您的位置:首页>>电脑软件
搜索: 标题  

从“想哭”到“想妹妹” 腾讯安全反病毒实验室详解勒索病毒演化过程

发布时间:2017-05-17 16:06:27  来源:互联网   编辑:贺飞  背景:

  席卷全球的WannaCry勒索病毒已经扩散至100多个国家和地区,包括医院、机场、政府部门等单位都无一例外的遭受到了攻击。勒索病毒结合蠕虫病毒的方式进行传播,是造成此次攻击事件大规模爆发的重要原因。

  腾讯安全反病毒实验室及时响应此次攻击事件,搜集相关信息,初步判断WannaCry病毒在爆发之前已经存在于互联网中,并且病毒目前仍然在进行变种。在监控到的样本中,发现疑似黑客的开发路径,有的样本名称已经变为“WannaSister.exe”,从“想哭(WannaCry)”变成“想妹妹(WannaSister)”。

  (腾讯安全反病毒实验室96小时勒索病毒监控图)

  虽然此次WannaCry勒索病毒攻击波及全球,并在短期迅速扩散,但实际破坏性并不算大。

  腾讯安全反病毒实验室安全专家马劲松表示,这次勒索病毒的作恶手法没有显著变化,只是这次与微软漏洞结合。目前针对勒索病毒已经找到了有效的防御方法,而且周一开始病毒传播已在减弱,用户只要掌握正确的方法就可以避免。建议广大网友不必太惊慌,关注腾讯安全联合实验室和腾讯电脑管家的研究和防御方案,也呼吁行业理性应对。

  WannaCry 勒索病毒59日或已开始作祟

  腾讯安全反病毒实验室溯源勒索病毒的传播方式之后发现,病毒在12日大规模爆发之前,很有可能就已经通过挂马的方式在网络中进行传播。在一个来自巴西被挂马的网站上可以下载到一个混淆的html文件,html会去下载一个前缀为task的exe文件,而诸多信息表明,此文件很有可能与12号爆发的WannaCry勒索病毒有着紧密关系。

  根据腾讯反病毒实验室威胁情报数据库中查询得知,此文件第一次出现的时间是2017年5月9号。WannaCry的传播方式,最早很可能是通过挂马的方式进行传播。12号爆发的原因,正是因为黑客更换了传播的武器库,挑选了泄露的MS17-010漏洞,才造成这次大规模的爆发。当有其他更具杀伤力的武器时,黑客也一定会第一时间利用。

  (WannaCry勒索病毒时间轴)

  升级WannaSister “想妹妹”  勒索病毒4种方式企图逃避杀软查杀

  当传播方式“鸟枪换大炮”后,黑客也在“炮弹”上开始下功夫。在腾讯安全反病毒实验室已获取的样本中找到一个名为WannaSister的样本,而这个样本应该是病毒作者持续更新,用来逃避杀毒软件查杀的对抗手段。

  (“WannaSister”的病毒样本)

  马劲松指出,此样本首次出现在13号,这说明自从病毒爆发后,病毒作者也在持续更新,正在想办法让大家从“WannaCry想哭”更新到“WannaSister想妹妹”。就目前掌握的信息,自12号病毒爆发以后,病毒样本出现了至少4种方式来对抗安全软件的查杀,这也再次印证了WannaCry还在一直演化。

  方式一:加壳

  在分析的过程中,我们发现已经有样本在原有病毒的基础上进行了加壳的处理,以此来对抗静态引擎的查杀,而这个样本最早出现在12号的半夜11点左右,可见病毒作者在12号病毒爆发后的当天,就已经开始着手进行免杀对抗。下图为壳的信息。

IMG_256

  通过加壳后,分析人员无法直接看到有效的字符串信息,这种方式可以对抗杀毒软件静态字符串查杀。

  通过使用分析软件OD脱壳后,就可以看到WannaCry的关键字符串。包括c.wnry加密后的文件,wncry@2ol7解密压缩包的密码,及作者的3个比特币地址等。

  病毒作者并非只使用了一款加壳工具对病毒进行加密,在其他样本中,也发现作者使用了安全行业公认的强壳VMP进行加密,而这种加密方式,使被加密过的样本更加难以分析。

  我们通过验证使用VMP加密过的样本,发现非常多的杀毒厂商已无法识别。

  方式二:伪装

  在收集到的样本中,有一类样本在代码中加入了许多正常字符串信息,在字符串信息中添加了许多图片链接,并且把WannaCry病毒加密后,放在了自己的资源文件下。这样即可以混淆病毒分析人员造成误导,同时也可以躲避杀软的查杀。下图展示了文件中的正常图片链接

  当我们打开图片链接时,可以看到一副正常的图片。误导用户,让用户觉得没有什么恶意事情发生。

  但实际上病毒已经开始运行,会通过启动傀儡进程notepad,进一步掩饰自己的恶意行为。

IMG_256

  随后解密资源文件,并将资源文件写入到notepad进程中,这样就借助傀儡进程启动了恶意代码。

IMG_256

  方式三:伪造签名

  在分析14号的样本中,我们发现病毒作者开始对病毒文件加数字签名证书,用签名证书的的方式来逃避杀毒软件的查杀。但是签名证书并不是有效的,这也能够看出作者添加证书也许是临时起意,并没有事先准备好。

