1. 全栈程序员必看首页

Wannacry分析

全栈程序员-站长 • • 未分类 • 阅读 29

Wannacry分析一、加密程序（WannaCryptor.exe）1.释放①概览②细节加载资源（多个zip文件），使用开源代码解压，zip文件标志（PK…）解压所得：b.wry(bmp)c.wry(含

大家好，又见面了，我是你们的朋友全栈君。

一、加密程序（WannaCryptor.exe）

1.释放

①概览

 <span role="heading" aria-level="2">Wannacry分析

②细节

加载资源（多个zip文件），使用开源代码解压，zip文件标志（PK…）

      <span role="heading" aria-level="2">Wannacry分析

     解压所得：

   　b.wry (bmp)

　　c.wry (含有一些网址，torproject等)

　　m.wry (rtf)

　　r.wry (txt)

　　t.wry (加密的dll)

　　u.wry (vc6.0 MFC)

 　　<span role="heading" aria-level="2">Wannacry分析

　　通过CSP获取RSA_AES提供者句柄，导入RSA 私钥句柄，这是用于解密dll

　　<span role="heading" aria-level="2">Wannacry分析

　　KEY BLOB(篇幅过长，仅显示部分)

 <span role="heading" aria-level="2">Wannacry分析

读取被加密dll文件信息,加密文件头部含有经2048RSA加密过的AES密钥得到的256字节密文

 <span role="heading" aria-level="2">Wannacry分析

 

解密256字节密文得到16字节明文（AES密钥）再用AES密钥解密文件得到dll

 <span role="heading" aria-level="2">Wannacry分析

注：这时可以从内存中dump出dll文件（我的方式是直接从OD内存中复制16进制，粘贴到010ed

 

将dll 按0x1000粒度对齐并加载到imagebase。

实现：修复IAT，修复重定位，修复区段内存属性，调用tls, 调用DllEntryPoint

 <span role="heading" aria-level="2">Wannacry分析

 

获取并调用dll唯一的一个导出函数

 <span role="heading" aria-level="2">Wannacry分析

 

2.加密（StartSchedule)

Ⅰ.总览

 <span role="heading" aria-level="2">Wannacry分析

 <span role="heading" aria-level="2">Wannacry分析

 <span role="heading" aria-level="2">Wannacry分析

Ⅱ.细分

 ①设置当前目录到注册表

 <span role="heading" aria-level="2">Wannacry分析

②如果系统版本为vista以后，创建计划任务，否则，添加注册表启动项

 <span role="heading" aria-level="2">Wannacry分析

 

创建计划任务方式

命令行:

 <span role="heading" aria-level="2">Wannacry分析

1.xml内容

 <span role="heading" aria-level="2">Wannacry分析

 

