WannaCry勒索病毒分析

分析病毒四部曲

在工作中，病毒分析师的任务就是从中毒的机器中提取样本，第一时间手工清理或是修复机器现场，之后再做分析。

分析病毒可以细分为四部曲：

1．提取样本，手工清理机器

2．行为分折，获取病毒行为

3.   详细分折，找到行为的恶意代码

4.   提出解决方案，提取特征给公司产品，完成查杀，编写文档报告，有条件编写专杀工具

样本的提取

在虚拟机中，运行样本（需要断网）。待病毒执行之后，开始提取样本。

使用PCHunter观察：

1.   查看可疑进程

2．查看启动项（注册表、计划任务等）

3．查看驱动、服务等可疑项

4.   查看其他杂项，网络连接

5.   使用抓包工具（WSExplorer）查看可疑流量

无异常

6、其他

样本信息：

文件: C:\Users\15PB\Desktop\Wannary\WannaCry.exe

大小: 3723264 bytes

文件版本:6.1.7601.17514 (win7sp1_rtm.101119-1850)

修改时间: 2017年5月13日, 13:55:05

MD5: DB349B97C37D22F5EA1D1841E3C89EB4

SHA1: E889544AFF85FFAF8B0D0DA705105DEE7C97FE26

SHA256：24d004a104d4d54034dbcffc2a4b19a11f39008a575aa614ea04703480b1022c

CRC32: 9FBB1227

文件: C:\ProgramData\znemvazsnwpqy217\Wannacry.exe

大小: 3514368 bytes

文件版本:6.1.7601.17514 (win7sp1_rtm.101119-1850)

修改时间: 2022年7月11日, 13:22:29

MD5: 84C82835A5D21BBCF75A61706D8AB549

SHA1: 5FF465AFAABCBF0150D1A3AB2C2E74F3A4426467

CRC32: 4022FCAA

使用PEid查看样本信息，VC++6.0的程序，并且没有加壳

查看其导入表：

使用ResourceHack查看资源,发现资源中有PE文件，将其提取出来

使用PEid的插件Krypto ANALyzer查看用到那些算法：

再看看刚才从资源中提取出的wannacry2.exe，查看其导入表：

用到了创建进程、获取资源、创建服务、注册表等相关API函数

使用ResourceHack查看资源，用到了PK压缩包，将其提取出来，命名为 : wannacry3.zip

提取出来后，压缩包中的内容是加密的：

手工清理机器：

1、结束可疑进程

2、删除可疑进程启动项，删除可疑服务的注册表键值，删除生成的一些文件

3、手工无法清除病毒，需要进一步分析

行为分析

获取样本之后，在虚拟机中，使用监控工具监控样本的运行。待病毒执行差不多之后，查看病毒的行为。(本病毒程序需要断网）

使用火绒剑，将样本拖到火绒剑，对样本进行监控：

1. 文件操作，主要看文件创建、修改、删除等操作

2. 注册表操作，主要看注册表设置、创建等操作

3.   进程操作，主要看创建进程、写入内存等操作

4．网络操作，主要看网络连接地址、IP等信息

5.   其他行为，以及人肉看样本运行后的反应

查看执行监控

分析样本的行为之后，发现的恶意行为：

1、在C:\Windows目录下创建病毒文件：tasksche.exe，在C:\ProgramData目录下创建文件夹：znemvazsnwpqy217

2、创建@Please_Read_Me@.txt文件，将文件感染为.WINCRY文件

3、创建注册表键值、设置注册表键值，HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\WannaCry_RASAPI32

HKEY_LOCAL_MACHINE\Software\Microsoft\Tracing\WannaCry_RASMANCS

4、设置启动项：C:\ProgramD