 了 广 泛 的 攻 击 活 动 ， 据 不 完 全 统 计 ， 它 在 爆 发 后 的 几 个 小 时 内 就 迅 速 攻 击 了 时 内 就 迅 速 攻 击 了 9 9 个 国 家 的 近 万 台 设 备 ， 并 在 大 量 企 业 组 织 和 个 人 间 蔓 延 。 外 媒 和 多 家 安 全 公 司 将 其 命 名 为 个 国 家 的 近 万 台 设 备 ， 并 在 大 量 企 业 组 织 和 个 人 间 蔓 延 。 外 媒 和 多 家 安 全 公 司 将 其 命 名 为 “ W a n a C r y p t 0 r ” （ 直 译 ： （ 直 译 ： “ 想 哭 勒 索 蠕 虫 想 哭 勒 索 蠕 虫 ” ） 。 ） 。 通 常 ， 常 规 的 勒 索 病 毒 是 一 种 趋 利 明 显 的 恶 意 程 序 ， 它 会 使 用 非 对 称 加 密 算 法 加 密 受 害 者 电 脑 内 的 重 要 文 件 并 以 此 来 进 行 勒 索 ， 向 受 害 者 索 要 赎 金 ， 除 非 受 害 者 交 出 勒 索 赎 金 ， 否 则 被 加 密 的 文 件 无 法 被 恢 复 。 而 新 型 勒 索 软 件 的 “ 想 哭 勒 索 蠕 虫 ” 尤 其 致 命 ， 它 利 用 了 窃 取 自 美 国 国 家 安 全 局 的 黑 客 工 具 E t e r n a l B l u e （ 直 译 ： “ 永 恒 之 蓝 ” ） 实 现 了 全 球 范 围 内 的 快 速 传 播 ， 在 短 时 间 内 造 成 了 巨 大 损 失 。 继 5 月 1 2 日 W a n a C r y p t 0 r 全 球 攻 击 爆 发 以 来 ， 3 6 0 核 心 安 全 部 门 对 该 勒 索 蠕 虫 保 持 了 高 度 关 注 ， 部 门 各 团 队 紧 密 协 作 ， 首 家 发 布 了 一 系 列 针 对 该 蠕 虫 的 查 杀 、 免 疫 和 文 件 恢 复 解 决 方 案 。 3 6 0 核 心 安 全 部 门 追 日 团 队 深 入 分 析 病 毒 原 理 ， 发 现 了 其 加 密 数 据 最 精 准 的 恢 复 技 术 ， 使 用 此 技 术 3 6 0 在 全 球 独 家 发 布 了 “ 想 哭 勒 索 蠕 虫 数 据 恢 复 工 具 ” ， 帮 助 病 毒 受 害 者 恢 复 被 蠕 虫 加 密 文 件 ， 可 以 达 到 目 前 最 全 最 快 的 数 据 恢 复 效 果 ， 我 们 希 望 本 篇 技 术 报 告 可 以 帮 助 大 家 了 解 该 蠕 虫 的 核 心 技 术 原 理 ， 并 对 恢 复 被 加 密 数 据 的 可 行 性 做 进 一 步 探 讨 。 第 二 章 第 二 章   加 密 文 件 核 心 流 程 分 析 加 密 文 件 核 心 流 程 分 析 蠕 虫 释 放 一 个 加 密 模 块 到 内 存 ， 直 接 在 内 存 加 载 该 D L L 。 D L L 导 出 一 个 函 数 T a s k S t a r t 用 于 启 动 整 个 加 密 的 流 程 。 程 序 动 态 获 取 文 件 系 统 和 加 密 相 关 的 A P I 函 数 ， 以 此 来 躲 避 静 态 查 杀 。
1 .   加 密 入 口 加 密 入 口 l   调 用 S H G e t F o l d e r P a t h W 获 取 了 桌 面 和 文 档 文 件 夹 的 路 径 ， 调 用 1 0 0 0 4 A 4 0 函 数 获 得 非 当 前 用 户 的 桌 面 和 文 档 文 件 夹 ， 分 别 调 用 E n c r y p t F o l d e r 对 文 件 夹 进 行 加 密 操 作 l   从 Z 倒 序 遍 历 盘 符 直 到 C ， 遍 历 两 次 ， 第 一 次 遍 历 本 地 盘 符 （ 跳 过 光 驱 ） ， 第 二 次 遍 历 移 动 盘 符 ， 分 别 调 用 E n c r y p t F o l d e r 对 文 件 夹 进 行 加 密 操 作 2 .   文 件 遍 历 文 件 遍 历 l   E n c r y p t F o l d e r 函 数 是 一 个 递 归 函 数 ， 递 归 遍 历 文 件 夹 ， 按 照 下 图 的 描 述 搜 集 文 件 信 息 ：
