0x00 信息收集

• 样本信息：

  文件: D:\Virus\样本\永恒之蓝WannaCry样本

  1 2 3 4 5 6

  大小: 3723264 bytes 文件版本:6.1.7601.17514 (win7sp1_rtm.101119-1850) 修改时间: 2017年5月13日, 13：55：05 MD5: DB349B97C37D22F5EA1D1841E3C89EB4 SHA1: E889544AFF85FFAF8B0D0DA705105DEE7C97FE26 CRC32: 9FBB1227

• PEID分析：

  

  1 2 3

  使用它的插件扫描一下使用了那些加密算法：   可以发现有一些加密解密、压缩解压缩的操作，用到了AES加密库、微软的加密库、ZIP2、ZLIB等API。        

• ResourceHacker查看样本资源：

  发现资源中藏着一个PE文件，可能会释放文件，我们可以把它提取出来保存一份，根据微步云沙箱的检测这是一个EXE文件，所以这里我们把它保存为EXE文件：

• LordPE查看样本输入表，发现有使用网络相关的操作：

0x01 主程序行为分析

• 行为信息：

  

  • 释放PE文件到C:\Windows\taskse.exe、

    C:\ProgramData\znemvazsnwpqy217\taskse.exe和

    C:\ProgramData\znemvazsnwpqy217\@WanaDecryptor@.exe

  • 启动C:\Windows\taskse.exe

  • 自我复制

• 进程信息：

  

  • 打开网络相关设备\Device\Afd、\Device\Nsi

  • 打开进程

  • 创建进程C:\Windows\taskse.exe

  • 跨进程写入数据

  • 恢复目标进程线程

• 注册表信息：

  

  • 大量打开并获取注册表键值

• 文件信息：

  

  • 打开大量的DLL文件

  • 遍历目录寻找.pbk文件->没有找到

  • 在C:\Windows下创建了tasksche.exe文件并设置文件属性

  • 在C:\ProgramData\znemvazsnwpqy217下创建了tasksche.exe文件并设置文件属性

• 执行情况：

  

  • 启动进程->样本本体

  • 加载模块->C:\Windows\winsxs\x86_microsoft.windows.common-controls_6595b64144ccf1df_6.0.7601.17514_none_41e6975e2bd6f2b2\comctl32.dll

  • 启动进程->C:\Windows\tasksche.exe

  • 退出进程->样本本体和C:\Windows\tasksche.exe

0x02 主代码分析（WinMain）

Sub_408090()

Sub_408000()

Sub_407BD0()

Sub_407B90()

• Sub_407A20()

1. 第一个PE文件起始RVA是B020,大小是C8A4,由于不知道是什么格式只知道是个PE文件，这里就暂时保存为EXE文件吧

然后LordPE查看它的输入输出表，可以看到输出表就一个函数PlayGame，有点奇怪

1. 第二个PE文件的起始RVA是F080，大小是4060：

第一个线程Sub_407720()

• sub_409160()

  除了获取网卡信息以及IP地址列表、网关列表之外还有大量的数据计算，实在不好分析，这里就使用OD动态调试吧，看看到底有什么结果：

• Sub_4076B0()

  

  继续向下分析可见这个线程就是用来收发数据的

第二个线程Sub_407840()

总结一下Sub_408000():

总结一下Sub_407BD0():

Sub_407F20()

这个函数调用了两个函数，我们分别进入分析：

sub_407C40()

这个函数挺简单的，就是创建并开启了一个服务：

<mark>注意</mark>此时程序就是以附加参数的方式启动，下次检测的时候就会进入参数大于1的分支！

sub407CE0()

这个函数就是创建文件并执行exe的函数

还记得前面从样本提取出来的EXE文件吗?它就是R资源

小结一下Sub_407F20函数的功能

小结（母）：

按照现有的分析可以梳理一下大致的流程：

0x03 tasksche.exe的分析

首先，由于这个被释放出来的文件是没有加壳的，所以我们可以直接将它载入IDA定位到main查看其代码：

这个判断的条件有点多，我们一个一个去看:

Sub_401B5F()

所以这个函数就是尝试在C:\WINDOWS\ProgramData、C:\WINDOWS\Intel、C:\WINDOWS或临时目录下创建服务并设置其属性为隐藏。

Sub_401F5D()

接着就来了三个函数：

sub_401CE8()

如果有目标服务就直接开启了，没有的话以tasksche.exe所在的完整路径创建一个服务并运行

sub_401EFF()

sub_401064()

