搜索

[11451] 2017-06-12_深度追踪WannaCry源头轶事

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2017-06-12_深度追踪WannaCry源头轶事 深 度 追 踪 W a n n a C r y 源 头 轶 事 腾 讯 电 脑 管 家   F r e e B u f   2 0 1 7 - 0 6 - 1 2 注 1 ： 基 于 隐 私 问 题 ， 本 文 中 隐 去 黑 客 相 关 信 息 ， 如 有 关 部 门 需 要 ， 请 与 腾 讯 反 病 毒 实 验 室 联 系 。 注 2 ： 自 W a n n a C r y 爆 发 以 来 ， 腾 讯 反 病 毒 实 验 室 一 直 在 深 入 跟 进 整 体 传 播 态 势 ， 通 过 各 种 渠 道 ， 汇 集 各 类 信 息 ， 努 力 深 挖 敲 诈 勒 索 病 毒 背 后 的 真 相 。 目 前 ， 从 掌 握 的 数 据 中 ， 我 们 发 现     了 一 个 借 势 骗 钱 的 黑 客 ， 说 明 目 前 “ 黑 吃 黑 ” 现 象 普 遍 存 在 。 W a n n a C r y 敲 诈 勒 索 病 毒 从 敲 诈 勒 索 病 毒 从 1 2 日 全 面 爆 发 到 今 天 已 过 去 日 全 面 爆 发 到 今 天 已 过 去 近 近 1 个 月 个 月 ， 通 过 各 个 杀 毒 厂 商 积 极 应 对 ， 病 毒 传 播 趋 势 有 所 收 敛 。 但 ， 通 过 各 个 杀 毒 厂 商 积 极 应 对 ， 病 毒 传 播 趋 势 有 所 收 敛 。 但 事 情 远 没 有 结 束 ， 通 过 腾 讯 反 病 毒 实 验 室 威 胁 情 报 数 据 库 中 获 取 的 新 增 样 本 情 况 来 看 ， 参 与 敲 诈 勒 索 病 毒 传 播 的 人 越 来 越 事 情 远 没 有 结 束 ， 通 过 腾 讯 反 病 毒 实 验 室 威 胁 情 报 数 据 库 中 获 取 的 新 增 样 本 情 况 来 看 ， 参 与 敲 诈 勒 索 病 毒 传 播 的 人 越 来 越 多 ， 隐 匿 在 各 国 的 黑 客 们 也 开 始 趁 机 而 动 ， 借 势 骗 钱 。 多 ， 隐 匿 在 各 国 的 黑 客 们 也 开 始 趁 机 而 动 ， 借 势 骗 钱 。 黑 客 目 的 是 什 么 ？ 黑 客 用 了 哪 些 手 法 ？ 黑 客 来 自 哪 里 ？ 反 病 毒 实 验 室 工 程 师 通 过 对 新 增 样 本 进 行 详 细 分 析 ， 发 现 新 增 样 本 中 出 现 大 量 被 修 改 “ 传 播 开 关 ” 、 修 改 比 特 币 地 址 的 样 本 。 通 过 对 数 据 进 行 挖 掘 ， 我 们 找 到 一 个 被 修 改 了 比 特 币 地 址 的 敲 诈 勒 索 样 本 ， 此 样 本 与 之 前 爆 发 的 W a n n a C r y 为 同 一 文 件 ， 除 了 比 特 币 地 址 被 修 改 ， 其 他 全 部 保 持 一 致 。 下 图 为 1 2 号 W a n n a C r y 爆 发 原 始 样 本 ： 下 图 为 被 修 改 了 比 特 币 地 址 的 样 本 ： 可 以 看 到 ， 除 了 比 特 币 地 址 被 修 改 ， 其 他 信 息 全 部 一 样 。
通 过 对 比 特 币 地 址 的 查 询 ， 我 们 发 现 这 个 比 特 币 地 址 交 易 相 对 频 繁 ， 是 个 使 用 时 间 较 久 的 比 特 币 地 址 ， 且 与 原 始 W a n n a C r y 比 特 币 地 址 不 同 的 是 ， W a n n a C r y 地 址 只 有 收 入 ， 没 有 转 出 ， 而 这 个 地 址 不 仅 有 收 入 ， 也 有 转 出 。 经 查 询 ， 此 地 址 第 一 笔 交 易 时 间 是 2 0 1 6 年 9 月 1 5 日 ， 因 此 我 们 推 测 ， 此 样 本 背 后 黑 客 应 该 是 想 借 着 W a n n a C r y 的 爆 发 ， 浑 水 摸 鱼 ， 趁 机 捞 一 把 。 根 据 掌 握 的 信 息 ， 我 们 准 备 挖 出 此 样 本 背 后 的 黑 客 。 通 过 在 腾 讯 反 病 毒 实 验 室 威 胁 情 报 数 据 库 中 检 索 ， 我 们 找 到 此 样 本 的 原 始 下 载 链 接 ， 访 问 链 接 中 的 网 址 后 ， 我 们 确 认 这 是 一 家 塑 料 化 工 工 厂 的 官 方 网 站 ， 网 站 已 经 被 黑 客 入 侵 并 挂 上 了 敲 诈 病 毒 进 行 下 载 扩 散 。 