Petya勒索病毒(2016.4月样本)分析笔记

最新推荐文章于 2024-08-20 08:48:53 发布

QQQqQqqqqrrrr

最新推荐文章于 2024-08-20 08:48:53 发布

阅读量4.3k

点赞数 3

分类专栏：病毒分析

本文链接：https://blog.csdn.net/r250414958/article/details/84576036

版权

病毒分析专栏收录该内容

5 篇文章 0 订阅

订阅专栏

前言

之所以不叫分析报告,是因为接下来要看到的分析,可能包含了不正确的,或者有疑点,和未完全分析的,里面有我个人的主观臆断，或者一些我目前未察觉的错误,还有一些非常基础，非常啰嗦的内容，这都是为了复习我以前的一些知识，或者是做一个记录防止以后可能需要用到。还有一些可能在分析中新学习的知识可能有很多不正确，或者不确定，因为我个人能力有限没察觉到的地方，所以只能称为我个人的分析笔记，因为我当时是这样想的，在以后察觉了错误的地方的时候再进行改正。
如有错误欢迎朋友们帮我斧正，感激不尽。
如果你想看真正的分析报告我会在结尾给出。

环境:

win7专业版/32

工具:

IDA x32dbg PEid

样本信息：

名字:petya virus.exe
MD5: AF2379CC4D607A45AC44D62135FB7015
SHA1: 39B6D40906C7F7F080E6BEFA93324DDDADCBD9FA
CRC32: 488C77E7

简介:

恶意软件使用图标将其EXE文件伪装成PDF和RAR可执行文件。然后，攻击者通过电子邮件向目标发送恶意代码，欺骗受害者执行它。通过这种方式，通过社交工程成功启动了攻击。

分析过程:

在这里插入图片描述
感觉没有加壳

X32附加跟踪
418A36()
41770D()
41A8DA()(OD跟踪到这里反汇编引擎有问题)
IDA看一下
在这里插入图片描述
这个while是循环解密下面代码的循环跑完后往下走会有一些类似混淆的代码，继续跟，直到看到
寻找PE字段

最后找到正确的结构

mov eax,fs:[0x30] //访问TEB
mov eax,[eax+0xC] //访问Ldr
mov eax,[eax+0xC] //访问InLoadOrderLinks顺序的表，同理0x14和0x1c
https://blog.csdn.net/a893574301/article/details/78836492 遍历DLL
mov edx,[eax+0x28] //0x24是fullname，由于是UNICODE_STRING结构，所以这个+0x4才是字符串地址

根据DLL的名字哈希来找打对应模块
在这里插入图片描述
遍历完成之后

申请存放恶意代码的内存

写入头（DOS+PE+区块表）

写入区段数据

写完后修复IAT

CALL了这个函数进去发现

是这样的

查了一下发现是这个函数

和病毒所用的反射式注入有关，这里有详细的介绍
在完成所有的重定位后，我们最后调用第2步得到的NtFlushInstructionCache()清除指令缓存以避免问题。
https://www.cnblogs.com/h2zZhou/p/7721797.html
这里就开始执行DLL的代码了
在这里插入图片描述
这样不太好看我们可以把之前再内存中的PE文件DUMP下来看，但是dump下来后文件是数据是在内存展开状态下的,所以要自己修复一下PE 修复完成后我们使用IDA来观察