遍 历 过 程 中 排 除 的 路 径 或 者 文 件 夹 名 称 ： 其 中 有 一 个 很 有 意 思 的 目 录 名 “   T h i s   f o l d e r   p r o t e c t s   a g a i n s t   r a n s o m w a r e .   M o d i f y i n g   i t   w i l l r e d u c e   p r o t e c t i o n ” ， 通 过 G o o g l e 查 询 ， 发 现 其 是 国 外 的 一 款 名 为 r a n s o m f r e e 的 勒 索 防 御 软 件 创 建 的 防 御 目 录 。 l   在 遍 历 文 件 的 过 程 中 ， 会 获 取 文 件 信 息 （ 大 小 等 ） ， 并 且 根 据 后 缀 名 使 用 下 表 的 规 则 对 文 件 进 行 分 类 （ t y p e ） ： t y p e 列 表 1 ：
t y p e 列 表 2 ： 3 .   文 件 处 理 队 列 文 件 处 理 队 列 W a n a C r y p t 0 r 为 了 能 尽 快 的 加 密 其 认 为 重 要 的 用 户 文 件 ， 设 计 了 一 套 复 杂 的 优 先 级 队 列 。 队 列 优 先 级 ： i .   对 t y p e 2 （ 满 足 后 缀 列 表 1 ） 进 行 加 密 （ 小 于 0 × 4 0 0 的 文 件 会 降 低 优 先 级 ） i i .   对 t y p e 3 （ 满 足 后 缀 列 表 2 ） 进 行 加 密 （ 小 于 0 × 4 0 0 的 文 件 会 降 低 优 先 级 ） i i i .   处 理 剩 下 的 文 件 （ 小 于 0 × 4 0 0 的 文 件 ） ， 或 者 其 他 一 些 文 件 4 .   加 密 逻 辑 加 密 逻 辑 加 密 过 程 采 用 R S A + A E S 的 方 式 完 成 ， 其 中 R S A 加 密 过 程 使 用 了 微 软 的 C r y p t o A P I ， A E S 代 码 则 静 态 编 译 到 D L L 中 。 加 密 流 程 如 下 图 所 示 ：
使 用 的 密 钥 概 述 ： 加 密 后 的 文 件 格 式 示 意 ： 值 得 注 意 的 是 ， 在 加 密 过 程 中 ， 程 序 会 随 机 选 取 一 部 分 文 件 使 用 内 置 的 R S A 公 钥 来 进 行 加 密 ， 这 里 的 目 的 是 解 密 程 序 提 供 的 免 费 解 密 部 分 文 件 功 能 。
能 免 费 解 密 的 文 件 路 径 在 文 件 f . w n r y 中 ， 如 下 ： 5 .   随 机 数 填 充 随 机 数 填 充 在 完 成 加 密 之 后 ， W a n a C r y p t 0 r 会 对 其 认 为 重 要 的 文 件 进 行 随 机 数 填 充 ， 然 后 将 文 件 移 动 到 指 定 的 临 时 文 件 夹 目 录 然 后 删 除 。 此 举 用 于 对 抗 文 件 恢 复 类 软 件 ， 同 时 兼 顾 加 密 文 件 的 速 度 。 被 随 机 数 填 充 的 文 件 需 要 满 足 以 下 几 点 ： n   在 特 殊 目 录 （ 桌 面 ， 我 的 文 档 ， 用 户 文 件 夹 ） n   文 件 小 于 2 0 0 M n   文 件 后 缀 在 t y p e 列 表 1 填 充 的 逻 辑 ： n   如 果 文 件 小 于 0 × 4 0 0 , 直 接 覆 盖 对 应 长 度 的 随 机 数 。 n   如 果 文 件 大 于 0 × 4 0 0 , 对 文 件 距 离 末 尾 0 × 4 0 0 处 进 行 覆 盖 。 n   再 次 重 定 位 文 件 指 针 到 文 件 头 ， 以 0 × 4 0 0 0 0 大 小 的 缓 冲 区 为 单 位 向 写 随 机 数 直 到 文 件 末 尾 。
