WannaCry勒索软件分析

2017-5-14 Nie.Meining Debug

大家都知道,昨天WannaCry勒索软件在一夜之间利用系统漏洞席卷全球,特别是在内网和专网中,通过攻击445端口(蠕虫性质)大肆传播,造成了巨大数据损失。我也凑个热闹,找到一批样本上传金刚分析系统(http://tcasoft.com/),看看效果。

其中比较典型的分为两类,一类就是昨天大家新闻中看到的,访问某个超长的域名,如果存在就放弃攻击。如图:

2.png

1.png

其实这个“域名开关”并不完全可以保平安。还有一类样本一上来就搞破坏,并不会探测域名。如某样本的分析报告:

http://tcasoft.com/tcaCloudPlatform/report/toViewReport.action?rid=22bfa9109ab9d405af4188867620c730&sk=60036875

下面对该报告简单解读。

首先观察运行过程截图可以看出,样本执行初期没有任何引人注意的表现,当桌面被替换、前台弹出提示信息时,一切都为时已晚,用户的文件就已经被加密,要想恢复文件内容只能向攻击者提供的地址汇入300美元比特币了。如下图所示。

3.png

4.jpg


观察行为列表可以看到,样本释放了大量可执行程序以及bat、vbs等恶意脚本,并借助这些程序、脚本和Windows自带的系统工具共同完成攻击目的。例如通过attrib系统工具实现自我隐藏、利用icacls工具获取文件操作权限、利用vssadmin工具破坏系统还原功能、利用reg程序导入注册表实现自启动等。如下图所示。

5.png

6.png

7.png


一切就绪后,样本开始重头戏——文件加密。在行为列表中可以看到大量与文件操作相关的行为,包括修改文件属性、读写文件、修改文件创建时间、文件重命名等。这些正是WannaCry对用户文件进行加密的详细过程。如下图所示。

8.png


进一步观察样本的详细行为数据可以发现,攻击者其实会针对每个文件生成一个扩展名为WNCRYT的临时文件,在加密完成并设置好文件创建时间后,会将该临时文件重命名为WNCRY文件。如下图所示。

9.png


具体这些被加密后的文件长什么样呢?只需查看分析报告里的“中间文件”就可以看到。如下图所示,攻击者感兴趣的文件主要包括doc、xls、jpg等各种文档和图片,被加密后文件头部均变成了“WANACRY!”标识。

a.png


除了以上主机破坏行为以外,样本运行过程中还能观测到大量的网络行为,连接地址包括美国、德国、奥地利等多个国家,同时会尝试连接一个很长的域名。如图所示。

b.png

c.png


由于金刚系统在分析过程中,引擎并未连接真实互联网,因此网络行为我就没有展开分析了。其实该样本还有不少技术细节上文并未展开介绍,大家若有兴趣欢迎查看分析报告自行研究。

评论:

PornoGoj
2022-03-24 20:33
Новинки порно фильмы бесплатно просмотр на https://porno-go.website в HD720
Новинки секс фильмы бесплатно онлайн на https://porno-go.ru в высоком качестве
Чувственное порно фильмы бесплатно просмотр на https://porno-go.top в HD720
Нежное секс запись без границ онлайн на https://porno-go.pro в высоком качестве
Шикарное порно ролики бесплатно просмотр на https://porno-go.mobi в HD720




.
Russellflami
2021-12-13 17:17
https://philadelphiaru.weblogco.com/7699871/13-Как-готовят-сыр-Филадельфия-на-заводах
https://philadelphiaru.elbloglibre.com/7699685/Из-чего-изготовлен-сыр-филадельфия
https://philadelphiaru.blogtov.com/7705815/Польза-сыра-Филадельфия-для-сердечно-сосудистой-и-нервной-систем
https://philadelphiaru.madmouseblog.com/7696252/Сыр-Филадельфия-вернулся-на-российский-рынок
Login
2021-12-13 00:16
Перевод с другого счёта  