粗略的分析了一下
判断了一个值可能和系统环境有关（没有追朔到）
在这里插入图片描述

这样我们就先主要分析8B4B这个函数两个参数像是调用类函数

进去后先分析第一个函数8A8E
像是判断本一些目录是否存在

第二个函数89DC传入了

IDA里面看一下像是判断这个扇区存不存在

接下来看88EE这个函数
在这里插入图片描述

整体的一段分析

转到LABLE_19执行
88EE

还是成功的往下9200函数我们看一下

往下8ED8这个函数进去粗略的看了看比较复杂里面有各种函数的调用，像是加密或者解密一些东西，我们先不细分析，看他传参或者，返回值返回了什么
在这里插入图片描述
生成了一个网址，和返回了密钥或者特征码之类的东西，先记录下来看后来能不能验证
“e7MpECUjnBi3uosWzWR6LHmzzyHBdtaLn9EkBH729A9zGK6ceQFY1HeZuLUqgTco2EtXGWWw87FV8oH9BghooUipNP”
00 DD C6 CB A2 AC 64 CD A6 BD 86 E2 D0 EC E4 E0 .ÝÆË¢¬dÍ¦½.âÐìäà
CC AE 68 AD 66 ED E6 C7 9A DB C2 EE E8 C5 96 E3 Ì®h.fíæÇ.ÛÂîèÅ.ã
D2 8D 4D B7 4E 91 04 F2 68 68 74 74 70 3A 2F 2F Ò.M·N…òhhttp://
70 65 74 79 61 33 37 68 35 74 62 68 79 76 6B 69 petya37h5tbhyvki
2E 6F 6E 69 6F 6E 2F 66 77 65 53 31 4A 0D 0A 20 .onion/fweS1J…
20 20 20 68 74 74 70 3A 2F 2F 70 65 74 79 61 35 http://petya5
6B 6F 61 68 74 73 66 37 73 76 2E 6F 6E 69 6F 6E koahtsf7sv.onion
2F 66 77 65 53 31 4A 00 00 00 00 00 00 00 00 00 /fweS1J…

继续往下分析看看91D0这个函数传参
在这里插入图片描述

像是解密这段数据填充到刚申请的堆块里 48F010

执行完后感觉像是单纯的拷贝，往下看吧
随便翻了一些堆里的内容发现有些显示的勒索信息可能就是要执行的微内核？(后来发现这个应该是MBR)

又拷贝了一些数据到堆里
在这里插入图片描述
继续调用88EE读取内容

往下看8963这个函数

把xor完的数据写回去了下面是一个段落的分析

循环写入完成后再调用了8963写入一段

可能是一段引导数据，把扇区引导到恶意代码上

往后继续分析
再次写入也像是写入引导
在这里插入图片描述
这里我对MBR的布局并不熟悉所以之后再分析把

后面判断了一下继续调用了8963写入了3次
1

2

3

最后调用了8FD8这个函数

这里完成了这些提取操作

8B48最后一段整体分析

提权失败后看一下会做什么
上层
在这里插入图片描述
再上层

好像并没有提权失败后要做什么（难道是没写完吗？）
下面这是被修改的MBR分区以55 AA结尾查看使用的工具是WinHex
我们先大概学习一下MBR的结构
可以参考：https://www.52pojie.cn/thread-171556-1-1.html willJ大佬的帖子或者其他的一些资料
MBR 的大体结构
1.引导代码：0 到 1BDH 共 446 个字节
2.分区表：1BEH-1FDH 共 64 字节
3.结束标志：1FEH-1FFH 共 2 字节
它们的大小加起来刚好是 512 字节就是 MBR 的大小，其中分区表可以分为 4 个表，
每个表 16 字节，这也是我们装系统为什么只能有 4 个主分区的原因。
下面内容可以用winhex查看
在这里插入图片描述

所以我们进入第二阶段的分析也就是MBR的阶段
看看他做了什么

观察这段特征码和网址再验证我们之前我们看到的信息但是我没有看见密钥
但是我猜测密钥也是在8ED8 这个函数里，因为他需要特征码来为你解密，当然这只是主观猜测，我们还没有详细分析8ED8这个函数
关于MBR调试可以参考这篇文章https://www.52pojie.cn/thread-173889-1-1.html 我使用的是IDA
下断0X7C00
在这里插入图片描述

第一个调用的int 13h 功能号是42
关于int 13h的资料可以在百度上找到我在这这里在找到了这篇，可能不是很详细：
https://bbs.csdn.net/topics/138412
https://en.wikipedia.org/wiki/INT_13H#INT_13h_AH=42h:_Extended_Read_Sectors_From_Drive
扩展读
入口:
AH = 42h
DL = 驱动器号
DS:DI = 磁盘地址数据包(Disk Address Packet)
在这里插入图片描述

也就是读取扇区为0x22 的0x200个字节，并把它放在为0x8000这个位置
循环读取到0x8000

走完第一遍是1F也就是循环了32次

写入完成后MBR就执行完毕了接下来就跳转到0x8000 这里可以使用IDA脚本dump下来分析，但是我使用IDA反编译失败了，不知道什么原因，记录一下吧
在这里插入图片描述
Dump脚本
static main(void)
{
auto fp, begin, end, dexbyte;
fp = fopen(“F:\dump.so”, “wb”);
begin = 0x8000 ;
end = 0x9f70;
for ( dexbyte = begin; dexbyte < end; dexbyte ++ )
fputc(Byte(dexbyte), fp);
}
跳到0x8000 观察了一下猜测可能是代码参杂着数据导致IDA反汇编失败了
在这里插入图片描述