查看计划任务：

控制面板->系统和安全->管理工具->计划任务

每一分钟调用一次加密程序

 <span role="heading" aria-level="2">Wannacry分析 

③批处理添加!WannaDecryptor!.exe快捷方式

 <span role="heading" aria-level="2">Wannacry分析

生成bat文件并调用

 <span role="heading" aria-level="2">Wannacry分析

④生成勒索文档

 <span role="heading" aria-level="2">Wannacry分析

勒索内容：

 <span role="heading" aria-level="2">Wannacry分析

⑤生成随机2048RSA密钥对，并将其公钥存入文件，私钥被导入的2048RSA公钥加密，存入文件。

 <span role="heading" aria-level="2">Wannacry分析

⑥线程一

每隔25秒，获取当前时间，并向.res文件中（覆盖式）写入时间和随机八字节数据

表层：

 <span role="heading" aria-level="2">Wannacry分析

内层：

　　生成8字节随机数据

　　 <span role="heading" aria-level="2">Wannacry分析

       线程内：

 　　<span role="heading" aria-level="2">Wannacry分析 

⑦线程二

测试RSA公钥/私钥（加密极小文件，演示解密所用密钥），需要保存私钥的文件存在才能运行。

      <span role="heading" aria-level="2">Wannacry分析

⑧线程三

检测新加的磁盘，加密，并写入垃圾数据

 <span role="heading" aria-level="2">Wannacry分析

⑨线程四

在前置条件成立情况下(初始不成立)，创建进程 !WannaDecryptor!.exe

 <span role="heading" aria-level="2">Wannacry分析

Ⅲ.加密

A.最核心加密函数（多次调用）被我命名为Encrypt_A_directory

其内部函数调用：

1.调用first_round_encrypt函数，遍历文件，分别保存文件夹路径和文件路径在不同的双向链表中，然后遍历文件路径链表，调用encrypt_by_fileType，将未加密文件的路径放入新的链表，以待后续加密。

2.遍历保存文件路径的双向链表，调用encrypt_by_fileType，实现对未加密文件的加密。

3.遍历保存文件夹路径的双向链表，在每个文件夹下，添加勒索信息文件和解密工具快捷方式

4.释放链表

B. first_round_encrypt函数分析

1.保存文件夹路径

 <span role="heading" aria-level="2">Wannacry分析

2.保存文件路径

 <span role="heading" aria-level="2">Wannacry分析

3.遍历链表，加密文件，核心函数encrypt_by_fileType

 <span role="heading" aria-level="2">Wannacry分析

C. encrypt_by_fileType函数分析

对文件类型进行选择，调用aes_encrypt

 <span role="heading" aria-level="2">Wannacry分析

D. aes_encrypt函数分析

根据文件类型,改后缀，或者加后缀,调用encrypt_file1

 <span role="heading" aria-level="2">Wannacry分析

E. encrypt_file1函数分析

1.对于要处理文件，读取其内容，进行判断是否经过处理，并检查其类型

 <span role="heading" aria-level="2">Wannacry分析

2.对于小文件，创建新文件，其名为原文件后加T

 <span role="heading" aria-level="2">Wannacry分析

3.对于大文件，将前0x10000字节复制到文件尾部，并清空前0x10000字节

 <span role="heading" aria-level="2">Wannacry分析

 

 

 

4.生成随机AES密钥，用RSA公钥加密，得到密文。进行密钥扩展，得到DWORD[4*11]，向文件中写入WANNACRY, AES密文字节数，密文，文件类型，文件大小。

 <span role="heading" aria-level="2">Wannacry分析

5.每次拷贝0x100000字节，进行加密

 <span role="heading" aria-level="2">Wannacry分析

E.encrypt_分析

循坏每次取16字节，调用AES_encrypt_16bytes

 <span role="heading" aria-level="2">Wannacry分析

F.AES_encrypt_16bytes分析

轮密钥加变化

 <span role="heading" aria-level="2">Wannacry分析

9轮变换

 <span role="heading" aria-level="2">Wannacry分析

 S盒变换

 <span role="heading" aria-level="2">Wannacry分析

8.对于小文件的AES密钥加密，可能会用另外RSA公钥

 <span role="heading" aria-level="2">Wannacry分析

如果是用的另外公钥，将文件路径写入f.wry，待后面解密器演示

 <span role="heading" aria-level="2">Wannacry分析

Ⅳ.加密流程分析

       返回到分析Most_Important_Encrypt

       1.导入密钥

 <span role="heading" aria-level="2">Wannacry分析

 

 

       2.加密指定目录

　　<desktop>

　　All Users\Desktop

　　My Documents

　　All Users\Documents

 <span role="heading" aria-level="2">Wannacry分析

3.全盘加密

先加密非网盘，再加密网盘

 <span role="heading" aria-level="2">Wannacry分析

4. 启动解密器，两次全盘写入大量垃圾数据覆盖并删除。

 <span role="heading" aria-level="2">Wannacry分析

encrypt_and_wirte_junk_data

 <span role="heading" aria-level="2">Wannacry分析

二、解密程序

解密程序为vc6.0 MFC 程序，根据命令行参数，有三种不同功能

OnInitDialog内部：

 

