1. 全栈程序员必看首页

Wannacry分析

全栈程序员-站长 • • 未分类 • 阅读 31

Wannacry分析一、加密程序（WannaCryptor.exe）1.释放①概览②细节加载资源（多个zip文件），使用开源代码解压，zip文件标志（PK…）解压所得：b.wry(bmp)c.wry(含

大家好，又见面了，我是你们的朋友全栈君。

一、加密程序（WannaCryptor.exe）

1.释放

①概览

 <span role="heading" aria-level="2">Wannacry分析

②细节

加载资源（多个zip文件），使用开源代码解压，zip文件标志（PK…）

      <span role="heading" aria-level="2">Wannacry分析

     解压所得：

   　b.wry (bmp)

　　c.wry (含有一些网址，torproject等)

　　m.wry (rtf)

　　r.wry (txt)

　　t.wry (加密的dll)

　　u.wry (vc6.0 MFC)

 　　<span role="heading" aria-level="2">Wannacry分析

　　通过CSP获取RSA_AES提供者句柄，导入RSA 私钥句柄，这是用于解密dll

　　<span role="heading" aria-level="2">Wannacry分析

　　KEY BLOB(篇幅过长，仅显示部分)

 <span role="heading" aria-level="2">Wannacry分析

读取被加密dll文件信息,加密文件头部含有经2048RSA加密过的AES密钥得到的256字节密文

 <span role="heading" aria-level="2">Wannacry分析

 

解密256字节密文得到16字节明文（AES密钥）再用AES密钥解密文件得到dll

 <span role="heading" aria-level="2">Wannacry分析

注：这时可以从内存中dump出dll文件（我的方式是直接从OD内存中复制16进制，粘贴到010ed

 

将dll 按0x1000粒度对齐并加载到imagebase。

实现：修复IAT，修复重定位，修复区段内存属性，调用tls, 调用DllEntryPoint

 <span role="heading" aria-level="2">Wannacry分析

 

获取并调用dll唯一的一个导出函数

 <span role="heading" aria-level="2">Wannacry分析

 

2.加密（StartSchedule)

Ⅰ.总览

 <span role="heading" aria-level="2">Wannacry分析

 <span role="heading" aria-level="2">Wannacry分析

 <span role="heading" aria-level="2">Wannacry分析

Ⅱ.细分

 ①设置当前目录到注册表

 <span role="heading" aria-level="2">Wannacry分析

②如果系统版本为vista以后，创建计划任务，否则，添加注册表启动项

 <span role="heading" aria-level="2">Wannacry分析

 

创建计划任务方式

命令行:

 <span role="heading" aria-level="2">Wannacry分析

1.xml内容

 <span role="heading" aria-level="2">Wannacry分析

 

查看计划任务：

控制面板->系统和安全->管理工具->计划任务

每一分钟调用一次加密程序

 <span role="heading" aria-level="2">Wannacry分析 

③批处理添加!WannaDecryptor!.exe快捷方式

 <span role="heading" aria-level="2">Wannacry分析

生成bat文件并调用

 <span role="heading" aria-level="2">Wannacry分析

④生成勒索文档

 <span role="heading" aria-level="2">Wannacry分析

勒索内容：

 <span role="heading" aria-level="2">Wannacry分析

⑤生成随机2048RSA密钥对，并将其公钥存入文件，私钥被导入的2048RSA公钥加密，存入文件。

 <span role="heading" aria-level="2">Wannacry分析

⑥线程一

每隔25秒，获取当前时间，并向.res文件中（覆盖式）写入时间和随机八字节数据

表层：

 <span role="heading" aria-level="2">Wannacry分析

内层：

　　生成8字节随机数据

　　 <span role="heading" aria-level="2">Wannacry分析

       线程内：

 　　<span role="heading" aria-level="2">Wannacry分析 

⑦线程二

测试RSA公钥/私钥（加密极小文件，演示解密所用密钥），需要保存私钥的文件存在才能运行。

      <span role="heading" aria-level="2">Wannacry分析

⑧线程三

检测新加的磁盘，加密，并写入垃圾数据

 <span role="heading" aria-level="2">Wannacry分析

⑨线程四

在前置条件成立情况下(初始不成立)，创建进程 !WannaDecryptor!.exe

 <span role="heading" aria-level="2">Wannacry分析

Ⅲ.加密

A.最核心加密函数（多次调用）被我命名为Encrypt_A_directory

其内部函数调用：

1.调用first_round_encrypt函数，遍历文件，分别保存文件夹路径和文件路径在不同的双向链表中，然后遍历文件路径链表，调用encrypt_by_fileType，将未加密文件的路径放入新的链表，以待后续加密。

