麦青儿 - 2017-5-14 14:52:00
一. 背景介绍
WannaCry勒索病毒 通过windows操作系统漏洞EternalBlue永恒之蓝 发起攻击。3月14 微软已经发布补丁，由于很多受害者没有及时安装补丁，导致被病毒攻击，计算机中的文件被加密。
二. 详细分析
病毒分为漏洞利用模块，加密器，解密器
攻击逻辑如下：
攻击者发起攻击，被攻击机器由于存在漏洞，导致自身中毒。中毒之后漏洞利用模块启动，漏洞利用模块运行之后，释放加密器和解密器，启动攻击线程，随机生成ip地址，攻击全球。加密器启动之后，加密指定类型的文件。文件全部加密之后，启动解密器。解密器启动之后，设置桌面背景显示勒索信息，弹出窗口 显示付款账号和勒索信。威胁用户指定时间内不付款文件无法恢复。
漏洞利用模块分析
1.启动之后判断命令行参数，是否已经释放文件。如果没有释放文件则释放文件，启动释放的加密器，把自身设置为服务。
复制shellcode
加密器启动之后复制自身到C:\ProgramData\dhoodadzaskflip373（不同的系统会复制到不同的目录）目录下
创建服务
MsWinZonesCacheCounterMutexA
创建注册表键值
包括提权模块taskse.exe 、 清空回收站模块taskdl.exe、解密器程序@WanaDecryptor@
还有一些 语言资源文件和 配置文件
解密器分析
解密器运行之后会删除windows自动备份 无法还原被加密的文件
1.打补丁
由于此次勒索病毒大范围传播是由于很多机器没有打补丁，被攻击之后导致中毒。没有中毒的机器，尽快打补丁可以避免中毒。
2.关闭端口
由于此漏洞需要利用445端口传播，关闭端口 漏洞就无法利用
关闭端口详细方法见附录
3.创建互斥体
由于加密器，启动之后会检测是否已经有加密器程序存在，防止互相之间干扰，所以会创建互斥体MsWinZonesCacheCounterMutexA。只要检测到互斥体存在就会关闭程序。安全软件可以利用这一点 让病毒运行之后自动退出，无法加密文件。
附录 关闭端口方法
设置本机防火墙策略阻止本机445端口访问
1）WindowsXP 防火墙设置方法：
2）Win7/Win8/Win10防火墙设置方法：
WannaCry勒索病毒 通过windows操作系统漏洞EternalBlue永恒之蓝 发起攻击。3月14 微软已经发布补丁，由于很多受害者没有及时安装补丁，导致被病毒攻击，计算机中的文件被加密。
二. 详细分析
病毒分为漏洞利用模块，加密器，解密器
攻击逻辑如下：
攻击者发起攻击，被攻击机器由于存在漏洞，导致自身中毒。中毒之后漏洞利用模块启动，漏洞利用模块运行之后，释放加密器和解密器，启动攻击线程，随机生成ip地址，攻击全球。加密器启动之后，加密指定类型的文件。文件全部加密之后，启动解密器。解密器启动之后，设置桌面背景显示勒索信息，弹出窗口 显示付款账号和勒索信。威胁用户指定时间内不付款文件无法恢复。
漏洞利用模块分析
1.启动之后判断命令行参数，是否已经释放文件。如果没有释放文件则释放文件，启动释放的加密器，把自身设置为服务。
图-创建服务
图-伪装为服务
图-从资源中释放出加密器
图-拼凑加密器释放的路径
图-释放加密器
图-启动加密器程序
图-随机生成攻击IP
图-利用漏洞攻击生成的IP
复制shellcode
图-构造漏洞利用数据包
图-收发数据包
图-发送漏洞利用数据包
图-被攻击IP
加密器启动之后复制自身到C:\ProgramData\dhoodadzaskflip373（不同的系统会复制到不同的目录）目录下
图-复制自身并启动
创建服务
图-创建服务 防止被结束
图-服务信息
MsWinZonesCacheCounterMutexA
创建注册表键值
图-创建注册表键值
包括提权模块taskse.exe 、 清空回收站模块taskdl.exe、解密器程序@WanaDecryptor@
还有一些 语言资源文件和 配置文件
图-加密器释放的文件
图-比特币钱包地址
图-释放的文件设置为隐藏
图-遍历文件
图-判断路径
图-判断文件类型
图-读取文件
图-删除原文件
图-加密的文件类型
图-被加密的文件后缀
解密器分析
解密器运行之后会删除windows自动备份 无法还原被加密的文件
图-删除备份
图-勒索信息
弹出勒索窗口，显示比特币钱包地址和付款金额
图-勒索弹窗
1.打补丁
由于此次勒索病毒大范围传播是由于很多机器没有打补丁，被攻击之后导致中毒。没有中毒的机器，尽快打补丁可以避免中毒。
2.关闭端口
由于此漏洞需要利用445端口传播，关闭端口 漏洞就无法利用
关闭端口详细方法见附录
3.创建互斥体
由于加密器，启动之后会检测是否已经有加密器程序存在，防止互相之间干扰，所以会创建互斥体MsWinZonesCacheCounterMutexA。只要检测到互斥体存在就会关闭程序。安全软件可以利用这一点 让病毒运行之后自动退出，无法加密文件。
附录 关闭端口方法
设置本机防火墙策略阻止本机445端口访问
1）WindowsXP 防火墙设置方法：
2）Win7/Win8/Win10防火墙设置方法：
启用防火墙
高级设置
新建入站规则
创建端口过滤规则
指定协议类型和端口号
阻止连接
规则应用到全部