WannaCry勒索软件分析

2017-5-14 Nie.Meining Debug

大家都知道，昨天WannaCry勒索软件在一夜之间利用系统漏洞席卷全球，特别是在内网和专网中，通过攻击445端口（蠕虫性质）大肆传播，造成了巨大数据损失。我也凑个热闹，找到一批样本上传金刚分析系统（http://tcasoft.com/），看看效果。

其中比较典型的分为两类，一类就是昨天大家新闻中看到的，访问某个超长的域名，如果存在就放弃攻击。如图：

2.png

1.png

其实这个“域名开关”并不完全可以保平安。还有一类样本一上来就搞破坏，并不会探测域名。如某样本的分析报告：

http://tcasoft.com/tcaCloudPlatform/report/toViewReport.action?rid=22bfa9109ab9d405af4188867620c730&sk=60036875

下面对该报告简单解读。

首先观察运行过程截图可以看出，样本执行初期没有任何引人注意的表现，当桌面被替换、前台弹出提示信息时，一切都为时已晚，用户的文件就已经被加密，要想恢复文件内容只能向攻击者提供的地址汇入300美元比特币了。如下图所示。

3.png

4.jpg


观察行为列表可以看到，样本释放了大量可执行程序以及bat、vbs等恶意脚本，并借助这些程序、脚本和Windows自带的系统工具共同完成攻击目的。例如通过attrib系统工具实现自我隐藏、利用icacls工具获取文件操作权限、利用vssadmin工具破坏系统还原功能、利用reg程序导入注册表实现自启动等。如下图所示。

5.png

6.png

7.png


一切就绪后，样本开始重头戏——文件加密。在行为列表中可以看到大量与文件操作相关的行为，包括修改文件属性、读写文件、修改文件创建时间、文件重命名等。这些正是WannaCry对用户文件进行加密的详细过程。如下图所示。

8.png


进一步观察样本的详细行为数据可以发现，攻击者其实会针对每个文件生成一个扩展名为WNCRYT的临时文件，在加密完成并设置好文件创建时间后，会将该临时文件重命名为WNCRY文件。如下图所示。

9.png


具体这些被加密后的文件长什么样呢？只需查看分析报告里的“中间文件”就可以看到。如下图所示，攻击者感兴趣的文件主要包括doc、xls、jpg等各种文档和图片，被加密后文件头部均变成了“WANACRY!”标识。

a.png


除了以上主机破坏行为以外，样本运行过程中还能观测到大量的网络行为，连接地址包括美国、德国、奥地利等多个国家，同时会尝试连接一个很长的域名。如图所示。

b.png

c.png


由于金刚系统在分析过程中，引擎并未连接真实互联网，因此网络行为我就没有展开分析了。其实该样本还有不少技术细节上文并未展开介绍，大家若有兴趣欢迎查看分析报告自行研究。

[分析引擎开发笔记]64位系统支持»

评论：

Rannevknoca
2019-02-14 20:31
viagra plus chyscorg
回复
Cialis
2019-02-14 11:35
The beggar may sing before the thief (before a footpad).
Claw me, and I will claw thee.

http://akvashop.eu/isavon-3msly94rhk3.html http://akvashop.eu/v66p6r98-1epazp-z8.html http://toolboxlab.eu/44y7677669-3f45.html http://cialiscouponedshop.com/4k1w-v23ic-32v-f.html http://akvashop.eu/5e961785au8-r-p.html http://toolboxlab.eu/oye89-u6nb64n241b.html http://toolboxlab.eu/61zr54y47-ao5xg63-1.html http://cialiscouponedshop.com/gpdp469x741q9z2.html http://toolboxlab.eu/kq6-19qqg6x-1xr63cbpj.html  
http://orderviagra.cialiseupotenzshop.com/Viagra-cialis-levitra.html
http://spain.cialiseupotenzshop.com/Hay-online.html
http://leeranchbowhunting.com/Kamagra-sildenafil-citrate-100mg.html
http://devadim.com/Comprar-viagra-contrareembolso-en-espana.html
http://buycialisgenericzs.com/Cialis.html
回复
Aarontic
2019-02-13 11:32
http://albuterol.team/ - albuterol
回复
travelleral
2019-02-13 00:54
Отели Ялты в России: отзывы, контакты, адреса, телефоны, цены от 315 руб., актуальная информация о скидках. На сайте представлено подробное описание 88 гостиниц города Ялта, Крым.
https://mybookit.ru/hotels/Yalta
回复
AnvarKirillov94knoca
2019-02-12 19:33
cheap is cheap