2.遍历保存文件路径的双向链表，调用encrypt_by_fileType，实现对未加密文件的加密。

3.遍历保存文件夹路径的双向链表，在每个文件夹下，添加勒索信息文件和解密工具快捷方式

4.释放链表

B. first_round_encrypt函数分析

1.保存文件夹路径

 <span role="heading" aria-level="2">Wannacry分析

2.保存文件路径

 <span role="heading" aria-level="2">Wannacry分析

3.遍历链表，加密文件，核心函数encrypt_by_fileType

 <span role="heading" aria-level="2">Wannacry分析

C. encrypt_by_fileType函数分析

对文件类型进行选择，调用aes_encrypt

 <span role="heading" aria-level="2">Wannacry分析

D. aes_encrypt函数分析

根据文件类型,改后缀，或者加后缀,调用encrypt_file1

 <span role="heading" aria-level="2">Wannacry分析

E. encrypt_file1函数分析

1.对于要处理文件，读取其内容，进行判断是否经过处理，并检查其类型

 <span role="heading" aria-level="2">Wannacry分析

2.对于小文件，创建新文件，其名为原文件后加T

 <span role="heading" aria-level="2">Wannacry分析

3.对于大文件，将前0x10000字节复制到文件尾部，并清空前0x10000字节

 <span role="heading" aria-level="2">Wannacry分析

 

 

 

4.生成随机AES密钥，用RSA公钥加密，得到密文。进行密钥扩展，得到DWORD[4*11]，向文件中写入WANNACRY, AES密文字节数，密文，文件类型，文件大小。

 <span role="heading" aria-level="2">Wannacry分析

5.每次拷贝0x100000字节，进行加密

 <span role="heading" aria-level="2">Wannacry分析

E.encrypt_分析

循坏每次取16字节，调用AES_encrypt_16bytes

 <span role="heading" aria-level="2">Wannacry分析

F.AES_encrypt_16bytes分析

轮密钥加变化

 <span role="heading" aria-level="2">Wannacry分析

9轮变换

 <span role="heading" aria-level="2">Wannacry分析

 S盒变换

 <span role="heading" aria-level="2">Wannacry分析

8.对于小文件的AES密钥加密，可能会用另外RSA公钥

 <span role="heading" aria-level="2">Wannacry分析

如果是用的另外公钥，将文件路径写入f.wry，待后面解密器演示

 <span role="heading" aria-level="2">Wannacry分析

Ⅳ.加密流程分析

       返回到分析Most_Important_Encrypt

       1.导入密钥

 <span role="heading" aria-level="2">Wannacry分析

 

 

       2.加密指定目录

　　<desktop>

　　All Users\Desktop

　　My Documents

　　All Users\Documents

 <span role="heading" aria-level="2">Wannacry分析

3.全盘加密

先加密非网盘，再加密网盘

 <span role="heading" aria-level="2">Wannacry分析

4. 启动解密器，两次全盘写入大量垃圾数据覆盖并删除。

 <span role="heading" aria-level="2">Wannacry分析

encrypt_and_wirte_junk_data

 <span role="heading" aria-level="2">Wannacry分析

二、解密程序

解密程序为vc6.0 MFC 程序，根据命令行参数，有三种不同功能

OnInitDialog内部：

 

       1.命令行参数为 v

       Cmd 命令删除shandowCopy

　　 <span role="heading" aria-level="2">Wannacry分析

2.命令行参数c

       下载torbrowser,连接tor服务器

 <span role="heading" aria-level="2">Wannacry分析

       ①从文件中获取网址

 <span role="heading" aria-level="2">Wannacry分析

　　②下载torbrowser

　　失败，已经没有那个版本了，现在都10.0了

 <span role="heading" aria-level="2">Wannacry分析

然后是以127.0.0.1去连tor服务器

 <span role="heading" aria-level="2">Wannacry分析

 