 

  我们发现病毒作者对同一病毒文件进行了多次签名,尝试绕过杀软的方法。在腾讯反病毒实验室获取的情报当中,我们可以发现两次签名时间仅间隔9秒钟,并且样本的名字也只差1个字符。

  方式四:反调试

  病毒作者在更新的样本中,也增加了反调试手法:

  1 通过人为制造SEH异常,改变程序的执行流程

  2 注册窗口Class结构体,将函数执行流程隐藏在函数回调中。

  腾讯安全反病毒实验室安全专家马劲松表示,伴随着以腾讯电脑管家为代表的国产安全厂商的及时应对,上线了一套包含勒索病毒离线版免疫工具、勒索病毒专杀工具、文件恢复工具及文档守护者等多种工具的完整应对策略,目前勒索病毒的蔓延情况已经明显放缓。但腾讯安全反病毒实验室会继续追踪病毒演变,并密切关注事态的进展,严阵以待,做好打持久战的准备,坚决遏制勒索病毒蔓延趋势。

  声明:本文仅为传递更多网络信息,不代表ITBear观点和意见,仅供参考了解,更不能作为投资使用依据。


返回网站首页 本文来源:互联网

本文评论
打击色情诈骗,腾讯团队守护网络安全
春天刚刚过去,一些伸向宅男们的罪恶黑手却还迟迟不肯收回,话不多说,先来看看两个“已中招&r...
日期:07-14
QuestMobile夏季报告:腾讯手机管家持续稳居安全软件第一
手机中高频应用有哪些?除了微信微博,大家手机中必装APP还有安全软件,为支付安全、个人隐私安全提...
日期:07-14
快递公司官网遭攻击 腾讯电脑管家可查杀
当下,网购已经越来越普遍,对快递的需求不断增加,快递公司网站的用户访问量也愈加庞大。不法分子...
日期:07-13
从霸主到现在的挣扎,微软浏览器到底输的有多惨?
刚刚进入2017年下半年,各互联网公司的数据报告也要照例公布了,无论是PC端,还是全球的浏览器市场...
日期:07-05
22次全球领先 腾讯电脑管家VB100双系统测试100%通过
近日,英国国际权威杀毒评测机构 Virus Bulletin 公布了最新的2017年4月 VB100测试结果。本次测试分...
日期:07-05
iPhone十周年:iOS11系统开放,携手腾讯手机管家防治垃圾短信
距离2007年6月29日iPhone手机开售,已有十周年。这十年间,iPhone手机开创了智能手机革命,逐渐改变...
日期:07-04
三好员工必备办公神器!腾讯电脑管家桌面整理新功能解锁文件查找难题
高强度的工作极其考验人,繁杂的电脑文件处理不好就会拉低效率,文件找不到,搜索时间太长,反复查...
日期:07-03
腾讯手机管家发布《国民微信清理报告》:女性才是微信斗图老司机
每天叫醒你的不是闹钟,是微信消息通知。这句话毫不夸张,微信已然成为可靠的生活伴侣然而在使用过...
日期:06-29
腾讯手机管家:假违章真木马,短信链接勿乱点
6月27日上午,令人扼腕的山东少女“徐玉玉案”正式在法院开庭审理,引起公众关注,将电信...
日期:06-29
腾讯电脑管家最全拯救文档攻略:拒绝被勒索从文档保护开始
搞得人心惶惶的WannaCry勒索病毒事件刚平息不久,现在又有一款名为Petya的新型勒索病毒席卷欧洲,乌...
日期:06-28
360安全卫士发布开机指南 两步轻松免疫Petya勒索病毒
一种新的类似于WannaCry的勒索病毒--被称为Petya的病毒正在欧洲、美国和南美洲地区大肆传播。这一病...
日期:06-28
守护未成年人身心健康 腾讯电脑管家协助警方抓获重大网络诈骗犯罪团伙
日前,在腾讯公司守护者计划安全团队的协助下,武汉警方一举端掉一个涉嫌非法侵入计算机信息系统和...
日期:06-28
腾讯电脑管家权威发布开机指南 四步彻底防御Petya勒索病毒
6月27日,据国外媒体在twitter爆料,一种类似于“WannaCry”的新型勒索病毒席卷了欧洲,...
日期:06-28
Windows跳出传统PC领域转型 这次会被微软带到坑里?
据ZDNet网站报道称,PC市场是Windows的大本营。虽然被预言将会消亡,但PC似乎显示出顽强的生命力,...
日期:06-27
外媒称Windows 10 S是PC的未来 你觉得呢?
据ZDNet网站报道,人们很容易关注最新版本Windows 10的缺陷,但是,在一个充斥着安全漏洞和数据泄露...
日期:06-24
央视曝摄像头安全隐患 腾讯手机管家提醒小心相关软件偷隐私
家用摄像头的使用场景越来越广泛,家庭防盗、远程看护家中儿童,甚至实现了与家人语音通话等功能。...
日期:06-22
腾讯手机管家蝉联易观智库榜单安全类第一,与苹果官方再度合作防垃圾短信
2017年6月15日,易观智库发布5月最新APP TOP1000排行榜。榜单显示,除了社交、资讯和生活领域应用强...
日期:06-16