通 过 这 个 U R L ， 在 腾 讯 反 病 毒 实 验 室 哈 勃 动 态 行 为 分 析 系 统 中 进 行 检 索 ， 找 到 了 访 问 此 U R L 的 原 始 D o w n l a d e r 样 本 。 我 们 对 这 个 D o w n l o a d e r 样 本 进 行 了 详 细 分 析 ， 发 现 此 样 本 是 用 P H P 语 言 所 写 ， 并 转 成 了 E X E 可 执 行 文 件 ， 由 此 我 们 推 断 ， 黑 客 比 较 熟 悉 P H P ， 对 P E 类 可 执 行 文 件 相 对 不 是 非 常 熟 悉 。 正 是 由 于 这 个 样 本 是 P H P 转 成 的 E X E 文 件 ， 在 这 个 样 本 中 ， 留 下 了 黑 客 的 指 纹 。 相 信 ， 如 果 黑 客 对 P E 文 件 比 较 熟 悉 的 话 ， 是 绝 对 不 会 留 下 这 类 指 纹 的 。 在 这 个 D o w n l o a d e r 样 本 的 资 源 数 据 中 ， 找 到 黑 客 电 脑 路 径 信 息 ， 而 此 路 径 中 ， 留 有 黑 客 的 网 络 常 用 名 。
溯 源 追 击 ： 溯 源 追 击 ： 针 对 恶 意 软 件 里 泄 漏 的 部 分 作 者 相 关 信 息 ， 通 过 情 报 系 统 ， 整 合 各 方 面 信 息 ， 去 寻 找 幕 后 的 黑 手 。 情 报 线 索 ： 捕 获 的 样 本 为 P H P     编 写 打 包 成 e x e 格 式 ， 作 者 疏 忽 留 下 了 一 个 与 作 者 相 关 的 可 疑 字 符 串 C * * * * * * * 。 我 们 在 情 报 系 统 和 网 络 上 搜 寻 了 C * * * * * * *   这 个 黑 客 相 关 I D     的 相 关 信 息 如 下 图 ： 通 过 获 得 的 信 息 ， 基 本 确 认 C * * * * * * * *       非 常 可 能 就 是 作 者 常 用 的 I D ,   原 因 如 下 ： 1 .   恶 意 样 本 包 含 P H P 相 关 信 息 ， 包 含 路 径 C * * * * * * * *   2 .   这 个 I D 出 现 于 几 个 黑 客 网 站 和 论 坛 3 .   该 I D 发 布 过 黑 客 工 具 基 于 P H P 开 发 ， 说 明 作 者 有 丰 富   的 P H P 开 发 经 验 为 了 进 一 步 查 找 作 者 ， 我 们 继 续 分 析 作 者 以 前 开 发 的 P H P 工 具 ， 找 到 疑 似 作 者 用 的 邮 箱 。 综 合 以 上 的 挖 掘 信 息 ， 得 到 猜 测 的 黑 客 画 像 ： 此 人 参 加 过 C T F （ 网 络 安 全 竞 赛 ） Y o u t u b e 上 制 作 过 黑 客 教 程
传 播 过 P H P 恶 意 程 序 活 跃 于 黑 客 网 站 论 坛 来 自 阿 尔 及 利 亚 找 到 此 人 常 用 E M A I L 地 址 找 到 此 人 的 照 片 在 网 络 搜 索 引 擎 c a c h e 中 找 到 疑 似 黑 客 照 片 ： 整 个 溯 源 分 析 过 程 如 下 ：
目 前 ， 被 挂 马 的 U R L 已 经 失 效 ， 其 使 用 的 比 特 币 地 址 也 未 收 到 任 何 能 表 明 与 敲 诈 有 关 的 转 账 。 鉴 于 这 次 传 播 未 造 成 特 别 大 的 影 响 ， 这 里 并 没 有 公 开 黑 客 身 份 。 腾 讯 反 病 毒 实 验 室 再 次 向 广 大 网 友 强 调 ， 不 要 向 敲 诈 勒 索 者 都 支 付 任 何 赎 金 ， 因 为 你 也 无 法 确 定 赎 金 是 支 付 给 了 W a n n a C r y 的 黑 客 还 是 支 付 给 了 借 势 骗 钱 的 黑 客 。 这 很 可 能 是 一 次 无 论 是 否 支 付 赎 金 都 不 能 挽 回 损 失 的 敲 诈 勒 索 。 腾 讯 电 脑 管 家 目 前 可 以 查 杀 所 有 W a n n a C r y 病 毒 及 变 种 ， 请 及 时 开 启 防 护 。 * 本 文 作 者 ： 腾 讯 电 脑 管 家 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理