2017年5 月12 日晚上20 時(shí)左右，全球爆發(fā)大規(guī)模蠕蟲勒索軟件感染事件，僅僅幾個(gè)小時(shí)內(nèi)，該勒索軟件已經(jīng)攻擊了99個(gè)國家近萬臺(tái)電腦。英國、美國、俄羅斯、德國、土耳其、意大利、中國、菲律賓等國家都已中招，且攻擊仍在蔓延。
據(jù)報(bào)道，勒索攻擊導(dǎo)致16家英國醫(yī)院業(yè)務(wù)癱瘓，西班牙某電信公司有85%的電腦感染該惡意程序。至少1600家美國組織，11200家俄羅斯組織和6500家中國組織和企業(yè)都受到了攻擊。國內(nèi)也有大量教學(xué)系統(tǒng)癱瘓，包括校園一卡通系統(tǒng)。
瑞星的研究人員對(duì)勒索軟件進(jìn)行詳細(xì)的分析，并且給出多種解決方案，包括“永恒之藍(lán)”病毒免疫工具。
一、背景介紹
WannaCry勒索病毒 通過windows操作系統(tǒng)漏洞EternalBlue永恒之藍(lán) 發(fā)起攻擊。3月14 微軟已經(jīng)發(fā)布補(bǔ)丁，由于很多受害者沒有及時(shí)安裝補(bǔ)丁，導(dǎo)致被病毒攻擊，計(jì)算機(jī)中的文件被加密。
二、詳細(xì)分析
病毒分為漏洞利用模塊，加密器，解密器
攻擊邏輯如下：
攻擊者發(fā)起攻擊，被攻擊機(jī)器由于存在漏洞，導(dǎo)致自身中毒。中毒之后漏洞利用模塊啟動(dòng)，
漏洞利用模塊運(yùn)行之后，釋放加密器和解密器，啟動(dòng)攻擊線程，隨機(jī)生成ip地址，攻擊全球。
加密器啟動(dòng)之后，加密指定類型的文件。文件全部加密之后，啟動(dòng)解密器
解密器啟動(dòng)之后，設(shè)置桌面背景顯示勒索信息，彈出窗口 顯示付款賬號(hào)和勒索信。威脅用戶指定時(shí)間內(nèi)不付款文件無法恢復(fù)。
漏洞利用模塊分析
1、啟動(dòng)之后判斷命令行參數(shù)，是否已經(jīng)釋放文件。如果沒有釋放文件則釋放文件，啟動(dòng)釋放的加密器，把自身設(shè)置為服務(wù)。
圖-創(chuàng)建服務(wù)
病毒主程序 偽裝為微軟安全中心
圖-偽裝為服務(wù)
從資源中解密文件
圖-從資源中釋放出加密器
拼湊路徑
圖-拼湊加密器釋放的路徑
釋放加密器
圖-釋放加密器
啟動(dòng)加密器
圖-啟動(dòng)加密器程序
2、如果服務(wù)創(chuàng)建成功，則啟動(dòng)服務(wù)進(jìn)入服務(wù)函數(shù)，創(chuàng)建線程 執(zhí)行相應(yīng)功能
圖-隨機(jī)生成攻擊IP
圖-利用漏洞攻擊生成的ip
攻擊線程中構(gòu)造exploit 發(fā)送漏洞利用程序數(shù)據(jù)包
復(fù)制shellcode
圖-構(gòu)造漏洞利用數(shù)據(jù)包
發(fā)送數(shù)據(jù)包 利用漏洞攻擊攻擊生成的ip
圖-收發(fā)數(shù)據(jù)包
圖-發(fā)送漏洞利用數(shù)據(jù)包
隨機(jī)生成IP 攻擊全球主機(jī)
圖-被攻擊ip
加密器分析
加密器啟動(dòng)之后復(fù)制自身到C：\ProgramData\dhoodadzaskflip373（不同的系統(tǒng)會(huì)復(fù)制到不同的目錄）目錄下
圖-復(fù)制自身并啟動(dòng)
創(chuàng)建服務(wù) 使用cmd命令啟動(dòng)自身 防止被結(jié)束進(jìn)程
創(chuàng)建服務(wù)
圖-創(chuàng)建服務(wù) 防止被結(jié)束
各參數(shù)信息
圖-服務(wù)信息
創(chuàng)建互斥體 防止運(yùn)行多個(gè)實(shí)例
MsWinZonesCacheCounterMutexA
創(chuàng)建注冊(cè)表鍵值
圖-創(chuàng)建注冊(cè)表鍵值
從資源中解密出相關(guān)文件
包括提權(quán)模塊taskse.exe 、 清空回收站模塊taskdl.exe、解密器程序@WanaDecryptor@
還有一些 語言資源文件和 配置文件
圖-加密器釋放的文件
然后隨機(jī)從三個(gè)比特幣錢包中選取一個(gè) 作為勒索顯示信息
圖-比特幣錢包地址
把釋放的文件夾 所有文件 設(shè)置為隱藏屬性
圖-釋放的文件設(shè)置為隱藏
遍歷查找文件
圖-遍歷文件
判斷是否是不感染的路徑
圖-判斷路徑
判斷是否是要加密的文件類型
圖-判斷文件類型
讀取文件并加密
圖-讀取文件
刪除原來的文件 只保留加密后的文件
