搜索

[11481] 2017-06-21_Wannacry深度解析：第一阶段tasksche

文档创建者：s7ckTeam
浏览次数：21
最后更新：2025-01-18
2017-06-21_Wannacry深度解析：第一阶段tasksche W a n n a c r y 深 度 解 析 ： 第 一 阶 段 t a s k s c h e 原 创   T e d Z h a n g   F r e e B u f   2 0 1 7 - 0 6 - 2 1 *   本 文 作 者 ： T e d Z h a n g ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 W a n n a C r y   勒 索 软 件 是 勒 索 软 件 是 2 0 1 7 年 最 热 门 的 勒 索 软 件 ， 它 利 用 微 软 漏 洞 在 全 球 范 围 内 发 起 的 攻 击 令 世 界 上 年 最 热 门 的 勒 索 软 件 ， 它 利 用 微 软 漏 洞 在 全 球 范 围 内 发 起 的 攻 击 令 世 界 上 1 0 0 多 个 国 多 个 国 家 的 成 千 上 万 的 用 户 深 受 影 响 。 俨 然 一 场 全 球 范 围 内 的 网 络 安 全 普 及 教 育 。 家 的 成 千 上 万 的 用 户 深 受 影 响 。 俨 然 一 场 全 球 范 围 内 的 网 络 安 全 普 及 教 育 。 作 为 一 名 安 全 行 业 工 作 者 ， 我 对 W a n n a C r y 进 行 了 深 度 的 分 析 。   完 整 的 分 析 可 以 帮 助 安 全 行 业 工 作 者 了 解 黑 客 的 的 最 新 攻 击 手 段 ， 为 防 护 领 域 的 解 决 方 案 提 供 有 价 值 的 信 息 ， 更 进 一 步 尝 试 发 现 软 件 弱 点 ， 为 客 户 提 供 有 价 值 的 数 据 恢 复 服 务 。 我 之 前 对 C r y p t X X X ， C e r b e r 以 及 L o c k y 这 几 种 高 热 点 勒 索 软 件 进 行 过 深 入 分 析 ， W a n n a c r y 这 款 勒 索 软 件 显 然 吸 取 了 之 前 勒 索 软 件 的 设 计 经 验 ， 并 进 化 升 级 出 了 一 个 二 阶 段 攻 击 方 法 。 什 么 是 二 阶 段 攻 击 呢 ？ 简 单 来 讲 ， 就 是 恶 意 程 序 本 身 并 没 有 攻 击 行 为 ， 比 如 W a n n a c r y 程 序 自 身 并 不 做 数 据 加 密 的 工 作 ， 它 会 将 真 正 具 有 攻 击 行 为 的 代 码 动 态 释 放 出 来 ， 将 数 据 加 密 的 行 为 隐 藏 到 释 放 出 来 的 代 码 中 。   这 听 起 来 类 似 壳 的 行 为 ， 比 如 L o c k y 就 是 一 款 带 壳 的 勒 索 软 件 ， 它 运 行 起 来 后 会 通 过 壳 代 码 释 放 恶 意 代 码 。   但 壳 代 码 本 身 也 是 一 个 很 明 显 的 特 征 ， 比 如 加 过 壳 的 代 码 无 法 进 行 反 汇 编 ， 并 且 一 般 情 况 下 信 息 熵 很 高 ， 很 多 防 护 软 件 会 对 这 种 程 序 提 高 危 险 等 级 ， 用 户 一 旦 碰 到 ， 或 者 这 种 程 序 一 旦 D r o p 到 用 户 的 机 器 上 就 会 被 D e t e c t 到 。   但 是 W a n n a c r y 不 同 ， 它 的 第 一 阶 段 程 序 完 全 没 有 任 何 壳 代 码 ， E n t r y P o i n t 也 没 有 做 任 何 的 定 制 ， 没 有 任 何 认 为 修 改 的 痕 迹 ， 也 许 这 也 是 W a n n a c r y 会 在 利 用 微 软 漏 洞 大 规 模 被 传 播 到 E n d p o i n t 上 没 有 被 发 现 的 原 因 吧 。 H a c k   W e a p o n 在 开 始 分 析 之 前 ， 想 先 讲 一 下 H a c k   W e a p o n 这 个 概 念 ， 根 据 很 多 专 业 机 构 的 分 析 ， 这 条 黑 色 产 业 链 已 经 发 展 的 非 常 成 熟 了 。   