       1.命令行参数为 v

       Cmd 命令删除shandowCopy

　　 <span role="heading" aria-level="2">Wannacry分析

2.命令行参数c

       下载torbrowser,连接tor服务器

 <span role="heading" aria-level="2">Wannacry分析

       ①从文件中获取网址

 <span role="heading" aria-level="2">Wannacry分析

　　②下载torbrowser

　　失败，已经没有那个版本了，现在都10.0了

 <span role="heading" aria-level="2">Wannacry分析

然后是以127.0.0.1去连tor服务器

 <span role="heading" aria-level="2">Wannacry分析

 

 

3.无命令行参数

       生成界面

 <span role="heading" aria-level="2">Wannacry分析

<span role="heading" aria-level="2">Wannacry分析

 

版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 举报，一经查实，本站将立刻删除。

发布者：全栈程序员-站长，转载请注明出处：https://javaforall.net/154738.html原文链接：https://javaforall.net

赞 (0)
全栈程序员-站长的头像全栈程序员-站长
0 0


相关推荐

  • Lua入门教程_自学素描基本入门教程

    Lua入门教程_自学素描基本入门教程

    Lua入门教程_自学素描基本入门教程什么是LuaLua是一个小巧的脚本语言。是巴西里约热内卢天主教大学（PontificalCatholicUniversityofRiodeJaneiro）里的一个研究小组，由Rober

    全栈程序员-站长的头像 全栈程序员-站长
    2022年8月1日
  • 随机梯度下降优化算法_次梯度下降

    随机梯度下降优化算法_次梯度下降

    随机梯度下降优化算法_次梯度下降5、优化方法：随机梯度下降法5.1介绍在上衣章，我们介绍了图像分类任务中的两个关键部分：一个参数化的评分函数将原始图像像素映射到类得分（例如线性函数） 一个损失函数，它测量预测的分类得分与实际的分类之间的一致程度，来量化一组特定参数集的质量。我们看到有很多方法和版本（例如SoftMax、SVM）。回顾一下，线性评分函数是这样的：f（Xi，W）＝WXi，SVM损失的公式为：…

    全栈程序员-站长的头像 全栈程序员-站长
    2022年9月10日
  • 微信小程序开发入门教程

    微信小程序开发入门教程

    微信小程序开发入门教程做任何程序开发要首先找到其官方文档，我们先来看看其有哪些官方文档。微信小程序开发文档链接为：https://mp.weixin.qq.com/debug/wxadoc/dev/index.html，如下图：  这里就是做微信小程序开发的全部官方文档。知道了文档的位置，下面我们来介绍下如何做一个微信小程序开发： /***************

    全栈程序员-站长的头像 全栈程序员-站长
    2022年6月5日
  • layer弹出图片的问题

    layer弹出图片的问题

    layer弹出图片的问题

    全栈程序员-站长的头像 全栈程序员-站长
    2021年10月28日
  • 俞敏洪新东方的起步_新东方俞敏洪的故事

    俞敏洪新东方的起步_新东方俞敏洪的故事

    俞敏洪新东方的起步_新东方俞敏洪的故事来源：国王与王后丨作者： 果子离啊数据猿官网|www.datayuan.cn今日头条丨一点资讯丨腾讯丨搜狐丨网易丨凤凰丨阿里UC大鱼丨新浪微博丨新浪看点丨百度百家丨博…

    全栈程序员-站长的头像 全栈程序员-站长
    2022年9月12日
  • 关于迁移学习「建议收藏」

    关于迁移学习「建议收藏」

    作者：刘诗昆链接：https://www.zhihu.com/question/41979241/answer/123545914来源：知乎著作权归作者所有。商业转载请联系作者获得授权，非商业转载请注明出处。2018.1.二次更新/重点介绍迁移学习和其相关方向，完整删除之前的答案，并重新规整了迁移学习内容和代表性文章。什么是/为什么要迁移学习？迁移学习(T

    全栈程序员-站长的头像 全栈程序员-站长
    2022年4月17日

发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注

关注全栈程序员社区公众号