     9f8c compra is ato brasil
回复
kurtzl3
2019-02-08 23:44
Sexy photo galleries, daily updated pics
http://curvy.hot.porn.relayblog.com/?taniya

xxx bad girl porn free porn vids no downloads party girl porn lesbians porn video examples samples hi res porn trailers
回复
jonathandi2
2019-02-08 01:26
Sexy teen photo galleries
http://pornxxx.hotblognetwork.com/?deasia

black white porn videos kansas city ameteur porn adult film blonde porn movie 1 asian mature porn tubes porn hub moboile
回复
warrenbo3
2019-02-07 19:30
Sexy teen photo galleries
http://hardporn.instasexyblog.com/?emily

oklahoma porn movie porr little girl porn free amateur porn film porn video caseys pool party oslen twins porn
回复
EvseevIoil1997knoca
2019-02-06 18:05
is ato con paypal

     8d74 being is over internet
回复
Susanaoxync
2019-02-06 07:48
About cooperation

Become a byweb partner and receive payments of up to 15% from each payment of the attracted client to create the site.

If you have attracted a client to create a site for us, then please provide the name of the client to our feedback best-website-development.com for an agency fee

Respectfully,
Web agency ByWeb
Creation and promotion of sites in USA
回复
JeffreyLaf
2019-02-06 01:29
hcg online no prescription  http://mecarroll.com/sibutramine.html  lenovo thinkpad 2 tablet
回复
Aarontic
2019-01-30 17:42
http://viagracanada.us.com/ - viagra online
回复
monanh60
2019-01-30 17:17
Hot galleries, thousands new daily.
http://porn.picture.fetlifeblog.com/?iyanna

naked porn celebrities video porn hamster porn with huge cocks goth anal porn pics mature celebrity porn
回复
lightroomdek
2019-01-29 19:10
[color=#333 - "https://adobe.com/" - Adobe Lightroom is the most prominent conspectus editing software inasmuch as photographers, with hundreds of thousands of effects and presets available on the internet.

[color=#333 -  You can download Lightroom from Adobe’s website.  

[color=#333 - "https://en.wikipedia.org/wiki/Adobe_Lightroom" - Adobe Lightroom presets help you to crop your photos in register but by doing a assignment of the work suitable you. You can altogether essay away from a pre-defined effect, while keeping your source impression and reverting break to it at anytime.  

[color=#333 -  You can use:  
[color=#333 -  Lightroom Presets for Wedding Photography  
[color=#333 -  Lightroom Presets for Baby and Family Photography  
[color=#333 -  Lightroom Presets for Headshots  
[color=#333 -  Lightroom Presets for Senior Portraits  
[color=#333 -  Lightroom Presets for Landscape  
[color=#333 -  Lightroom Presets for Nature Photography  
[color=#333 -  Lightroom Presets for Food Photography  
[color=#333 -  Lightroom Presets for Car Photography  
[color=#333 -  Lightroom Presets for Real Estate  
[color=#333 -  Lightroom Presets for Product and Fashion Photography  

[color=#333 -  And a "https://mrlightroom.com/shop/lightroom-presets/magic-touch-lightroom-desktop-and-mobile-presets/" - Magic Touch Lightroom Desktop and Mobile Presets
for everyday shooting.
回复
Aarontic
2019-01-26 16:07
http://kamagrageneric2019.com/ - kamagra
回复

发表评论：

Powered by emlog