 

3.无命令行参数

       生成界面

 <span role="heading" aria-level="2">Wannacry分析

<span role="heading" aria-level="2">Wannacry分析

 

版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请联系我们举报，一经查实，本站将立刻删除。

发布者：全栈程序员-站长，转载请注明出处：https://javaforall.net/154738.html原文链接：https://javaforall.net

赞 (0)
全栈程序员-站长的头像全栈程序员-站长
0 0


相关推荐

  • 偏态分布学习笔记（期望，中位数，众数）

    偏态分布学习笔记（期望，中位数，众数）

    偏态分布学习笔记（期望，中位数，众数）一：偏态函数分类（1）正态（期望=中位数=众数）（2）正偏态：也称为右偏态（期望>中位数>众数）（3）负偏态：也称左偏态(期望<中位数<众数)二：如何辨认正负偏态函数关键：看尾巴哪边长，左边尾巴长的成为左偏态（负偏态），反之右偏态（正偏态）三：关于期望，中位数，众数参考上面的草图：可以这样理解，（1）对于正偏态而言，数据大多分布在右侧，从而也就把期望与中位数往右侧移动。（2）对于负偏态而言，数据大多分布在左侧，从而也就把期望与中位数往左侧移动。…

    全栈程序员-站长的头像 全栈程序员-站长
    2022年9月13日
    3
  • javauuid怎么获取_java uri类

    javauuid怎么获取_java uri类

    javauuid怎么获取_java uri类2.UUID工具类importjava.util.UUID;publicclassUUIDGenerator{publicUUIDGenerator(){}publicstaticStringgetUUID(){returnUUID.randomUUID().toString();}/***获得一个UUID**@returnStringUUID*/public…

    全栈程序员-站长的头像 全栈程序员-站长
    2022年8月10日
    6
  • 深入浅出 RPC – 深入篇

    深入浅出 RPC – 深入篇

    深入浅出 RPC – 深入篇

    全栈程序员-站长的头像 全栈程序员-站长
    2022年3月12日
    47
  • 关键字推广公司境外服务器维护,如何维护网站关键词排名

    关键字推广公司境外服务器维护,如何维护网站关键词排名

    关键字推广公司境外服务器维护,如何维护网站关键词排名

    全栈程序员-站长的头像 全栈程序员-站长
    2021年11月28日
    224
  • Azkaban简介

    Azkaban简介

    Azkaban简介一 Azkaban 概论 1 1Azkaban 是什么 1 Azkaban 是由 Linkedin 公司推出的一个批量工作流任务调度器 2 主要用于在一个工作流内以一个特定的顺序运行一组工作和流程 它的配置是通过简单的 key value 对的方式 3 通过配置中的 dependencies 来设置依赖关系 这个依赖关系必须是无环的 否则会被视为无效的工作流 4 Azkaban 使用 job 配置文件建立任务之间的依赖关系 并提供一个易于使用的 web 用户界面维护和跟踪你的工作流 1 2 为什么需要工作流调度

    全栈程序员-站长的头像 全栈程序员-站长
    2025年7月24日
    5
  • 错误的类文件：apache-tomcat-7.0.73-windows-x64\apache-tomcat-7.0.73 \lib\servlet-api.jar(javax/servlet/http

    错误的类文件：apache-tomcat-7.0.73-windows-x64\apache-tomcat-7.0.73 \lib\servlet-api.jar(javax/servlet/http

    错误的类文件：apache-tomcat-7.0.73-windows-x64\apache-tomcat-7.0.73 \lib\servlet-api.jar(javax/servlet/http错误的类文件：apache-tomcat-7.0.73-windows-x64\apache-tomcat-7.0.73 \lib\servlet-api.jar(javax/servlet/http

    全栈程序员-站长的头像 全栈程序员-站长
    2022年4月25日
    48

发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注

关注全栈程序员社区公众号