[病毒分析]WannaCry病毒分析(永恒之蓝)

1.样本概况

 

1.1样本信息

病毒名称：Trojan-Ransom.Win32.Wanna.m

所属家族：木马/勒索/蠕虫

MD5: DB349B97C37D22F5EA1D1841E3C89EB4

SHA1: E889544AFF85FFAF8B0D0DA705105DEE7C97FE26

CRC32: 9FBB1227

 

1.2测试环境及工具

VMware + win7 32位 + PEID + OD + IDA + 火绒剑 + PCHunter

 

 

2.病毒行为

大量文件被加密,后缀名为.WNCRY

 

每隔一段时间弹出勒索窗口

 

桌面背景被强制更换

 

3.恶意代码分析

病毒执行后会尝试连接 http://www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com

 

进入fun_enterCry之后通过判断参数的个数来执行相应的流程。

当参数>=2，进入服务流程 否则进入病毒主流程

 

服务流程

创建服务启动,每次开机都会自启动

 

从内存中读取MS17_010漏洞利用代码,payload分为x86和x64两个版本