深度分析一款勒索加密病毒文件

更新时间：2015-06-10 21:57:00点击次数：5997次

申明：所提供的所有文件以及资料仅供研究、学习。严禁传播扩散、如有意外、概不负责！！！）此款勒索病毒会加密你的所有文件，并生成勒索信息！切记、新手朋友们在虚拟机里边玩！免得造成不可挽回的后果！

（申明：所提供的所有文件以及资料仅供研究、学习。严禁传播扩散、如有意外、概不负责！！！）
此款勒索病毒会加密你的所有文件，并生成勒索信息！
切记、新手朋友们在虚拟机里边玩！免得造成不可挽回的后果！
不废话脱壳、开干
（请各位大牛指导！！！多谢！）

目录1 1．样本概况
2 1.1样本信息2
1.2测试环境及工具2
1.3分析目标2
2．具体行为分析
2 2.1主要行为
2 2.2.1 恶意程序对用户造成的危害2
2.2恶意代码分析3
2.2.1 程序总体逻辑3
2.2.2 基本行为分析3
2.2.2 网络传播分析 （略、太懒了没有分析此步骤、不过确实网络传播各位小伙伴不要忘记关闭网络）
2.2.3 文件加密分析
1.1样本信息
MD5: DBD5BEDE15DE51F6E5718B2CA470FC3F
SHA1: 863F5956863D793298D92610377B705F85FA42B5
CRC32: 1386DD7A
1.2测试环境
平台：Windows 7 32位
工具：IDA Pro，OllyDbg，PEID,LordPE
2.1行为概述
是一个勒索软件样本，样本运行后的行为
将系统内的文本、文档等文件加密，
每个文件夹都会生成文字版和图片版的勒索信息
程序会自我删除
程序会添加启动项，伪装成cmd，在cmd后面添加启动参数
2.1.1
对用户的电脑里边的所有资料进行加密
2.2 恶意代码行为分析
根据病毒的特性来分析病毒：将病毒拖入到火绒剑中运行，并监视其动作、执行轨迹病毒运行期间无法打开任务管理器、cmd命令窗口等。当然别想着用OD来调试了病毒给干掉你的OD了

鼠标右键->指定->PE文件

由上图可知：是将0x3B0000中的内容拷贝至0x400000中由此可以得知0x3B0000中的内容可能是我们需要的PE文件，至于是否已经被解密--未知。
将内存中的0x3B0000起“鼠标右键->指定->PE文件”鼠标下移找到PE文件的相关信息因为写入是发生在跨进程写入的所以是内存映射方式的
因此在下图中可以根据地址找到文件的大小0x3B000

在程序中进行脱壳第一次：

将DUMP下来的文件拖入LordPE

将修复完毕的文件拖入OD中进行查看OK!我们运气非常好这就是我们要的！
所以就不需要继续跟踪病毒继续去脱壳了！如果不是，那么就只能继续往下走，继续脱壳、一个个查看、直到找到你要的。
/////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////////
使用IDA打开病毒样本从头开始分析 IDA 与OD 实时分析使用IDA分析程序源码如下图所述

定义完局部变量后，程序就对进程的一些判断操作什么的无非就是判断有没有被调试、资源管理器有没有打开、有没有杀毒软件什么的吧
好略过这些非主体程序接下来就是主体函数了我们来结合OD分析

此时执行完函数SHGetfolderPathW函数时候获取到一个特殊的路径如下图黄色所述：

两个GetProcAddress函数之后的函数sub_402170 不清楚是干什么的我们跟进去看看
////////////////////////////////////////////////////////////////////////////

执行完函数sub_412B00后我们可以发现其传入的两个参数中
参数2中的值有一些变化IDA进入函数观看发现其是对一个字符的抑或、位移运算什么的
由此我们大胆猜测该函数是对字符串的加解密运算
而且还发生了字符串拷贝的作用传2个加密字符串参数进去、再传一个地址

运行结果如图内存示意图，得知该函数是解密字符串的函数由此图与上图比较可知该函数是用于去掉后缀名后边的“；”的

接下来看图说话：释放完空间后就再次申请空间、解密字符串共计5次

那么此层函数就执行完了我们回到上一层
///////////////////////////////////////////////////////////////////////////////
那么我们在进入到主函数的下一个函数进入里边我们用IDA观察后
如下图所示很明显这是一个关于用户、进程等的权限操作无非是获取权限以方便执行代码
OK 此函数我们可以略过了