0x00 信息收集

• 样本信息：

  文件: D:\Virus\样本\永恒之蓝WannaCry样本

  1 2 3 4 5 6

  大小: 3723264 bytes 文件版本:6.1.7601.17514 (win7sp1_rtm.101119-1850) 修改时间: 2017年5月13日, 13：55：05 MD5: DB349B97C37D22F5EA1D1841E3C89EB4 SHA1: E889544AFF85FFAF8B0D0DA705105DEE7C97FE26 CRC32: 9FBB1227

• PEID分析：

  

  1 2 3

  使用它的插件扫描一下使用了那些加密算法：   可以发现有一些加密解密、压缩解压缩的操作，用到了AES加密库、微软的加密库、ZIP2、ZLIB等API。        

• ResourceHacker查看样本资源：

  发现资源中藏着一个PE文件，可能会释放文件，我们可以把它提取出来保存一份，根据微步云沙箱的检测这是一个EXE文件，所以这里我们把它保存为EXE文件：

• LordPE查看样本输入表，发现有使用网络相关的操作：

0x01 主程序行为分析

• 行为信息：

  

  • 释放PE文件到C:\Windows\taskse.exe、

    C:\ProgramData\znemvazsnwpqy217\taskse.exe和

    C:\ProgramData\znemvazsnwpqy217\@WanaDecryptor@.exe

  • 启动C:\Windows\taskse.exe

  • 自我复制

• 进程信息：

  

  • 打开网络相关设备\Device\Afd、\Device\Nsi

  • 打开进程

  • 创建进程C:\Windows\taskse.exe

  • 跨进程写入数据

  • 恢复目标进程线程

• 注册表信息：

  

  • 大量打开并获取注册表键值

• 文件信息：

  

  • 打开大量的DLL文件

  • 遍历目录寻找.pbk文件->没有找到

  • 在C:\Windows下创建了tasksche.exe文件并设置文件属性

  • 在C:\ProgramData\znemvazsnwpqy217下创建了tasksche.exe文件并设置文件属性

• 执行情况：

  

  • 启动进程->样本本体

  • 加载模块->C:\Windows\winsxs\x86_microsoft.windows.common-controls_6595b64144ccf1df_6.0.7601.17514_none_41e6975e2bd6f2b2\comctl32.dll

  • 启动进程->C:\Windows\tasksche.exe

  • 退出进程->样本本体和C:\Windows\tasksche.exe

0x02 主代码分析（WinMain）

Sub_408090()

Sub_408000()

Sub_407BD0()

Sub_407B90()

• Sub_407A20()

1. 第一个PE文件起始RVA是B020,大小是C8A4,由于不知道是什么格式只知道是个PE文件，这里就暂时保存为EXE文件吧

然后LordPE查看它的输入输出表，可以看到输出表就一个函数PlayGame，有点奇怪

1. 第二个PE文件的起始RVA是F080，大小是4060：

第一个线程Sub_407720()

• sub_409160()

  除了获取网卡信息以及IP地址列表、网关列表之外还有大量的数据计算，实在不好分析，这里就使用OD动态调试吧，看看到底有什么结果：

• Sub_4076B0()

  

  继续向下分析可见这个线程就是用来收发数据的

第二个线程Sub_407840()

总结一下Sub_408000():

总结一下Sub_407BD0():

Sub_407F20()

这个函数调用了两个函数，我们分别进入分析：

sub_407C40()

这个函数挺简单的，就是创建并开启了一个服务：

此时程序就是以附加参数的方式启动，下次检测的时候就会进入参数大于1的分支！

sub407CE0()

这个函数就是创建文件并执行exe的函数

还记得前面从样本提取出来的EXE文件吗?它就是R资源

小结一下Sub_407F20函数的功能

小结（母）：

按照现有的分析可以梳理一下大致的流程：

0x03 tasksche.exe的分析

首先，由于这个被释放出来的文件是没有加壳的，所以我们可以直接将它载入IDA定位到main查看其代码：

这个判断的条件有点多，我们一个一个去看:

Sub_401B5F()

所以这个函数就是尝试在C:\WINDOWS\ProgramData、C:\WINDOWS\Intel、C:\WINDOWS或临时目录下创建服务并设置其属性为隐藏。

Sub_401F5D()

接着就来了三个函数：

sub_401CE8()

如果有目标服务就直接开启了，没有的话以tasksche.exe所在的完整路径创建一个服务并运行

sub_401EFF()

sub_401064()

先关注一下这个函数有三个参数，第一个就是路径，后两个都是0

就是创建了一个隐藏的进程去运行程序

小结一下，sub_401F5D函数就是创建一个服务或进程来运行tasksche.exe

回到主函数，继续往下看：

Sub_4010FD()

如果参数是1，就设置当前路径为注册表值
如果是0，就获取注册表中病毒路径设置到当前目录中

Sub_401DAB()

这个Str的字符是这一串，然后我们点进去看看这个函数有什么操作：

一进来就寻找那个ZIP包的资源

猜测这个sub_4075AD就是用来解压的函数，我们可以验证一下，那个Str就是密码：

真的就成功解压缩了，把病毒资源释放出来了

Sub_401E9E()

Sub_401437()

注意：该函数调用的时候后三个参数都是0

Sub_4014A6()

应该是对t.wnry文件进行操作

到这里都是读取文件中的数据然后比较

sub_4019E1()

进去临界区进行解密操作

sub_402A76()

这个函数非常复杂，里面涉及到了很多数据的计算，猜测是加密或者解密的操作，可以进OD调试，看看到了这个函数会发生什么：

第一个参数是Dest，数据窗口跟随查看有什么：

第二个是Src，一样的，查看有什么：

F8单步步过之后发现这两个空间的值并没有发生变化，只有EAX作为返回值得到了0xA

这个函数暂时不知道是干什么的，做个?标记一下继续往下看吧

sub_403A77()

这个函数点进去看也比较复杂，还是使用OD动态调试吧：

首先这个函数有5个参数，除去this指针，堆栈中有4个

可见Src就是刚刚从文件读取出来的数据，v16是申请出来的空间

v18是读文件的实际字节数，这里是0x10000，也就是要对这么多个字节进行操作。

这个函数调用过后，在申请的空间中出现了一个PE文件，所以这个函数就是对文件数据的一个解密操作。

我们可以将这段数据保存出来，到一个文件中查看其信息：

ExeInfo查看其是一个无壳的DLL文件：

使用LordPE查看其导出表发现有一个导出函数：

那么回过头我们可以小结一下sub_4014A6()函数就是解密t.wnry文件

Sub_4021BD()

sub_4021E9()

看到这里可以猜测一下这个函数就是载入刚刚释放的DLL文件，然后获取其函数用的。

下面还有很多函数，就不需要一一去分析了，我们直接跳到最后看一下返回值是什么：

这个v22就是保存PE文件和内存信息的结构体呀：

那么我们可以在OD里运行一下这个函数，看看它申请的60个字节的空间里装了什么：

1. 第一个地址装了个DOS头

   1	

2. 第二个地址是DLL的默认加载基址（0x10000000）

3. 第三个地址是导出表信息

   1	

4. 第四个是导出函数个数（6）

5. 最后5个是函数指针

所以小结一下sub_4021BD就是载入了刚刚释放的DLL文件。

继续往下看，发现了一个函数名TaskStart：

这个不就是刚才那个DLL文件的导出函数嘛？

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课