01

该病毒原名为Tesla Crypt勒索病毒，勒索信息中提示是通过RSA加密算法进行加密的，但通过分析，发现该样本是通过AES加密算法对文件进行大量的加密操作，从而进行勒索。由于他的主密钥已经由开发者公布，故该勒索病毒是可以进行解密的。

打开被写入过的txt文件，发现内容都被加密过了，如图3：

查看进程树，逐条进行分析。进程树如图4：

运行该样本后，释放了lohdrw.exe，并运行了改exe程序。然后该exe对文件进行了大量的写入，可见图2。

然后lohdrw.exe先后调用了两次vssadmin.exe(卷影拷贝服务)。执行了如下命令。

静默删除全部卷影副本。防止通过本地恢复。如图5:

然后调用NOTEPAD.exe，执行病毒路径下的txt文件，弹出勒索信息内容。如图6：

最后调用cmd执行如下命令，删除自身。如图7：

首先找到主函数入口点，从_tmainCRTStartup中找到主函数入口点wWinMain。如下图：

进入主函数我WinMain中后，该样本首先初始化了COM组件，并调用了FIlterGraph组件，来检查音频设备是否存在，从而判断是否是沙箱环境。若判断是沙箱环境，直接退出程序，不再执行。如图：

由于样本的传播途径可能由很多种，其中若是通过IE浏览器下载的话，会默认再所下载的文件中默认添加一个隐藏文件流：filename:zone.identifier。如果有该隐藏文件流，再运行该程序的时候，会弹出警告窗口。

所以该样本获取到完整文件路径后，通过字符串拼接出：filename:zone.identifier，然后将其删除。来阻止弹出警告窗口。如图：

该样本通过解密函数，解密出后面所用到的一些数据信息。其中调用了下图中init_key_encode_42B00函数初始化了一个大小为244字节的密钥，然后通过该密钥去解密信息。如下图：

其中解密出来的数据都有：解密出要加密的文件后缀名；解密出勒索提示信息的文件名；解密出要执行指令；解密出而异域名以及网络请求头；以及勒索文本信息

要加密的文件类型，就是解密出来的后缀名。解密出的后缀名，如表1：

解密出来的指令，如表2：

解密出的URL和请求包头，如表3：

然后判断当前进程token的完整性，如果当前进程的标签完整性是低的话，便执行下图中的Elevate_privileges_407100，通过执行cmd命令runas，以管理员权限再次运行一次。

Elevate_privileges_407100,通过ShellExecuteExw执行，拼接出的指令：

然后再判断文件的路径是否在"我的文档"的目录下，如果不在的话，将自身复制到到"我的文档"目录下更名为随机生产的6位随机字符串，并修改文件属性为隐藏。然后删除源文件，结束当前进程。创建新的进程执行复制出来的新程序。也就是在样本行为分析图1抓取到的行为。

若在"我的文档"目录下，则继续执行。

通过函数CreateMutexw创建互斥体9-9-9-9。当互斥体存在时，直接结束。

提升进程权限，提升权限为SeDebugPrivilege。如下图：

创建线程1，线程1主要监控所有进程，时时遍历所有进程，当遇到taskmg;regedi;procex;msconfi;cmd,就立马结束这些进程。如下图：

再创建线程2之前，该样本先获取了当前操作系统的信息，判断操作系统是不是XP，如果不是创建线程删除卷影拷贝，否则反之。

线程2，通过将解密出的指令拼接起来，交由shellexecute执行删除卷影拷贝的命令，防止进行数据恢复。就产生了在样本行为分析中图5抓取到的行为。

创建完线程2之后，连着一下有了6个函数。这里一个一个分析。

先往HKEY_CURRRENT_USER\Software\MSVCC,下写入personID，并名为FIX

修改后的注册表如图：

然后往HKEY_CURRRENT_USER\Software写入data值。如图：

Data中的是3个数据拼接出来的。

先生成4位的随机数，并拼接成+++xxxx作为键值的名称，然后再与解密出的指令拼接，拼接成c:windows\system32\cmd.exe /c start “c:user\document\xxxxx.exe” 作为键值。然后添加到HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run项中。可见行为分析图9所示。

然后修改software\Microsoft\Windows\CurrentVersion\Polices中的enableLinkedconnections,提升进程访问网络共享的权限。如图：

将personID和刚写入注册表中的data值中的前两个数值拼接起来，然后再进行加密并写入"我的文档"目录下的+recover+file.txt中。如图：

其中拼接出的数据和写入data中的数据对比图，如下：

先将personID从unicode转换为ascii存储在内存中。然后再将解密出来的勒索信息中的xxxxxxx替换成personID。然后存储到chText中，后面会用到该完整的勒索信息。

将personID填入解密出的文本后，构成的完整的勒索信息如图：

通过调用GdiplusStartup来初始化GDI。

然后调用DrawTextA，将第5个函数获取到的完整勒索信息chtext_completion_ransome_info画出来。也就是最终勒索弹出的图片。

也就是最终勒索弹出的图片,如图:

线程3，向解密出来的URL发送data中的数据等加密后的主机信息。

首先拼接data中第二段的值、personID、1105和网络请求相关字符串。

然后将拼接出的信息进行加密。

然后将加密过的数据发送给之前解密出来的恶意URL（表3）。可见行为分析图8所示。

先获取系统文件路径，并通过GetLogicalDriveStringsw函数获取当前所有盘符。

然后遍历所有盘符，并判断当前遍历到的盘符类型。

如果盘符类型如下表时，执行file_encode_401920对该盘符进行加密

遍历文件，然后判断文件时目录还是文件，如果是目录则进行判断，若是c:\windows；c:\program files和program data这三个目录，便不在进行遍历（排除这3个目录）。然后进行递归，直到遍历到文件。

若是文件，便进行判断该文件后缀是否在要加密的后缀名表中。

加密文件，先查看文件属性，若文件属性为只读属性，则修改文件属性。

然后读取加密文件到buff中。

然后将读取到的数据进行加密，然后进行了三次写入。第一次写入data中的数据，然后写入一个1591986926的数据，最后再将加密后的数据写入文件中，文件加密完成。

将线程4（文件加密）的优先级设置为最低，然后等待线程4运行完，然后再执行下一步弹窗显示勒索信息。

先将前面分析的连续6个函数中的第六个函数中的初始化的勒索图片保存再本地。

再通过open_file_410C30函数调用shellExecutew执行如下命令。

来弹出勒索信息的图片。

先拼接出桌面勒索文件的绝对路径，然后将连续6个函数中的第5个函数中获得的完整勒索信息chText_completion_ransome_info，写入桌面的勒索文本中。然后再调用open_file_410C30将文本打开。

通过shellExecutew执行命令，打开刚写入的文件文件。

弹窗显示完勒索图片和文本后，再次创建线程2，删除卷影拷贝，防止恢复到加密前。再次创建线程3，再次发送主机信息到远程服务器。

当线程3运行完之后，执行cmd_del_file_410990调用cmd执行如下命令，删除自身。可见行为分析图7所示。

该勒索病毒虽然提示加密文件是通过非对称RSA-2048算法进行加密的，但经过分析该勒索病毒样本实际上是通过对称AES算法来进行加密的

通过查看字符串，发现secp256K1椭圆曲线加密算法（ECC）

Secp256K1加密算法，如图：

RIPEMD160 算法计算比特币钱包地址，如图：

SHA-256摘要算法：

通过对文件加密函数进行了16轮的异或加密，判断出该勒索病毒是通过AES算法进行加密的。

1.首先，该病毒样本会生成一个32字节的随机数作为私钥，这里称为：master_btc_priv。

2.然后计算生成的master_btc_priv的sha256的哈希值,生产master_btc__hash_priv。

3.再通过调用secp256k1函数来生成master_btc__hash_priv对应的公钥master_btc_hash_pub。

4.然后再求master_btc_priv对应的公钥master_btc_pub。

5.样本接下来利用AES算法加密master_btc_priv生成master_key_priv。

6.根据master_key_priv计算出对应的公钥master_key_pub,此公钥会写入加密文件中，这个公钥在执行线程3时会通过C&C通道加密发给攻击者。

7.然后再每次加密时，该样本会随机生成32字节的随机数，然后通过secp256K1算法生成一个session_ecdh_secret。并用这个session_ecdh_secret作为AES模式加密的密钥加密session_priv。生成session_key_priv。

8.根据已经生成的session_key_priv计算出对应的公钥session_key_pub，并保存到加密文件中。

加密算法大致流程图：

该样本将各种key都保存在了加密文件的头部，详细信息见下图：

通过分析发现，该勒索病毒使用的其实是对称加加密算法AES，而非该勒索所说的非对称RSA-2048加密算法。而如今由于该病毒的作者已经将密钥公布，就可以对加密的文件进行解密。各大厂商都以公布相关的解密工具，可以下载这些工具，恢复被加密的文件。

卡巴斯基的解密工具下载链接：https://media.kaspersky.com/utilities/VirusUtilities/EN/RakhniDecryptor.zip

该勒索病毒在勒索时随提示的是利用RSA加密算法，来对文件进行加密的，但经过详细分析后是通过AES来对文件加密的，再没有作者的密钥的情况下，理论上是不可以进行解密的。但目前该病毒样本的作者已经将密钥公布，即可以对该勒索病毒进行解密，各大安全厂商都已经出了相关的解密工具。若被加密，可通过这些厂商的工具进行解密。

lor=red>HKEY_CURRRENT_USER\Software\MSVCC 列表中，名为FIX的键值。

通过分析发现，该勒索病毒使用的其实是对称加加密算法AES，而非该勒索所说的非对称RSA-2048加密算法。而如今由于该病毒的作者已经将密钥公布，就可以对加密的文件进行解密。各大厂商都以公布相关的解密工具，可以下载这些工具，恢复被加密的文件。

卡巴斯基的解密工具下载链接：https://media.kaspersky.com/utilities/VirusUtilities/EN/RakhniDecryptor.zip

该勒索病毒在勒索时随提示的是利用RSA加密算法，来对文件进行加密的，但经过详细分析后是通过AES来对文件加密的，再没有作者的密钥的情况下，理论上是不可以进行解密的。但目前该病毒样本的作者已经将密钥公布，即可以对该勒索病毒进行解密，各大安全厂商都已经出了相关的解密工具。若被加密，可通过这些厂商的工具进行解密。