对勒索病毒的逆向分析（对勒索病毒的逆向分析是）
cac55 2024-10-19 02:58 34 浏览 0 评论
样本分析准备
基础知识：
1.需要具备一定的开发能力
2.熟悉汇编语言
3.PE文件结构的掌握
工具使用：
熟练掌握以下常用工具的功能，基于以下工具展开详细分析，可以对病毒样本进行一个详细流程和功能分析，从而分析还原出关键的病毒功能，及研究对应的对抗方案。
样本分析流程
对一个病毒样本或者软件详细分析，一般可以通过五个步骤进行分析样本功能：样本基本属性、样本结构、样本静态分析、样本功能行为监控、样本动态分析。基于以上的五个步骤基本上可以分析出详细的样本功能实现。
样本基本信息
通过PEID、ExeInfoPE工具分析出样本的几个基本属性。
通过Hasher工具可以分析出样本的MD5、sha1、CRC32的属性值。
PEID、ExeInfoPE两个工具原理：
通过解析PE文件结构解析出样本的区段信息、通过匹配征码方式匹配出样本是否加壳、加什么壳，样本开发语言和开发工具。
样本功能分析
病毒样本功能可以从几个维度分析：自启动(服务器，注册表)、释放文件、网络通信、加密解密。
主要通过静态IDA分析和动态ollydbg分析相结合，通过IDA分析出样本中的流程结构（也重点关注下导入表信息，字符串信息），然后再针对每个函数进行分析，函数中的参数传递和返回值信息通过ollydbg工具附加下断点进行动态调试分析。
以下流程图是整个病毒样本的功能流程，主要就是进行系统服务操作，利用微软的SMB漏洞进行445端口漏洞的尝试、释放真正的勒索病毒样本。
样本在IDA工具中的main函数的流程结构
样本入口函数的关键功能函数实现的解析
恶意代码功能解析
开始对445端口漏洞尝试功能解析
进行内网445端口漏洞尝试功能实现解析
进行外网445端口漏洞尝试功能实现解析
漏洞尝试的效果展示
释放真正的勒索病毒文件
通过从应用程序的资源部分进行释放出病毒样本exe和dll模块，并将样本的exe和dll模块释放到C盘的windows目录下，以伪装成为系统程序。
释放样本文件效果展示
通过procmon工具，并进行针对病毒样本进程进行监控，可以实际监控到样本释放文件的操作。
释放勒索病毒功能梳理
释放出来的样本在IDA中展示main函数的流程结构（直接用拖入方式即可）
样本main函数流程中的关键函数进行解析
样本中将比特币账号采用硬编码方式直接写在代码中
采用微软的加解密算法，通过调用系统CryptDecrypt和CryptDecrypt函数用于进行加解密ZIP文件。
动态释放模块进行判断释放出来的文件是否是标准PE文件（判断PE文件的DOS头部分“MZ”，在进行判断NT头的PE签名信息“PE”）
勒索病毒对以下所有后缀文件进行加密，这些后缀文件基本覆盖所有类型的文件。
（仅分享样本大概功能流程，还有如核心的加解密算法相关的功能没有进行分析）
对勒索病毒的一点思考
1.预防中病毒通用方案
- 在系统上安装病毒查杀软件并及时更新病毒特征库并定时查杀（建议安装火绒）。
- 从互联网上下载的文件、程序进行查看数字签名有效性，并手动扫描查询文件。
- 使用移动存储介质时，进行查杀病毒后再进行打开。
- 不随意打开、安装陌生或来路不明的软件。
2.分析勒索病毒
- 断网的虚拟机环境
- PE文件解析工具进行静态PE文件分析。
- IDA静态流程和ollydbg动态流程分析。
3.勒索病毒预防解决方案
- 主动关闭系统中135、137、139、445端口。
- 创建一个互斥体名称为Global\\MsWinZonesCacheCounterMutexA,让勒索病毒程序 启动不起来（仅功能的对抗思路）。
- 及时更新系统补丁程序。
- 定期备份重要的数据在不同位置（网盘、移动硬盘）。
相关推荐
- 服务器用的CPU和个人电脑用的CPU有什么区别?一篇文章告诉你!
-
服务器cpu和普通cpu的区别你的电脑CPU是‘短跑健将’，服务器CPU却是‘铁人三项选手’——它不追求瞬间爆发力，而要7×24小时扛住千军万马的数据洪流！想知道为什么企业机房敢收天价服务费？答案全藏...
- “吃鸡”新版本第1天，玩家进入游戏点击“立即更新”，后悔了!
-
欢迎诸位小伙伴们来到天哥开讲的《和平精英》“精英小课堂”~每逢两三个月，这款游戏就会迎来一次大版本迭代更新，很多朋友会在第一时间更新版本，前往全新的主题模式里一探究竟。不过也有一些老玩家并不会立刻更新...
- 中关村在线·aigo存储杯《无畏契约》全国高校争霸赛招募启事
-
以青春之名，燃电竞之火1赛事背景与宗旨在金秋送爽的9月，芊芊学子们即将回归校园生活。为了给精彩的校园生活锦上添花，由中关村在线与aigo存储联合主办的《无畏契约》全国高校争霸赛正式启幕，旨在为全国高...
- 【生肖狗】9.7-9.10提醒:人算不如天算，转变即是转机
-
九月上旬的风，带着秋意的清爽，也带着几分不可捉摸的变数。对于生肖狗的朋友们来说，9月7日到9月10日这四天，格外需要留意“计划与变化”的碰撞——你们向来习惯提前规划，做事稳妥周全...