在 暗 网 ， 你 可 以 买 到 各 种 各 样 的 攻 击 组 件 ， 组 成 一 个 有 效 的 攻 击 实 体 ； 例 如 ， 有 漏 洞 ， 有 加 载 器 ， 有 加 密 模 块 等 ， 那 么 我 可 以 根 据 我 的 需 要 去 买 合 适 的 模 块 ， 然 后 在 进 行 组 装 成 一 个 真 正 具 有 攻 击 性 的 恶 意 程 序 。 其 中 这 些 模 块 就 是 H a c k   W e a p o n ， 我 们 收 集 到 的 很 多 S a m p l e 都 是 很 多 模 块 的 组 合 ， 那 通 过 i n - d e p t h 的 逆 向 分 析 后 发 现 了 一 款 恶 意 软 件 中 存 在 有 多 种 攻 击 武 器 的 时 候 能 否 将 这 些 攻 击 武 器 提 取 出 来 ， 单 独 建 立 一 个 H a c k   W e a p o n 并 对 这 些 H a c k   W e a p o n 进 行 特 征 建 模 ， 行 为 建 模 来 完 善 我 们 的 安 全 产 品 呢 ？ 从 技 术 的 角 度 来 说 ， M a c h i n e   I n s t r u c t i o n 级 别 的 复 用 是 绝 对 一 致 性 的 ， 并 不 像 源 代 码 级 别 的 复 用 会 因 为 编 译 器 选 项 的 不 通 导 致 最 终 M a c h i n e   I n s t r u c t i o n 发 生 细 微 变 化 。 黑 客 武 器 的 提 供 者 ， 应 该 不 会 提 供 源 代 码 ， 而 是 将 武 器 作 为 b i n a r y 提 供 给 下 游 黑 客 ， 所 以 建 立 这 种 武 器 库 ， 提 供 了 很 强 的 特 征 性 。   而 从 武 器 的 角 度 去 匹 配 恶 意 程 序 具 有 更 准 确 的 鉴 别 能 力 ， 比 如 说 我 认 为 一 款 隐 蔽 的 P e l o a d e r 模 块 属 于 恶 意 软 件 的 一 种 ， 那 么 针 对 这 种 W e a p o n 进 行 特 征 或 行 为 建 模 将 更 能 针 对 使 用 了 这 款 W e a p o n 的 所 有 恶 意 软 件 ， 会 是 的 安 全 防 护 软 件 具 有 打 击 多 点 的 能 力 。 我 曾 经 抽 取 过 一 款 针 对 程 序 中 S t r i n g 进 行 加 密 ， 并 在 始 终 之 前 进 行 解 密 的 H a c k   W e a p o n ， 当 时 我 并 没 有 想 到 恶 意 软 件 会 有 模 块 化 这 种 设 计 ， 直 到 在 另 外 一 款 恶 意 软 件 中 见 到 同 样 的 行 为 ， 并 且 进 行 抽 取 发 现 整 个 f u n c t i o n 的 f l o w 甚 至 I n s t r u c t i o n 都 完 全 一 致 。 这 次 在 分 析 的 过 程 中 ， 我 至 少 已 经 可 以 识 别 出 两 种 H a c k   W e a p o n :   P e L o a d e r   和   R e s o u r c e   E x t r a c t o r ， 前 者 用 于 加 载 一 个 P E   f i l e 到 内 存 中 ， 并 且 在 不 调 用 微 软 A P I （ 不 准 确 ， 极 少 调 用 ， 因 为 分 配 内 存 还 需 要 调 用 V i r t u a l A l l o c ） 的 情 况 下 解 决 I m p o r t   T a b l e ， B a s e   R e l o c a t i o n 等 超 麻 烦 的 事 项 ， 以 至 于 使 用 M o n i t o r 等 程 序 都 发 现 不 了 他 有 一 个 L o a d D l l 的 行 为 ； 后 者 用 于 从 R e s o u r c e 中 提 取 一 个 加 密 过 的 攻 击 用 的 P E   p a y l o a d ， 这 两 个 模 块 都 非 常 的 精 巧 。   