6 .   文 件 删 除 操 作 W a n a C r y p t 0 r 首 先 尝 试 将 样 本 移 动 到 临 时 文 件 夹 ， 生 成 一 个 临 时 文 件 ， 然 后 再 尝 试 多 种 方 法 删 除 文 件 。 当 采 用 遍 历 磁 盘 的 方 式 加 密 文 件 的 时 候 ， 会 在 当 前 盘 符 生 成 “ $ R E C Y C L E ” +   全 局 自 增 量 + ” . W N C Y R T ” ( e g ： ” D : $ R E C Y C L E 1 . W N C R Y T ” ) 的 临 时 文 件 。 特 别 的 ， 当 盘 符 为 系 统 盘 （ e g ： C ） 时 ， 使 用 的 是 系 统 的 临 时 目 录 （ % t e m p % ） 。 之 后 进 程 以 固 定 时 间 间 隔 启 动 t a s k d l . e x e 来 删 除 临 时 文 件 夹 下 的 文 件 。 第 三 章 第 三 章   数 据 恢 复 可 行 性 分 析 数 据 恢 复 可 行 性 分 析 根 据 对 W a n n a C r y 蠕 虫 的 执 行 逻 辑 进 行 分 析 ， 该 蠕 虫 在 加 密 线 程 中 会 对 满 足 条 件 的 文 件 用 随 机 数 或 0 × 5 5 进 行 覆 写 ， 从 而 彻 底 破 坏 文 件 的 结 构 并 防 止 数 据 被 恢 复 ， 但 是 只 限 定 于 特 定 的 文 件 夹 和 特 定 的 后 缀 名 。 也 就 是 说 该 蠕 虫 只 对 满 足 条 件 的 文 件 进 行 了 写 覆 写 操 作 ， 受 害 者 机 器 上 仍 然 有 很 多 的 文 件 未 被 覆 写 ， 这 就 为 数 据 恢 复 提 供 了 可 能 。 在 删 除 线 程 中 ， 蠕 虫 是 先 将 源 文 件 通 过 M o v e F i l e E x 函 数 移 动 到 其 创 建 的 临 时 文 件 夹 下 ， 最 后 统 一 进 行 删 除 。 在 这 个 过 程 中 源 文 件 的
文 件 名 会 发 生 改 变 ， 常 规 数 据 恢 复 软 件 不 知 道 这 个 文 件 操 作 逻 辑 ， 导 致 大 部 分 文 件 无 法 恢 复 ， 只 能 恢 复 小 部 分 文 件 ， 恢 复 数 据 效 果 极 差 。 另 一 方 面 ， 因 为 删 除 操 作 和 加 密 操 作 在 不 同 的 线 程 中 ， 受 用 户 环 境 的 影 响 ， 线 程 间 的 条 件 竞 争 可 能 存 在 问 题 ， 从 而 导 致 移 动 源 文 件 的 操 作 失 败 ， 使 得 文 件 在 当 前 位 置 被 直 接 删 除 ， 在 这 种 情 况 下 被 加 密 的 文 件 有 很 大 概 率 可 以 进 行 直 接 恢 复 。 但 是 满 足 这 种 情 形 的 文 件 毕 竟 是 少 数 ， 如 果 采 用 常 规 数 据 恢 复 软 件 则 只 能 恢 复 少 量 此 类 文 件 。 根 据 以 上 分 析 ， 我 们 发 现 了 除 系 统 盘 外 的 文 件 ， 用 我 们 精 细 化 处 理 的 方 法 进 行 数 据 恢 复 ， 被 加 密 的 文 件 其 实 是 有 很 大 概 率 可 以 完 全 恢 复 的 。 据 此 3 6 0 开 发 了 专 门 的 恢 复 工 具 2 . 0 版 ， 以 期 帮 助 在 此 次 攻 击 中 广 大 的 受 害 者 恢 复 加 密 数 据 ： h t t p : / / d l . 