WannaCry 勒索蠕虫病毒实现过程

概述

WannaCry木马利用前阵子泄漏的方程式工具包中的“永恒之蓝”漏洞工具，进行网络端口扫描攻击，目标机器被成功攻陷后会从攻击机下载WannaCry木马进行感染，并作为攻击机再次扫描互联网和局域网其他机器，行成蠕虫感染大范围超快速扩散。

传播的关键——漏洞利用

MS17-010漏洞：当 Microsoft 服务器消息块 1.0 (SMBv1) 服务器处理某些请求时，存在多个远程执行代码漏洞。成功利用这些漏洞的攻击者可以获取在目标系统上执行代码的能力。

详细

WannaCry木马利用前阵子泄漏的方程式工具包中的“永恒之蓝”漏洞工具，进行网络端口扫描攻击，目标机器被成功攻陷后会从攻击机下载WannaCry木马进行感染，并作为攻击机再次扫描互联网和局域网其他机器，行成蠕虫感染大范围超快速扩散；
木马母体为mssecsvc.exe，会释放敲诈者程序tasksche.exe，对磁盘文件进行加密勒索。；
mssecsvc.exe行为：

1. 判断开关：
   木马在网络上设置了一个开关，当本地计算机能够成功访问http://www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com时，退出进程，不再进行传播感染。
2. 蠕虫行为：
   
   1. 通过创建服务启动，每次开机都会自启动。
   2. 从木马自身读取MS17_010漏洞利用代码，playload分为x86和x64两个版本。