我 想 就 算 是 作 者 也 没 有 重 新 写 一 遍 的 念 头 ， 这 需 要 进 行 大 量 细 心 的 编 码 和 大 量 的 测 试 ， 因 为 稍 微 一 些 疏 忽 就 会 导 致 最 后 的 攻 击 功 亏 一 篑 （ 指 的 是 加 载 P a y l o a d 失 败 ） 。 在 这 次 分 析 结 束 后 ， 我 会 将 这 两 个 H a c k   W e a p o n 抽 取 出 来 ， 并 写 一 个 P O C 代 码 ， 复 用 这 两 个 组 件 。
p h a s e   o n e t a s k s c h e W a n n a c r y 的 主 程 序 会 被 修 改 会 t a s k s c h e . e x e ， 起 这 个 名 字 的 目 的 是 为 了 迷 惑 用 户 。   下 面 我 们 来 一 起 来 分 析 一 下 这 个 程 序 ， 从 W i n M a i n 函 数 开 始 。 为 了 容 易 说 明 程 序 的 行 为 ， 以 下 的 代 码 片 段 将 全 部 使 用 C + + 语 言 来 表 述 ， 除 非 碰 到 C + + 表 达 混 乱 或 者 因 编 译 器 优 化 等 原 因 导 致 C + + 无 法 表 达 的 情 况 下 ， 会 采 用 汇 编 语 言 并 加 详 细 说 明 。
W i n M a i n 的 代 码 很 容 易 理 解 ， 声 明 了 几 个 变 量 ， 其 中 C P r o g r a m 对 象 ， C P e B u i l d e r 指 针 ， 以 及 f p T a s k S t a r t 是 整 个 W i n M a i n 运 行 的 关 键 ， W i n M a i n 的 目 的 是 动 态 加 载 一 个 P e   d l l 到 内 存 中 并 运 行 起 来 ， 整 个 过 程 做 的 相 当 的 隐 蔽 。 W i n M a i n 函 数 在 栈 上 声 明 了 一 个 5 2 0   b y t e 的 数 组 ， 用 来 获 取 当 前 进 程 的 完 整 路 径 ， 程 序 会 利 用 这 个 路 径 将 文 件 复 制 一 份 并 命 名 为 t a s k s c h e . e x e ， 并 调 用 S t a r t M a l w a r e 启 动 自 己 。 在 这 里 M a l w a r e 已 经 通 过 漏 洞 进 入 E n d p o i n t 中 并 且 被 l a u n c h 起 来 了 ， 我 认 为 这 里 存 在 一 个 c o m m o n 的 阶 段 ， 我 把 这 个 阶 段 定 义 为 隐 藏 阶 段 。 何 为 隐 藏 阶 段 ， 换 句 话 说 在 这 个 阶 段 M a l w a r e 首 先 要 做 的 不 是 执 行 攻 击 代 码 ， 而 是 在 实 施 攻 击 之 前 首 先 隐 匿 自 己 的 行 踪 ， 伪 装 自 己 为 一 个 看 起 来 正 常 的 程 序 ， 并 在 日 后 的 日 志 调 查 中 迷 惑 分 析 人 员 。 仔 细 看 一 下 这 段 代 码 ， W a n n a c r y 启 动 后 的 第 一 时 间 进 行 了 几 个 关 键 操 作 ： 检 查 启 动 参 数 创 建 隐 藏 数 据 ( f o l d e r ) 重 命 名 为 t a s k s c h e . e x e 再 次 启 动 自 己 检 查 启 动 参 数 与 重 命 名 可 以 直 接 从 表 达 式 中 判 断 出 来 ， 不 复 杂 。 创 建 隐 藏 数 据 创 建 隐 藏 数 据
上 面 的 函 数 最 终 创 建 了 % W i n D i r % P r o g r a m D a t a ， ， % W i n D i r % I n t e l 两 个 f o l d e r 并 将 其 属 性 设 置 为 H i d d e n 。
