勒索病毒

0x01 样本概况

样本信息

大小: 327680 bytes
修改时间: 2017年4月13日, 15:30:22
MD5: DBD5BEDE15DE51F6E5718B2CA470FC3F
SHA1: 863F5956863D793298D92610377B705F85FA42B5
CRC32: 1386DD7A

测试环境及工具

软件环境：Windows7、VMware Workstation
硬件环境：局域网、PC机一台
开发工具：OD、IDA、火绒剑、PCHunter、PEid、loadPe
网络工具：WSExplorer

分析目标

病毒主要行为
病毒传播原理
查杀方法

0x02 行为分析

将系统内的文本、文档等文件加密，
每个文件夹都会生成文字版和图片版的勒索信息
程序会自我删除
程序会添加启动项，伪装成cmd，在cmd后面添加启动参数

0x03 从混淆代码中提取恶意代码

申请内存

Virtuall下断点，virtuall肯定是在第3个之后，也就是第4下硬件写入断点是49所以不是，，第4个就是3ac00 是大小也就是镜像大小