先关注一下这个函数有三个参数，第一个就是路径，后两个都是0

就是创建了一个隐藏的进程去运行程序

小结一下，sub_401F5D函数就是创建一个服务或进程来运行tasksche.exe

回到主函数，继续往下看：

Sub_4010FD()

如果参数是1，就设置当前路径为注册表值
如果是0，就获取注册表中病毒路径设置到当前目录中

Sub_401DAB()

这个Str的字符是这一串，然后我们点进去看看这个函数有什么操作：

一进来就寻找那个ZIP包的资源

猜测这个sub_4075AD就是用来解压的函数，我们可以验证一下，那个Str就是密码：

真的就成功解压缩了，把病毒资源释放出来了

Sub_401E9E()

Sub_401437()

注意：该函数调用的时候后三个参数都是0

Sub_4014A6()

应该是对t.wnry文件进行操作

到这里都是读取文件中的数据然后比较

sub_4019E1()

进去临界区进行解密操作

sub_402A76()

这个函数非常复杂，里面涉及到了很多数据的计算，猜测是加密或者解密的操作，可以进OD调试，看看到了这个函数会发生什么：

第一个参数是Dest，数据窗口跟随查看有什么：

第二个是Src，一样的，查看有什么：

F8单步步过之后发现这两个空间的值并没有发生变化，只有EAX作为返回值得到了0xA

这个函数暂时不知道是干什么的，做个?标记一下继续往下看吧

sub_403A77()

这个函数点进去看也比较复杂，还是使用OD动态调试吧：

首先这个函数有5个参数，除去this指针，堆栈中有4个

可见Src就是刚刚从文件读取出来的数据，v16是申请出来的空间

v18是读文件的实际字节数，这里是0x10000，也就是要对这么多个字节进行操作。

这个函数调用过后，在申请的空间中出现了一个PE文件，所以这个函数就是对文件数据的一个解密操作。

我们可以将这段数据保存出来，到一个文件中查看其信息：

ExeInfo查看其是一个无壳的DLL文件：

使用LordPE查看其导出表发现有一个导出函数：

那么回过头我们可以小结一下sub_4014A6()函数就是解密t.wnry文件

Sub_4021BD()

sub_4021E9()

看到这里可以猜测一下这个函数就是载入刚刚释放的DLL文件，然后获取其函数用的。

下面还有很多函数，就不需要一一去分析了，我们直接跳到最后看一下返回值是什么：

这个v22就是保存PE文件和内存信息的结构体呀：

那么我们可以在OD里运行一下这个函数，看看它申请的60个字节的空间里装了什么：

1. 第一个地址装了个DOS头

   1	

2. 第二个地址是DLL的默认加载基址（0x10000000）

3. 第三个地址是导出表信息

   1	

4. 第四个是导出函数个数（6）

5. 最后5个是函数指针

所以小结一下sub_4021BD就是载入了刚刚释放的DLL文件。

继续往下看，发现了一个函数名TaskStart：

这个不就是刚才那个DLL文件的导出函数嘛？

为了更方便分析，我们不妨新增一个自定义结构体，将每个字段都标记出来，这样v7的曹祖哟我们看起来就不会很陌生了。

sub_402924()

其实看到这里就可以认为这个函数实在找目标函数TaskStart了

当然也可以去OD验证一下：

运行过后得到了一个地址：10005AE0

我们可以查看刚刚得到的DLL文件的导出函数的地址：

证明这个函数就是找TaskStart函数，返回值就是该函数的地址。

那么最后，这个由主题程序释放出来的tasksche.exe的各个函数也分析的差不多了，可以大致梳理一下流程了：

小结（子）：

0x04 TaskStart函数分析：

病毒母体费好大劲释放了子程序，子程序又废了好大劲找到了这个函数要把它运行起来，那么我们就来看看这个函数具体做了那些事情：

看来要弄清的函数还不少：

Sub_10001000()

这个函数之前也见到过，就是读取或写入c.wnry文件

如果a2是1就是读，是0的话就是写入

Sub_10012D0()

sub_10011D0()

通过当前进程获取用户ID

小结一下：Sub__100012D0函数就是判断当前用户是否为系统用户

Sub_10004500()

sub_1003D10()

这里的文件名显示是我们调用的时候传入的参数

可是它在数据段，静态分析并不知道是个啥，所以还得用OD查看：

我们跟进查看一下：

找到了目标函数，然后F7跟进查看：

观察堆栈可以发现除了有个00000000.dky还有个00000000.pky文件。所以回过头来我们可以认定这个FileName就是00000000.pky。

sub_10003F00()

