[原创]GandCrab V2.0 详细分析
说明：
??萌新一枚，热爱病毒分析，喜欢看论坛大佬的病毒分析文章。大佬们的文章都是直击要害，简洁明了，懂的人自然都懂，但像我这样的小白分析起来的时候，面对成百上千行汇编代码，往往容易卡壳，程序乱飞，自信心受到严重打击。最近春招也在找相关工作，所以我尽可能详细的分析了这个病毒，并整理成文，篇幅也因此较长。新手第一次发帖，如有不当错误之处，欢迎大佬们批评指正，一起交流共同进步！
一、前言：
??自从2017年5月12日，WannaCry蠕虫通过Ms17-010漏洞在全球范围大爆发之后，各式各样的勒索病毒也伴随着数字货币火了起来，其中最主要的原因就是这种简单粗暴的勒索方式给黑客带来了快速并且巨大的收益。随着企业和信息化时代的不断发展，可以预见的是勒索病毒攻击也将会变得更加频繁多样。
??目前勒索病毒国内主要以Globelmposter、CrySiS/Dharma、GandCrab、Satan、Scarab、Matrix、STOP、Paradise家族为主。其中GandCrab堪称是2018勒索病毒界的“新星”，该勒索病毒于2018年1月份首次出现V1.0，一直到现在的V5.2版本，在此之中也有多个小版本的出现，活跃程度十分的高。它主要采用的方式是通过邮件附件，RPD爆破等方式来进行定向攻击。有意思的是第一版本的GandCrab勒索病毒因C&C被安全公司与警方合作后控制而登上各大科技媒体头条，在V2家族的样本中，病毒作者使用极具挑衅意味的C&C地址(C&C地址中包含针对警方和安全公司的字符内容)，又一次登上科技新闻版面。如今，它也被打上另外一个标签，“侠盗病毒”。在2018年10月16日，一位名叫Jameel的叙利亚父亲在Twitter上发帖求助，说自己的电脑感染了GandCrab V5.0.3病毒，电脑中的文件遭到了加密，由于无力支付高达600美元的赎金，他将再也看不到在战争中丧生的小儿子照片。GandCrab作者看到后，随即发布了道歉声明，并称无意感染叙利亚地区的用户，随后放出了部分叙利亚感染者的解密密钥。GandCrab也进行了更新到V5.0.5，将叙利亚和其他战乱地区加进了感染区域“白名单”。此事一出，不少人对这款病毒顿生好感，觉得它盗亦有道，称呼它为“侠盗病毒”。一码归一码，大家别因这事被蒙蔽了双眼，我国可是深受其害的重灾区。根据国家网络与信息安全信息通报中心监测，GandCrab V5.2自从2019年3月11日开始在中国肆虐，目前已经攻击了上千台政府，企业以及相关科研机构的电脑。今天我分析的就是V2家族样本。
二、行为概述：
样本信息：
病毒名称：hmieuy.exe
文件大小：308 KB (315912 字节)
病毒版本：V2.0
MD5值：f42774332fb637650ff0e524ce1b1685
SHA-1值：0012363a8a6efdd93fbd4624ee5e8ddf1f7be8d5
SHA-256值：15846ed8f38c0fac876b96a9d2eb55c3c98a428147ae372ade22efb854cfc4aa
CRC32值：9732F21C
样本
https://www.52pojie.cn/thread-712552-1-1.html
VirusTotal：
upload/attach/201904/93_E3KJSCNMWGC5PCX.jpg
三、病毒分析环境及工具：
环境：Oracle VM VirtualBox、Windows 7 Service Pack 1(x64)
工具：PEID V0.95、OD、IDA、Resource Hack、火绒剑、010editor
四、基础病毒分析：
查壳：
使用PEID工具对样本进行查壳，初步判断病毒无壳，使用C++编写完成
使用IDA与Resource Hack进行基础静态分析：
导入表：
字符串：
资源信息：
基础静态分析总结：
通过查看样本的导入表，字符串，资源段信息除了EnumResourceNamesA函数外并没有发现值得我们尤其注意的信息，例如加密相关函数、注册表相关函数、cmd命令等，由此可以大胆推测病毒在运行的时候对资源段进行了解码，然后跳转到解码部分继续运行。
使用火绒剑进行基础动态分析：
进程监控：
可以看到病毒不断使用nslookup.exe程序（nslookup.exe主要是用于查询Internet域名信息或诊断DNS服务器问题的工具），而且再无其它子进程，具体原因后续会有详细分析。
文件监控：
病毒对文件的主要操作就是在缓存文件目录下创建了一个exe文件，通过后续分析发现文件名称为随机值，同时在浏览器目录下发现了“ipv4bot[.]whatismyipaddress.com”的临时缓存文件，推测病毒文件会让受害者机器访问“http[:]//ipv4bot.whatismyipaddress.com”网站从而获得受害者机器的外网IP地址
注册表监控：
病毒对注册表的主要操作除了获取主机相关信息就是在“HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce\”下创建了一个“ftlcsuhkgnl”随机键，值就是刚刚在缓存文件夹下的exe程序，这里就是病毒程序的自启动。
注意：
“HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\”和“HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce\”这对注册表路径都是病毒程序常用的自启动路径，区别就是RunOnce 下的键值只执行一次，操作执行后会被自动删除。
注意：上传附件及图片大小不得大于30M。
⚠️ 版权声明：
本博客所有内容（含教程、源码、工具）仅供个人技术学习与研究交流使用，严禁商用、倒卖、二次分发及非法用途。
未经作者书面授权，任何组织或个人不得转载、复制或用于其他平台，违者将追究相关责任。
参与讨论
登录后可查看全部回复并参与讨论。
