【勒索软件】深入剖析勒索软件传播方式

阅读： 3,616

勒索软件年年有，一年更比一年高。企业在勒索软件防护的道路上是一刻也不能懈怠的。本文分析了近段时间勒索软件的传播功能，详细剖析其从借助漏洞植入后门，驻留维持，到复制传播的实现过程，并给出了对应的防护检测手段。随着勒索软件的不断发展，其在技术上也有了不断创新，危害更大，需要我们全社会不断持续关注并重视。

引言

去年WannaCrypt和Petya的大规模爆发，勒索软件再次重新吸引了大众的关注。早期的勒索软件，无论是CryptoWall、TeslaCrypt还是Locky，多数通过钓鱼邮件、社会工程学等手段诱骗受害者点击，虽也有通过网页挂马的方式执行，但就勒索软件本身个体而言，其不具备主动传播的功能。

而去年爆发的勒索软件同以往最大区别在于开始主动利用漏洞进行传播，通过NSA泄露的永恒之蓝EternalBlue漏洞在用户系统中植入DoublePulsar后门，再通过DoublePulsar复制自身，形成蠕虫式快速传播，在企业内网迅速扩散，加密用户重要文件，给用户信息造成极大损害。

本文主要聚焦于勒索软件的传播功能，将详细剖析其从借助漏洞植入后门，驻留维持，到复制传播的实现过程，并给出对应的防护检测手段。

触发漏洞

WannaCrypt和Petya主要通过永恒之蓝EternalBlue漏洞实现入侵。永恒之蓝漏洞发生在srv.sys模块中的SrvOs2FeaListSizeToNt函数，其在处理SMB_FEA_LIST的长度存在错误，导致后续越界拷贝，覆盖相邻的内核数据结构，从而发生代码执行。

unsigned int __stdcall SrvOs2FeaListSizeToNt(_DWORD *a1)

{

  _DWORD *v1; // eax@1

  char *v2; // edi@1

  char *v3; // esi@1

  int v4; // ebx@3

  unsigned int v6; // [sp+Ch] [bp-4h]@1



  v1 = a1;

  v6 = 0;

  v2 = (char *)a1 + *a1;

  v3 = (char *)(a1 + 1);                       

  if ( (char *)(a1 + 1) < v2 )

  {

    while ( v3 + 4 < v2 )

    {

      v4 = *((_WORD *)v3 + 1) + (unsigned __int8)v3[1];

      if ( &v3[v4 + 5] > v2 )

        break;                              

      if ( RtlSizeTAdd(v6, (v4 + 12) & 0xFFFFFFFC, &v6) < 0 )

        return 0;

      v3 += v4 + 5;

      if ( v3 >= v2 )          

        return v6;

      v1 = a1;

    }

    // 漏洞成因！SMB_FEA_LIST的SizeOfListInBytes值计算错误。

    *(_WORD *)v1 = (_WORD)v3 - (_WORD)v1;   

  }

  return v6;

}

植入后门

漏洞触发后，执行的代码其实是一段内核shellcode，其最终目的是安装DoublePulsar后门。DoublePulsar是美国国家安全局NSA泄露工具中一个危害极大的、无文件型的内核级后门，同时支持SMB和RDP协议。由于其直接在系统内核中运行，不存在对应的文件，所以很难被主机安全防护软件查杀。后续勒索软件正是通过DoublePulsar后门复制自身，形成蠕虫式快速传播。

植入后门的步骤如下：

1） hook sysenter系统调用

之所以在代码一开始就Hook sysenter系统调用，是因为当前运行的中断级别为DISPATCH_LEVEL，在此中断级别上无法使用分页内存的相关函数。此外许多常用的内核函数（如PsLookupProcessByProcessId等），都需在PASSIVE_LEVEL中断级别上运行。