Подробнее по ссылке: https://forms.yandex.ru/u/610fe0c0a7a9d9645645/success/97394?AAAAAxiaonieblog.comBBBBB
Russellflami
2021-12-13 00:08
https://philadelphiaru.weblogco.com/7699871/13-Как-готовят-сыр-Филадельфия-на-заводах
https://philadelphiaru.ja-blog.com/7703808/Сыр-Филадельфия-в-домашнем-бутерброде-и-в-изысканном-ресторанном-блюде
https://philadelphiaru.blogtov.com/7705815/Польза-сыра-Филадельфия-для-сердечно-сосудистой-и-нервной-систем
http://philadelphiaru.bleepblogs.com/10972442/Применение-в-кулинарии-сыра-Филадельфия
Russellflami
2021-12-10 16:04
https://philadelphiaru.blazingblog.com/7704542/Разновидности-сыра-Филадельфия-с-характеристиками-и-вкусом
https://philadelphiaru.blogchaat.com/7696209/Сыр-Филадельфия-что-в-составе
https://philadelphiaru.blogtov.com/7705815/Польза-сыра-Филадельфия-для-сердечно-сосудистой-и-нервной-систем
https://philadelphiaru.smblogsites.com/7697108/Сыр-Филадельфия-для-роллов-что-в-составе
Josephlem
2021-12-09 20:38
С 2012 г. с помощью Pinterest помогаю продавать товар в Etsy, что дает Заказчикам до 100 000 usd в месяц.  Работаю также в amazon, ebay, shopify и c русскими сайтами. Короткий Пример: https://youtu.be/v-b2HL-ZF4c
MichaelAvact
2021-11-11 15:49
порно старых бабок на русском языке  https://russian-pornuha.top/             порно фильм большие груди русский язык  

порно видео русских парней с разговорами  https://russian-pornuha.top/categories/%D0%92%D0%B5%D0%B1-%D0%BA%D0%B0%D0%BC%D0%B5%D1%80%D0%B0/
HazelInjef
2021-11-08 17:36
Sxfqpjgiw
Equilibrane
2021-11-08 00:34
I always used to read article in news papers but now as I am a user of net therefore from now I am using net for posts, thanks to web.
DonnaLoorp
2021-10-25 21:14
V srdci Karlína jsme našli prostor pro fusion, která je podstatou naší filosofie: fusion jako empatické spojení kulinářských tradic moderní Evropy i Asie. Naše kuchyně je místem radosti — a je otevřená vašim zrakům i přáním. Zveme vás k rozhovoru mezi vašimi smysly a naší intuicí.
Fusion úsilí i srdce.
Náš tým je mezinárodní, ale všichni patří k národu vášnivých milovníků rafinovaných chutí. Ovlivňují se navzájem, soupeří skvělými nápady. Stále se inspirují v zahraničí, v sezónních chutích a možnostech, které nabízí Evropa kořeněná Asií. Za naším “signature dish“ se hosté vracejí jako očarovaní. Křupavé Sanduga krevety v omáčce z mořského vlka s jemným arašídovým dresingem na chvíli zastaví konverzaci u vašeho stolu — přivřete oči a budete jen vnímat radost smyslů. A pak bude o čem mluvit!
LamarGap
2021-10-22 20:12
https://subscribe.ru/group/pressa/17219210/
https://ruarchitectdesign.mirtesen.ru/blog/43246139104/Izgotovlenie-i-proizvodstvo-kuhon-po-individualnyim-razmeram
https://www.evernote.com/shard/s590/sh/086f7554-c502-1995-2237-c822ed38263a/a1d5d24f5fa4532f771e5346b3679057
https://telegra.ph/Izgotovlenie-i-proizvodstvo-kuhon-po-individualnym-razmeram-10-20
https://teletype.in/@rupamyatn/zTBHg-VBVHA
https://www.familyspace.ru/groups/g_9102467/article_Izgotovlenie_i_proizvodstvo_kuhon_po_individualnym_razmeram_4553
http://rur.biz/entry.php?b=10252
https://www.colors.life/post/1616406/
https://pepper-field-0b5.notion.site/adacf1ae51b049cc9cae510373a61382
https://leninogorsky.ru/blogs/vmaly5cheva/kupit-kukhnyu-iz-kachestvennykh-materialov-s-dostavkoy-i-sborkoy.php
ivanenokol
2021-10-18 09:57
http://extreme.lviv.ua/?tp=publications&publ2_code=3
http://fbmo.ru/logic_20000076.html
http://2b3.ru/podvodnye-obitateli/akuly/kitovaya-akula/
http://rollershop.pp.ua/shop/index.php?productID=429
http://ufk.lviv.ua/ua-category-boxing.html
DavidbeW
2021-10-15 18:53
Лучшая гарнитура https://pirpir.online/ порно видео онлайн ждёт своего зрителя на нашем сайте. Смотрите сочную клубничку в режиме онлайн https://pirpir.online/categories/%D0%A7%D0%B0%D1%81%D1%82%D0%BD%D0%BE%D0%B5/ совершенно бесплатно. Поддайтесь искушению и следуйте зову плоти.
BerthaHoumb
2021-10-10 06:42
Rozvoz suhi Praha. Bistro by Delivery Fusion Restaurace Sanduga +420 773 938 433
ColemanFig
2021-10-04 13:09
I personally have never been to the store myself, unfortunately very far) But I made a purchase far from a single one, I was insanely happy with the purchases .. the quality is gorgeous
http://offeramazon.ru/zg5p

发表评论:

Powered by emlog