圖-刪除原文件
病毒會(huì)加密指定類型的文件
以下是病毒加密的文件類型
加密的文件類型
加密后的文件添加后綴 .WNCRYT
圖-被加密的文件后綴
加密完成之后運(yùn)行解密器 彈出勒索窗口
解密器分析
解密器運(yùn)行之后會(huì)刪除windows自動(dòng)備份 無法還原被加密的文件
圖-刪除備份
修改桌面背景 顯示勒索信息
圖-勒索信息
彈出勒索窗口，顯示比特幣錢包地址和付款金額
圖-勒索彈窗
解決方案：
1、打補(bǔ)丁
由于此次勒索病毒大范圍傳播是由于很多機(jī)器沒有打補(bǔ)丁，被攻擊之后導(dǎo)致中毒。
沒有中毒的機(jī)器，盡快打補(bǔ)丁可以避免中毒。
更新微軟MS17-010漏洞補(bǔ)丁，對(duì)應(yīng)不同系統(tǒng)的補(bǔ)丁號(hào)對(duì)照表：
2、關(guān)閉端口
由于此漏洞需要利用445端口傳播，關(guān)閉端口 漏洞就無法利用
關(guān)閉端口詳細(xì)方法見附錄
3、創(chuàng)建互斥體
由于加密器，啟動(dòng)之后會(huì)檢測(cè)是否已經(jīng)有加密器程序存在，防止互相之間干擾，所以會(huì)創(chuàng)建互斥體MsWinZonesCacheCounterMutexA。只要檢測(cè)到互斥體存在就會(huì)關(guān)閉程序。安全軟件可以利用這一點(diǎn) 讓病毒運(yùn)行之后自動(dòng)退出，無法加密文件。
4、瑞星安全研究院為了使廣大用戶更方便、更高效的防御此病毒，率先發(fā)布了“永恒之藍(lán)”病毒免疫工具，用戶下載并運(yùn)行此工具便可防御此病毒。
下載地址：
瑞星“永恒之藍(lán)”免疫工具
http：//downlOAd.rising.net.cn/zsgj/EternalBluemianyi.exe
瑞星“永恒之藍(lán)”免疫工具+殺軟
http：//download.rising.net.cn/zsgj/EternalBluemianyi_sharuan.exe
以上多個(gè)步驟，用戶可以根據(jù)實(shí)際情況選擇合適的方式進(jìn)行選擇一個(gè)或多個(gè)，然后使用“一鍵搞定”即可，后臺(tái)即會(huì)自動(dòng)按照選擇的免疫方式執(zhí)行。
1.安裝瑞星安全云終端
瑞星全線產(chǎn)品最新版本都能查殺“永恒之藍(lán)”病毒，考慮到有些用戶沒有安裝殺毒軟件或者使用了不能查殺該病毒的產(chǎn)品，能夠快速安裝安全云終端產(chǎn)品，方便對(duì)病毒進(jìn)行查殺。
2.關(guān)閉SMBv1
該病毒網(wǎng)絡(luò)傳播本身是利用了SMBv1協(xié)議的漏洞，所以通過關(guān)閉SMBv1協(xié)議已達(dá)到阻止病毒傳播的途徑效果，使用該方法，需要重啟后方才生效。
3.增加系統(tǒng)防火墻規(guī)則
有些用戶環(huán)境不允許計(jì)算機(jī)重啟，所以另一種方式就是開啟系統(tǒng)防火墻并增加阻止病毒傳播利用的端口，達(dá)到免疫目的。
4.打系統(tǒng)補(bǔ)丁
病毒畢竟是利用了微軟的漏洞，所以打補(bǔ)丁理論上是最好的方式，免疫工具里特別針對(duì)本次MS17-010漏洞進(jìn)行掃描識(shí)別，并自動(dòng)通過互聯(lián)網(wǎng)去下載需要的補(bǔ)丁進(jìn)行安裝修復(fù)。
5、瑞星不同產(chǎn)品均已做出反饋并給出解決方案，包括安全終端解決方案、云安全解決方案以及網(wǎng)關(guān)安全解決方案，只要瑞星用戶將產(chǎn)品更新到最新版本，均可抵御此勒索病毒
核心關(guān)注：拓步ERP系統(tǒng)平臺(tái)是覆蓋了眾多的業(yè)務(wù)領(lǐng)域、行業(yè)應(yīng)用，蘊(yùn)涵了豐富的ERP管理思想，集成了ERP軟件業(yè)務(wù)管理理念，功能涉及供應(yīng)鏈、成本、制造、CRM、HR等眾多業(yè)務(wù)領(lǐng)域的管理，全面涵蓋了企業(yè)關(guān)注ERP管理系統(tǒng)的核心領(lǐng)域，是眾多中小企業(yè)信息化建設(shè)首選的ERP管理軟件信賴品牌。
轉(zhuǎn)載請(qǐng)注明出處：拓步ERP資訊網(wǎng)http://www.oesoe.com/
本文標(biāo)題：WannaCry勒索病毒分析報(bào)告
本文網(wǎng)址：http://www.oesoe.com/html/consultation/10839520660.html
相關(guān)文章
