分析测试百科网

搜索

喜欢作者

微信支付微信支付
×

勒索病毒WannaCry样本分析（三）

2020.10.12
头像

王辉

致力于为分析测试行业奉献终身

公网传播主要代码如下图,病毒会随机生成IP地址,尝试发送攻击代码。

【技术分析】勒索病毒WannaCry样本分析

SMB漏洞攻击数据包数据,如下图所示:

【技术分析】勒索病毒WannaCry样本分析

Worm病毒的PE文件中包含有两个动态库文件,是攻击模块的Payload,分别是:x86版本的payload,大小0x4060和x64版本的payload,大小0xc8a4。

两个Payload都是只有资源目录结构没有具体资源的无效PE动态库文件。病毒在攻击前,会构造两块内存,在内存中分别组合Payload和打开Worm病毒自身,凑成有效攻击Payload,代码如下图所示:

【技术分析】勒索病毒WannaCry样本分析

有效攻击Payload模型如下:

【技术分析】勒索病毒WannaCry样本分析


互联网
文章推荐