有几个函数我们一个个看看

Int 10h 是由 BIOS 对屏幕及显示器所提供的服务程序
网上能找到很多对int 10h功能号和参数的详解太长不贴了:
https://www.cnblogs.com/magic-cube/archive/2011/10/19/2217676.html
往下走

也是调用int 10中断的往下
在这里插入图片描述
像是在解密什么往下

又遇到了 int 13 42调用读取的是0扇区也就是将原MBR复制到了0x7760

往下走

又是一些数据操作往下

又遇到了int 13h 42号调用这次复制的是36扇区到地址0x7978

复制的一些tor地址和特征码在三环时候已经见到过了继续往下
在这里插入图片描述
判断了加密标记如果是加密过则跳过一些执行往下

又调用了int 10 往下执行完这里后显示出了假的磁盘检查

往下走又发现调用了int 13h 42 读的是还是36扇区地址0x776A

给加密标记赋值

往下走看到了int 13 43功能号调用
扩展写
入口:
AH = 43h
AL
0 位 = 0 关闭写校验
1 打开写校验
1 - 7 位保留, 置 0
DL = 驱动器号
DS:DI = 磁盘地址数据包(DAP)
返回:
CF = 0, AH = 0 成功
CF = 1, AH = 错误码
在这里插入图片描述
地址是0x776A 扇区是36 也就将已经加密的标记写回36扇区

循环写入往下走

这次是 int 13h 42 扇区37 地址0x676a

并没有发现什么

可能在做一些加解密的操作

还是 37扇区
像是已经被加密的扇区写回了37 往下
在这里插入图片描述

39扇区做了一些清0操作？
外层有一个循环

还是读取了0扇区读取当前MBR的内容

往下像是特征码搜索寻找一些数据

读了8扇区

看看读出了什么它感兴趣搜寻的东西，推测是遍历寻找活动分区

由于我不是很熟悉NTFS的结构只是大概的看了一下发现：
https://baike.baidu.com/item/ntfs/91761?fr=aladdin
在这里插入图片描述
主文件表MTF是非常重要的，用来指出数据在磁盘中储存的位置，每个NTFS至少包含一个MTF
主文件表MTF是非常重要的，用来指出数据在磁盘中储存的位置，每个NTFS至少包含一个MTF

加密的MTF？
接下来这个函数显示了里面函数显示了一些其他的内容(例如:计数:0%) 就不一一举例
在这里插入图片描述

112640是恶意软件计算整个MFT表的扇区数往下

每次通过读取8扇区然后加密扇区并写回硬盘下面是正常的MTF

往下这个是加密MTF的函数加密完成后

加密完成后写回原来的位置

这里不清除写入了什么往下是一个大循环应该是循环写入
在这里插入图片描述
往下还有一个大循环

这个循环跳出来之后就加密完成了

返回后还有一个大循环

完成后应该加密了全部MTF

再返回还有一个循环

完成后

INT 19会将MBR的512字节装载到内存0x7c00中，然后JUMP到0x7c00处，开始执行MBR的可执行程序
重新执行后检查加密标志位就跳到这个函数显示勒索信息获取密钥解密函数应该都在里面，这里我就不做详细分析，别的文章有介绍解密过程，而且大概观察它的加密方式，应该是能解出来的
在这里插入图片描述

总结和收获:

学习到了反射式注入
学习了MBR的知识,和了解了一个系统是怎么启动起来的，分析了16位汇编 int中断非常重要
IDA大法好
Google大法好
感觉自己知识储备量不足，导致有些东西虽然看到了但是说不出它想干什么，贫穷和知识限制了我的想象力
在这里插入图片描述
病毒样本可以去：https://s.threatbook.cn/
https://www.hybrid-analysis.com/
https://zeltser.com/malware-sample-sources/ (这里有很多介绍)
上面这些也有云沙箱非常好用
还有可以关注一下国外的团队和博客，可以获取到最新的资讯和资料
比如: https://blog.malwarebytes.com/
https://www.fortinet.com/blog
等等很多优秀的博客(有些我可能现在还未察觉)