- 转转客服IM系统的WebSocket集群架构设计和部署方案
-
本文由转转技术李帅分享，原题“转转客服IM的WebSocket集群部署方案”，下文有修订和重新排版。1、引言转转作为国内头部的二手闲置交易平台，拥有上亿的用户。用户在使用转转app遇到问题时，一般可以...
- 上线3天Steam好评率86%，《时间旅者:重生曙光》开启生存恐怖新篇章
-
这里究竟发生了什么?末日降临，真正的故事悄然启幕。目前，生存恐怖类游戏《时间旅者：重生曙光(Cronos:TheNewDawn)》已在PC(Steam、EpicGamesStore)、P...
- 什么神仙洗衣机让我一天有28小时?拆开松下「大四洗」藏了啥秘密
-
说起家庭洗衣的烦恼，想必很多人都有过类似的经历：贴身内衣要单独洗，宝宝的口水巾得小心呵护，宠物玩具怕藏污纳垢，床单被套又体积庞大，把这些东西混在一起洗担心越洗越脏，分开洗又得反复操作，洗完烘、烘完再洗...
- 爆料人挖出GTA6注册的奇葩域名 延续经典讽刺风格
-
等待《侠盗猎车手6》的日子跨越了数个春秋，在游戏圈期盼着这部可能成为史上最重磅游戏的过程中，每过一段时间就会有些许消息浮出水面。最新线索来自数据挖掘者Tez2在GTA论坛的发现，他可能偶然发现了关于...
- 跟着故事去旅行——读《驼峰间:旅行、探险与征服》
-
作者：郭冰茹《驼峰间》记录了旅行家伊本·白图泰有生之年流传的一则寓言，说一对父子被关进了监狱，有一天儿子问父亲他们每天吃的都是些什么肉，父亲说有牛、羊和骆驼，并且详细地描述了每种动物的特点。但不管父亲...
- 前端工程师需要熟悉的Linux服务器(SSH 终端操作)指令
-
在Linux服务器管理中，SSH（SecureShell）是远程操作的核心工具。以下是SSH终端操作的常用命令和技巧，涵盖连接、文件操作、系统管理等场景：一、SSH连接服务器1.基本连接...
- 跳票6年后，「丝之歌」首发把Steam服务器干爆了 | 玩点好的
-
文丨果脯樱花隧道昨天晚上22点，「鸽」了6年的《空洞骑士：丝之歌》终于上线，算是了却不少玩家的执念。毕竟，这款游戏实在让人等了太多太多年，而且曾有过多次定档后跳票的「案底」，不知道把多少人都整出了P...
- 对标魔兽失败!腾讯版“魔兽”运营一年多后，宣布国际服凉凉
-
大家好，这里是正惊游戏，我是正惊小弟。有很多游戏都想干掉《魔兽世界》，但是大部分魔兽杀手都知道自己不是魔兽的对手，不过是想蹭一下人气而已。腾讯也有一款曾经想对标魔兽的大作，可是上线才一年半国际服就宣布...
- 408 Request Timeout:服务器等待客户端发送请求的时间过长。
-
408RequestTimeout是HTTP状态码之一，表示客户端在发送请求时，服务器等待的时间过长，最终放弃了处理该请求。此问题通常与网络延迟、客户端配置、服务器设置或者应用程序的性能有关...
- 梦幻西游:9.9维护解读，全新时间服锁定129级
-
梦幻西游：9.9维护解读，全新时间服锁定129级9月9日维护解读。1、教师节活动开启，一共7天。挂机，答题，收笔墨纸砚，收海马，搞起来。或者是提前收点家具，教师节期间体力珍贵，家具会涨价。又或者是教师...
- 只是拆掉一面墙，空间就立马大变样，这种设计思路，值得学习
-
你有没有过这样的经历？刚买的房子户型图看起来方方正正，装修完却发现——玄关鞋柜只能塞在角落，进门就撞墙；餐厅正好在过道中间，吃饭像走流程；明明有四个房间，却有一个空着没用，像块食之无味的鸡肋；客餐厅之...
欢迎 你 发表评论:
- 一周热门
- 最近发表
-
- 服务器用的CPU和个人电脑用的CPU有什么区别?一篇文章告诉你!
- “吃鸡”新版本第1天，玩家进入游戏点击“立即更新”，后悔了!
- 中关村在线·aigo存储杯《无畏契约》全国高校争霸赛招募启事
- 【生肖狗】9.7-9.10提醒:人算不如天算，转变即是转机
- 转转客服IM系统的WebSocket集群架构设计和部署方案
- 上线3天Steam好评率86%，《时间旅者:重生曙光》开启生存恐怖新篇章
- 什么神仙洗衣机让我一天有28小时?拆开松下「大四洗」藏了啥秘密
- 爆料人挖出GTA6注册的奇葩域名 延续经典讽刺风格
- 跟着故事去旅行——读《驼峰间:旅行、探险与征服》
- 前端工程师需要熟悉的Linux服务器(SSH 终端操作)指令
- 标签列表
-
- 如何绘制折线图 (52)
- javaabstract (48)
- 新浪微博头像 (53)
- grub4dos (66)
- s扫描器 (51)
- httpfile dll (48)
- ps实例教程 (55)
- taskmgr (51)
- s spline (61)
- vnc远程控制 (47)
- 数据丢失 (47)
- wbem (57)
- flac文件 (72)
- 网页制作基础教程 (53)
- 镜像文件刻录 (61)
- ug5 0软件免费下载 (78)
- debian下载 (53)
- ubuntu10 04 (60)
- web qq登录 (59)
- 笔记本变成无线路由 (52)
- flash player 11 4 (50)
- 右键菜单清理 (78)
- cuteftp 注册码 (57)
- ospf协议 (53)
- ms17 010 下载 (60)