应该就是将pky文件读取到内存中

回到Sub_1003D10()中这有两个函数指针无法识别，而且在OD中也无法定位到这个地址

这显然不是个函数，所以我们只能进入sub_10003D10这个函数之后动态调试观察有什么用了。

这个时候出现了测试数据TESTDATA:

再次出现测试数据，应该跟拷贝有关了：

开始比较加密解密后的数据和原数据是否一致：

那么分析到这里我们就可以认为函数sub_10003D10是用来测试pky和dky文件是否正常使用。结合之前使用到的加密函数和这个加密解密方式，有理由认为这是一个RSA的加密方式，所谓的pky和dky就是公钥和私钥文件。

小结：Sub_10004500函数创建了互斥体设置其安全属性，然后使用测试数据来检测公钥私钥是否正常。

Sub_10004990()

sub_10004890()

@WanaDecryptor@.exe就是勒索的弹窗程序，也是用来解密的：

sub_10047F0()

这个函数就一个功能，向注册表中添加开机启动项：

小结一下，Sub_40004990()

该函数函数启动了弹窗勒索和taskse.exe程序并将其添加至开机启动项

Sub_10003AC0()

注意栈区的参数，新增了一个eky文件

sub_10003C40()

sub_10004170()

分别查看这几个函数的参数地址都指向了什么：

这些函数都和RSA加密有关，猜测这个函数就是用来加密的。

小结一下sub_10003C40()

创建了00000000.eky文件并加密。

小结一下Sub_10003AC0()

主要就是创建了pky和eky文件

Sub_100045D0()

这个函数没有参数，而且里面使用的变量也不知道是什么，老样子，上OD：

这一看就很清晰了，创建并读取了00000000.res文件

接下来是创建5个线程：

第一个线程Sub_10004790()

这个线程的工作很简单就是创建res文件并往其中写入数据。

第二个线程Sub_100045C0()

检测是否有dky文件并测试加密函数。

第三个线程Sub_10005730()

sub_10005680()

sub_10001830()

sub_100029F0()

sub_1000D92C()

这是用来移动文件的，把C:\Users\15PB\Desktop\说明.txt移动到系统临时目录下，并改名为1.WNCRYT。

接着看这个do...while...大循环

发现每次拼接的文件名都不同都是x.WNCRYT文件，这个数字在递增。

而且被移动的目标文件也不同，最后还删了，所以这个大循环应该是遍历目录，将文件转移到临时文件夹并删除源文件。

sub_10005340()

小结一下sub_10001830()

这个函数就是将用户文件夹移动到系统临时文件夹并用f.wnry文件记录文件夹信息。

sub_10005540()

sub_10005060()

所以这个函数是检测如果磁盘为c盘就返回临时目录，如果是别的磁盘就在c盘下创建目录并设置隐藏。

sub_100027F0()

sub_10002300()

一进来就看到了熟悉的找文件：

果然往下翻找到了另一个：

那么这个函数就是在遍历文件！！！

• sub_10002F70()

这个函数用来测试目标目录能否创建文件。

2300->2940->2220->1960()

这里就是对文件的加密和数据构成了：

小结一下5680

小结一下5730

第四个线程Sub_10005300()

启动释放资源中的taskdl.exe文件

第五个线程Sub_10004990()

Sub_100057C0()

总结一下TaskStart函数：

0x05 总结：

• wannacry.exe 程序：

  • 释放tasksche.exe 到系统路径，启动服务

  • 利用漏洞攻击局域网和广域网的主机并传播

• tasksche.exe 程序：

  • 释放资源文件ZIP包=>WNcry@2ol7

    • c.wnry 保存比特币钱包，下载链接

    • t.wnry 隐藏加密的DLL核心文件，导出TaskStart函数

    • u.wnry 解密程序 @WanaDecryptor@.exe

    • r.wnry 勒索文档

    • msg 语言包

    • taskdl.exe 遍历磁盘删除.WNCRY文件

    • taskse.exe 提权程序

• 核心DLL文件：

  • 创建00000000.pky和00000000.eky文件

  • 启动@WanaDecryptor@.exe

  • 创建线程，监控磁盘，加密新加入的磁盘上的文件

  • 启动taskdl.exe和taskse.exe

  • 将病毒加入开机自启

  • 执行bat脚本

[培训]二进制漏洞攻防（第3期）；满10人开班；模糊测试与工具使用二次开发；网络协议漏洞挖掘；Linux内核漏洞挖掘与利用；AOSP漏洞挖掘与利用；代码审计。