上 面 是 C r e a t e F o l d e r 的 代 码 ， 很 容 易 理 解 ， 主 要 是 对 通 过 此 函 数 创 建 的 F o l d e r 设 置 H i d d e n 属 性 。 再 次 启 动 自 己 再 次 启 动 自 己 注 意 最 后 一 行 的 代 码 ， W a n n a c r y 会 用 2 中 种 方 式 再 次 启 动 自 己 ， 首 先 尝 试 将 自 己 伪 装 成 服 务 程 序 ， 如 果 失 败 了 ， 在 尝 试 通 用 的 进 程 方 式 。 服 务 方 式 服 务 方 式 在 利 用 服 务 方 式 启 动 的 时 候 ， W a n n a c r y 首 先 会 利 用 在 W i n M a i n 中 初 始 化 的 一 个 随 机 序 列 作 为 服 务 名 称 。   下 面 是 生 成 随 机 序 列 的 代 码 ：
这 段 代 码 利 用 了 用 户 的 计 算 机 名 称 ， 通 过 对 计 算 机 名 称 的 每 一 个 自 己 进 行 乘 法 溢 出 运 算 ， 会 得 到 一 个 初 始 化 随 机 发 生 器 的 种 子 值 ， 并 利 用 随 机 数 发 生 器 来 生 成 随 机 的 服 务 名 称 。   这 个 随 机 的 服 务 名 称 由 ’ a - z ’ ’ 0 - 9 ’ 组 成 。

W a n n a c r y 利 用 S t a r t S e r v i c e 函 数 将 自 身 作 为 一 个 带 有 随 机 服 务 名 称 的 服 务 进 行 启 动 ， 这 是 最 容 易 掩 人 耳 目 的 隐 蔽 手 段 。 但 是 如 果 没 有 权 限 操 作 服 务 管 理 器 ， 或 者 意 外 失 败 了 ， W a n n a c r y 还 有 常 规 启 动 方 法 作 为 备 选 。 S t a r t P r o c e s s 函 数 作 为 备 选 使 用 常 规 方 式 启 动 一 个 进 程 ， 这 里 被 传 入 的 C o m m a n d L i n e 就 是 已 经 被 改 过 名 称 为 t a s k s c h e . e x e 的 程 序 路 径 了 ， 至 少 用 这 个 名 称 这 也 有 一 些 迷 惑 作 用 , 并 且 一 个 小 细 节 ， 设 置 了 非 窗 口 模 式 。
无 论 使 用 哪 种 方 式 再 次 启 动 了 自 己 ， 程 序 都 会 调 用 上 面 的 函 数 去 等 待 G l o b a l M s W i n Z o n e s C a c h e C o u n t e r M u t e x A 0 这 个 系 统 M u t e x ， 并 且 在 接 下 来 尝 试 等 待 6 0 次 ， 每 次 1 秒 ， 共 计 6 0 秒 。   这 么 看 来 这 个 N a m e d 的 M u t e x 对 象 应 该 在 真 正 发 起 共 计 的 模 块 中 ， 这 是 常 规 的 假 设 。 当 然 如 果 上 面 的 方 法 都 失 败 了 ， W a n n a c r y 也 不 会 放 弃 这 唯 一 的 一 次 机 会 加 密 用 户 的 数 据 ， 既 然 隐 藏 不 成 ， 那 就 直 接 干 吧 。   而 直 接 干 这 部 分 代 码 与 隐 藏 后 再 来 干 的 代 码 是 一 样 的 ， 正 好 合 并 分 析 。   在 开 始 之 前 还 有 一 些 事 情 要 做 ： 写 注 册 表
写 注 册 表 提 取 P a y l o a d 将 B i t c o i n 钱 包 地 址 写 入 c . w n r y 将 当 前 工 作 目 录 隐 藏 将 当 前 目 录 授 权 所 有 人 完 全 访 问 权 限 初 始 化 系 统 调 用 这 里 面 隐 藏 工 作 目 录 ， 提 权 ， 以 及 初 始 化 系 统 调 用 都 没 有 什 么 好 说 的 ， 剩 下 的 几 个 操 作 中 ， 最 难 的 是 E x t r a c t F r o m R e s o u r c e ， 它 从 资 源 段 中 释 放 P a y l o a d 。 写 注 册 表 写 注 册 表
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理