看過來：Petya與Wanncry的差異分析

經歷了Wanncry的「驚魂未定」，Petya勒索軟體再一次利用「永恆之藍」漏洞大規模地進行傳播和感染，又引起了不小的恐慌。

S問Peter，既然網友這麼關心MalwareBenchmark在安全事件中的觀點，我們該寫點兒什麼特殊視角的東東呢？Peter 和 Rand 不約而同的想到：Petya與Wanncry比較起來有哪些不一樣呢？

區別1：Petya屬於通殺型

Wanncry在感染目標主機之前，留了一個kill switch選項，Matt Suiche稱，他們利用這個選項，成功阻止了Wanncry感染了8萬台主機。

然而，Petya並沒有這個選項，所以，感染即中招。

區別2：Petya的滲透方式更多

上圖為WanaCry滲透模塊CFG結構圖和Petya滲透模塊CFG結構圖。WanaCry和Petya兩者都採集到445埠的數據包，都用到了『永恆之藍』漏洞進行滲透。

但是Petya還具有了某些APT的橫向移動屬性，利用管理共享在區域網內傳播，而後通過wmic來實現遠程命令執行。這個比WanaCry的滲透能力要高一截。

區別3：Petya直接加密磁碟

WanaCry在TaskStart函數中採用獲取所有文件路徑，而後進行逐個文件加密，生成新文件，並移除舊文件的方式，進行加密勒索。

而Petya採用磁碟加密的方式進行加密勒索。

區別4：Petya更加的小巧精悍

WanaCry是一個3.4MB左右的.exe文件，而Petya為一個354KB的.dll文件。

WanaCry含有的資源文件很多，相互關係比較複雜，總結而言是一個三層結構。

第一層的WanaCry是一個帶有『永恆之藍』滲透能力的殼程序。其功能有兩個，一個是負責啟動大量子線程，利用MS17-010的SMB漏洞進行區域網和公網的掃描感染；另一個功能是從資源段釋放另一個.exe文件當，即WanaCry第二層。

當該.exe文件被運行後，會繼續釋放眾多文件，大部分以.wnry結尾。值得注意的是，其中有一個t.wnry文件，是一個以WANACRY!開頭的加密文件。

第二層WanaCry將該文件讀入，導入RSA公鑰進行解密（因此明文在內存中，長度65536位元組），我們將該文件dump出後，發現是一個dll文件（實質上該文件只存在於內存中），也就是第三層文件，其中包含加密模塊的代碼。

第二層WanaCry動態布置堆棧結構，而後調用該dll中的TaskStart函數進行文件遍歷和加密。

而petya要比WanaCry簡潔的多，其為一個dll文件，大小只有354KB，不能直接啟動，必須其他程序調用。

如果我們需要啟動它，指令可為：rundll32petya, #1。其大量功能都集中在一個名為perfc_1的函數中，其中有sub_1000A274和sub_10007D6F兩個函數涉及網路傳輸與滲透利用，這兩個函數最終都調用了sub_10005A7E函數。

俗話說，螳螂捕蟬、黃雀在後。其實Petya的第一個版本在2016年就已經出現。如下圖所示：

這次Perya之所以能夠大規模爆發，可以說是受到了Wanncry的啟發，進一步地增強了自身的感染和滲透能力。

那麼黃雀後面是否還有老鷹？誰是究竟幕後「始作俑者」？敬請期待... ...

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！