勒索软件 -- js邮件恶意脚本分析
前一阵，勒索软件呈爆发趋势，并出现了针对中国的中文版本，有领导收到了带有恶意js附件的邮件，让我给分析下。js只是个下载器，实际会下载真正有恶意功能的pe文件实体。
经过一天的折腾，脱壳调试。单步跟踪运行，搞定给领导。特记录一下。
本次分析基于JS病毒样本(MD5：D00BE69072CF8A4549C692C7 88F58360)进行，JS调试环境为Visual Studio2012，相应的二进制PE文件(MD5：C4046F76C9518C5A45A8C555A87372F5)调试环境为 WinXP+IDA+Ollydbg。
分析方法为动态分析和静态分析。分别为：1，通过VS2012单步调试JS代码执行流程；2，静态分析+动态分析PE病毒文件。
1. JS代码分析
在CMD命令行窗口执行WScript.exe /x 34328_34328.js，可调出VS2012实时调试器进行动态调试跟踪。
图2-1 VS2012调试模式打开js样本
2 JS代码动态跟踪过程
2.1 通过CreateObject获取shell
如下图2-2所示，js代码通过CreateObject.WScript.shell获取shell，从而可以执行系统命令，进行相关的操作。
图2-2 CreateObject获取shell
如图2-3所示，所获取的shell对象具备执行命令的功能，如Exec()、run()等
图2-3 shell对象所具备的功能方法
2.2 判断当前系统环境，拼接参数
如下图2-4所示，代码判断当前系统环境是否为Windows，利用JS代码注释对相关变量参数进行拼接。得到局部变量如图2-5所示。
图2-4 判断当前环境，拼接参数
图2-5 局部变量显示已拼接好的参数
2.3 构造XMLHTTP请求下载PE恶意文件
通过构造XMLHTTP请求到固定地址(http://caston.com.sg/b7rtye)下载PE恶意文件，下载文件内容在请求对象的responseBody中。如图2-6和2-7所示
图2-6 指定地址下载PE文件
图2-7 所下载内容在responseBody中
2.4 保存所下载PE恶意文件
XMLHTTP请求结束后，通过readystate判断该请求结果状态是否完成，如果完成，则调用ADODB.Stream对象写入所下载的文件。如图2-8所示。
图2-8 判断请求状态，并写入文件
如下图2-9所示，程序将所下载文件存入用户文档目录下的C:\Documents and Settings\a\Local Settings\Temp\***.exe文件。
图2-9 存储文件当前路径
2.5 执行所下载的PE恶意文件
如下图2-10、2-11、2-12所示，JS代码调用shell对象中的run方法，来将所下载的PE恶意文件运行起来。
图2-10 调用run方法执行所下载文件
图2-11 调用run方法执行所下载文件
图2-12 调用run方法执行所下载文件
图2-13 所执行的PE文件
3 PE恶意代码分析
该PE文件为恶意程序，并采用了加密壳，执行后，会搜索受害终端所有文档文件，并采用RSA结合AES算法进行加密，另存为*.locky文件，以html页面和桌面图片的方式提示受害者访问指定网站进行敲诈活动。
3.1 修改注册表开机自启动运行
该样本首先修改注册表，以便下次开机启动运行。
图2-14 所执行的PE文件
3.2 判断当前操作系统环境
随后判断操作系统环境，根据操作系统环境和语言版本，设置不同的参数。
图2-15 检查操作系统环境
3.3 读取磁盘，并进行文件遍历
程序读取当前磁盘，并对磁盘文件进行遍历。
图2-16 获取磁盘
图2-17 获取磁盘空余空间大小
图2-18 遍历磁盘文件
图2-19 遍历磁盘文件
3.4 联网获取密钥
伪造Mozilla浏览器访问指定服务器，获取密钥文件。
图2-20 构造HTTP请求获取密钥
图2-21 构造HTTP请求获取密钥
图2-22 导入密钥
3.5 调用加密程序对文件加密
调用ADVAPI32接口进行文件加密操作，并将原文件加密后重命名为.locky结尾的密文文件。
图2-23 生产哈希值
图2-24 准备加密上下文
图2-25 执行加密操作
图2-26 写入加密后的文件内容
图2-27 将加密后的文件重命名，以.locky结尾
3.6生成HTML和bmp文件，修改桌面背景提示受害者
图2-28 修改桌面背景注册表
图2-29 声称html文件和bmp文件
图2-30 html文件和bmp文件内容
4.分析总结
经分析，JS样本功能是下载具有恶意功能的PE文件(文件名：qZkHEEIoa7m.exe)并执行；
所下载的PE文件(qZkHEEIoa7m.exe) 会搜索受害终端所有文档文件，并采用RSA-2048结合AES-128算法进行加密，另存为*.locky文件，以html页面和桌面图片的方式提示受害者访问指定网站进行敲诈活动；
不同的JS样本只是其下载PE恶意文件的URL地址不同，其他内容完全一样。
