??最近騰訊聯(lián)合安全實驗室發(fā)現(xiàn)了最近正在肆虐互聯(lián)網(wǎng)的勒索病毒的新樣本“WannaSister”，從Wannacry變成現(xiàn)在的WannaSister想必病毒作者也是想著能避開殺毒軟件的查殺繼續(xù)搞事了。這里西西提供的這款足彩進球彩 可以幫你檢測電腦中是否隱藏有這個病毒，并且還包含了查殺的功能。

在此之前，國家網(wǎng)絡(luò)與信息安全信息通報中心就通報，在全球范圍內(nèi)爆發(fā)的WannaCry勒索病毒出現(xiàn)了變種，取消了Kill Switch緊急開關(guān)，傳播速度更快。

騰訊聯(lián)合安全實驗室則披露，已獲取的樣本中找到了一個名為“WannaSister”(想妹妹)的樣本，應(yīng)該是病毒作者持續(xù)更新，用來逃避殺毒軟件查殺的對抗手段。

這個樣本其實在13日就出現(xiàn)了，也就是病毒爆發(fā)后的第二天，看來病毒作者也在持續(xù)更新。

就目前掌握的信息，WannaCry病毒樣本已經(jīng)出現(xiàn)了至少4種不同方式來對抗安全軟件的查殺，還有了加殼的處理，讓分析人員無法直接看到有效的字符串信息，脫殼后則能看到WannaCry的關(guān)鍵字符串。

根據(jù)目前我們掌握的信息，病毒在12日大規(guī)模爆發(fā)之前，很有可能就已經(jīng)通過掛馬的方式在網(wǎng)絡(luò)中進行傳播。在一個來自巴西被掛馬的網(wǎng)站上可以下載到一個混淆的html文件，html會去下載一個前綴為task的exe文件，而諸多信息表明，此文件很有可能與12號爆發(fā)的WannaCry勒索病毒有著緊密關(guān)系。

根據(jù)騰訊反病毒實驗室威脅情報數(shù)據(jù)庫中查詢得知，此文件第一次出現(xiàn)的時間是2017年5月9號。WannaCry的傳播方式，最早很可能是通過掛馬的方式進行傳播。12號爆發(fā)的原因，正是因為黑客更換了傳播的武器庫，挑選了泄露的MS17-010漏洞，才造成這次大規(guī)模的爆發(fā)。當(dāng)有其他更具殺傷力的武器時，黑客也一定會第一時間利用。

當(dāng)傳播方式鳥槍換大炮后，黑客也在炮彈上開始下功夫。在騰訊反病毒實驗室已獲取的樣本中找到一個名為WannaSister的樣本，而這個樣本應(yīng)該是病毒作者持續(xù)更新，用來逃避殺毒軟件查殺的對抗手段。

此樣本首次出現(xiàn)在13號，這說明自從病毒爆發(fā)后，作者也在持續(xù)更新，正在想辦法讓大家從“WannaCry想哭”更新到“WannaSister想妹妹”。就目前掌握的信息，自12號病毒爆發(fā)以后，病毒樣本出現(xiàn)了至少4種方式來對抗安全軟件的查殺，這也再次印證了WannaCry還在一直演化。

加殼

在分析的過程中，我們發(fā)現(xiàn)已經(jīng)有樣本在原有病毒的基礎(chǔ)上進行了加殼的處理，以此來對抗靜態(tài)引擎的查殺，而這個樣本最早出現(xiàn)在12號的半夜11點左右，可見病毒作者在12號病毒爆發(fā)后的當(dāng)天，就已經(jīng)開始著手進行免殺對抗。下圖為殼的信息。

通過加殼后，分析人員無法直接看到有效的字符串信息，這種方式可以對抗殺毒軟件靜態(tài)字符串查殺。

通過使用分析軟件OD脫殼后，就可以看到WannaCry的關(guān)鍵字符串。包括c.wnry加密后的文件，wncry@2ol7解密壓縮包的密碼，及作者的3個比特幣地址等。

病毒作者并非只使用了一款加殼工具對病毒進行加密，在其他樣本中，也發(fā)現(xiàn)作者使用了安全行業(yè)公認的強殼VMP進行加密，而這種加密方式，使被加密過的樣本更加難以分析。

我們通過驗證使用VMP加密過的樣本，發(fā)現(xiàn)非常多的殺毒廠商已無法識別。

偽裝

在收集到的樣本中，有一類樣本在代碼中加入了許多正常字符串信息，在字符串信息中添加了許多圖片鏈接，并且把WannaCry病毒加密后，放在了自己的資源文件下。這樣即可以混淆病毒分析人員造成誤導(dǎo)，同時也可以躲避殺軟的查殺。下圖展示了文件中的正常圖片鏈接

當(dāng)我們打開圖片鏈接時，可以看到一副正常的圖片。誤導(dǎo)用戶，讓用戶覺得沒有什么惡意事情發(fā)生。

但實際上病毒已經(jīng)開始運行，會通過啟動傀儡進程notepad，進一步掩飾自己的惡意行為。

隨后解密資源文件，并將資源文件寫入到notepad進程中，這樣就借助傀儡進程啟動了惡意代碼。

偽造簽名

在分析14號的樣本中，我們發(fā)現(xiàn)病毒作者開始對病毒文件加數(shù)字簽名證書，用簽名證書的的方式來逃避殺毒軟件的查殺。但是簽名證書并不是有效的，這也能夠看出作者添加證書也許是臨時起意，并沒有事先準(zhǔn)備好。

我們發(fā)現(xiàn)病毒作者對同一病毒文件進行了多次簽名，嘗試繞過殺軟的方法。在騰訊反病毒實驗室獲取的情報當(dāng)中，我們可以發(fā)現(xiàn)兩次簽名時間僅間隔9秒鐘，并且樣本的名字也只差1個字符。

反調(diào)試

病毒作者在更新的樣本中，也增加了反調(diào)試手法：

1通過人為制造SEH異常，改變程序的執(zhí)行流程

2注冊窗口Class結(jié)構(gòu)體，將函數(shù)執(zhí)行流程隱藏在函數(shù)回調(diào)中。

總結(jié)

這次勒索病毒的作惡手法沒有顯著變化，只是這次與微軟漏洞結(jié)合。針對勒索病毒已經(jīng)找到了有效的防御方法，而且周一開始病毒傳播已在減弱，用戶只要掌握正確的方法就可以避免，廣大網(wǎng)友不必太驚慌，關(guān)注騰訊反病毒實驗室和騰訊電腦管家的研究和防御方案，也呼吁行業(yè)理性應(yīng)對。我們也會繼續(xù)追蹤病毒演變。騰訊反病毒實驗室會密切關(guān)注事態(tài)的進展，嚴陣以待，做好打持久戰(zhàn)的準(zhǔn)備，堅決遏制勒索病毒蔓延趨勢。