3 6 0 s a f e . c o m / r e c o v e r y / R a n s o m R e c o v e r y . e x e ? f r o m = 3 6 0 z h u i r i 继 1 4 日 凌 晨 3 6 0 全 球 首 家 发 布 恢 复 工 具 ， 为 病 毒 受 害 者 抢 救 了 部 分 文 件 后 。 此 次 更 新 发 布 2 . 0 版 工 具 进 一 步 挖 掘 病 毒 加 密 逻 辑 漏 洞 ， 清 除 病 毒 防 止 二 次 感 染 ， 并 利 用 多 重 算 法 深 度 关 联 出 可 恢 复 文 件 并 对 受 害 者 的 文 件 进 行 免 费 解 密 ， 一 站 式 解 决 蠕 虫 勒 索 软 件 带 来 的 破 坏 ， 最 大 程 度 低 保 护 了 用 户 的 数 据 安 全 ， 成 功 率 遥 遥 领 先 于 其 他 数 据 恢 复 类 产 品 ！ 第 四 章 第 四 章   总 结 总 结 W a n n a C r y 蠕 虫 的 大 规 模 爆 发 得 益 于 其 利 用 了 M S - 1 7 - 0 1 0 漏 洞 ， 使 得 其 在 传 统 的 勒 索 病 毒 的 基 础 上 具 备 了 自 我 复 制 、 主 动 传 播 的 特 性 。 在 除 去 攻 击 荷 载 的 情 况 下 ， 勒 索 病 毒 最 重 要 的 是 其 勒 索 技 术 框 架 。 勒 索 文 件 加 密 技 术 是 使 用 非 对 称 加 密 算 法 R S A - 2 0 4 8 加 密 A E S 密 钥 ， 然 后 每 个 文 件 使 用 一 个 随 机 A E S - 1 2 8 对 称 加 密 算 法 加 密 ， 在 没 有 私 钥 和 密 钥 的 前 提 下 要 穷 尽 或 破 解 R S A - 2 0 4 8 和 A E S - 1 2 8 加 密 算 法 ， 按 目 前 的 计 算 能 力 和 技 术 是 不 可 破 解 的 。 但 是 作 者 在 处 理 文 件 加 密 过 程 中 的 一 些 疏 漏 ， 大 大 增 加 了 我 们 恢 复 文 件 的 可 能 性 ， 如 果 第 一 时 间 及 时 抢 救 ， 用 户 是 能 够 恢 复 大 部 分 数 据 的 。 另 外 由 于 勒 索 赎 金 交 付 技 术 是 使 用 的 比 特 币 ， 比 特 币 具 有 匿 名 性 ， 比 特 币 地 址 的 生 成 无 需 实 名 认 证 ， 通 过 地 址 不 能 对 应 出 真 实 身 份 ， 比 特 币 地 址 的 同 一 拥 有 者 的 不 同 账 号 之 间 也 没 有 关 联 。 所 以 基 于 加 密 算 法 的 不 可 破 解 特 性 和 比 特 币 的 匿 名 特 性 ， 勒 索 病 毒 这 类 趋 利 明 显 的 恶 意 攻 击 仍 然 会 长 时 间 流 行 ， 大 家 仍 需 要 提 高 警 惕 。 3 6 0 追 日 团 队 （ H e l i o s   T e a m ） 3 6 0   追 日 团 队 （ H e l i o s   T e a m ） 是 3 6 0 公 司 高 级 威 胁 研 究 团 队 ， 从 事 A P T 攻 击 发 现 与 追 踪 、 互 联 网 安 全 事 件 应 急 响 应 、 黑 客 产 业 链 挖 掘 和 研 究 等 工 作 。 团 队 成 立 于 2 0 1 4 年 1 2 月 ， 通 过 整 合 3 6 0 公 司 海 量 安 全 大 数 据 ， 实 现 了 威 胁 情 报 快 速 关 联 溯 源 ， 独 家 首 次 发 现 并 追 踪 了 三 十 余 个 A P T 组 织 及 黑 客 团 伙 ， 大 大 拓 宽 了 国 内 关 于 黑 客 产 业 的 研 究 视 野 ， 填 补 了 国 内 A P T 研 究 的 空 白 ， 并 为 大 量 企 业 和 政 府 机 构 提 供 安 全 威 胁 评 估 及 解 决 方 案 输 出 。 已 公 开 A P T 相 关 研 究 成 果
* 本 文 作 者 3 6 0 安 全 卫 士 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理