Petya新型勒索病毒的加密原理分析
本帖最后由 abc-kevin 于 2017-6-29 22:51 编辑简介
此次席卷乌克兰等全球多个国家的勒索病毒，与之前的Petya病毒极为相似，二者都会修改受害者电脑的MBR，并且在电脑重启后，展示虚假的磁盘扫描界面，同时对磁盘MFT进行加密操作，在加密完毕后向受害者展示敲诈信息，勒索赎金。然而，有安全厂商仍然审慎地表示，此次病毒并非Petya勒索软件的变种。腾讯安全反病毒实验室对样本的加密代码部分进行了分析，着重留意了代码与原始Petya勒索病毒的异同。
https://wx1.sinaimg.cn/large/69b019d1gy1fh1wgoqhmsj21c20s4jw3.jpg
一、文件加密逻辑
之前的Petya勒索病毒的加密重点在于磁盘数据，在写完恶意MBR之后，会使系统强制重启，直接进入MBR引导模式；只有在写MBR失败的情况下，病毒才会使用备用方案，利用Mischa勒索病毒加密磁盘文件。而此次爆发的勒索病毒，会使用计划任务执行重启操作，在电脑尚未重启之前，病毒还会开启一个线程执行文件加密操作：
https://wx4.sinaimg.cn/large/69b019d1gy1fh1wh5h7ytj21cd0213yw.jpg
而在文件加密的过程中，只会对文件的前1MB字节进行加密，以此提升加密的速度：
https://wx2.sinaimg.cn/large/69b019d1gy1fh1whgcvm7j216w0jzju7.jpg
二、磁盘加密逻辑
1.磁盘加密整体流程
https://wx1.sinaimg.cn/large/69b019d1gy1fh1whsjvslj218o15cgua.jpg
2.修改磁盘引导扇区勒索病毒样本在写入磁盘时，分为四个部分写入不同的扇区。首先是恶意MBR代码部分，从扇区0开始一共写入了19个扇区，这部分包含伪装磁盘扫描界面、加密MFT、显示勒索文字、接受用户输入密码并尝试解密等完整功能：
https://wx2.sinaimg.cn/large/69b019d1gy1fh1wi97ktcj21bx0fcdhu.jpg
其后，病毒又写入了0x20、0x21、0x22三个扇区的内容：
https://wx3.sinaimg.cn/large/69b019d1gy1fh1wigabx0j219r0h776t.jpg
从后往前看，三个扇区的功能分别如下：0x22扇区存放的是病毒一开始从磁盘中读取的原始MBR内容，与0x07进行XOR操作的结果：
https://wx3.sinaimg.cn/large/69b019d1gy1fh1wipmnghj20xv020aa7.jpg
https://wx1.sinaimg.cn/large/69b019d1gy1fh1witnp36j20xy0bnjse.jpg
0x21扇区存放的是长度为0x200字节的0x07的内容：
https://wx1.sinaimg.cn/large/69b019d1gy1fh1wj57iylj20pm01umx8.jpg
https://wx3.sinaimg.cn/large/69b019d1gy1fh1wj9e6mjj216m03hdgc.jpg
在加密过程中，此扇区也会使用与MFT相同的密钥进行加密，用于在用户输入密钥之后进行解密验证：
https://wx4.sinaimg.cn/large/69b019d1gy1fh1wjmv92dj21ca069tdk.jpg
0x20扇区存放的是加密流程中用到的一些配置内容，比如加密密钥等。在之前的Petya敲诈病毒中，此扇区结构如下：
https://wx3.sinaimg.cn/large/69b019d1gy1fh1wjuw5t8j21c10u54af.jpg
（参考：https://securelist.com/petya-the-two-in-one-trojan/74609/）而此次病毒写入内容的格式也基本一致：
https://wx2.sinaimg.cn/large/69b019d1gy1fh1wk71s5fj21bu0l1tmb.jpg
所不同的只是显示的暗网地址被换成了比特币地址。3.MBR加载与勒索MBR启动后，通过int13 AH=42将1到21扇区的内容拷贝到内存0x8000处，并在随后执行。
https://wx4.sinaimg.cn/large/69b019d1gy1fh1wklsr5gj21e00hiq74.jpg
https://wx1.sinaimg.cn/large/69b019d1gy1fh1wksbzkdj21dv0cvdij.jpg
在经过标志位（0x20扇区中的state）的比较，判断当前磁盘是否已经被加密，如果被加密则直接显示敲诈信息，否则则展示虚假的磁盘检查信息
https://wx3.sinaimg.cn/large/69b019d1gy1fh1wl2od0oj21bs0fun0o.jpg
https://wx1.sinaimg.cn/large/69b019d1gy1fh1wl6hqhrj21bx0qddmp.jpg
随后，程序会调用salsa20算法对MFT进行对称加密，key是32byte大小的salsa_key，iv是8byte大小的salsa_iv。
https://wx2.sinaimg.cn/large/69b019d1gy1fh1wlh2b19j21ai0irwk0.jpg
https://wx2.sinaimg.cn/large/69b019d1gy1fh1wlo4bldj21bt0c8dk8.jpg
https://wx2.sinaimg.cn/large/69b019d1gy1fh1wls96svj21bo0a8gpf.jpg
病毒作者还对salsa算法的初始化参数做了修改，由原始算法的“expand 32-byte k”变成了如下字符串：
https://wx3.sinaimg.cn/large/69b019d1gy1fh1wlzyhttj21bx0r3wk8.jpg
通过此算法，最终会把MFT逐个字节的进行对称加密。加密完成后，密钥会从磁盘中删除，防止加密数据被还原。
https://wx4.sinaimg.cn/large/69b019d1gy1fh1wm6tphmj21b807bdkq.jpg
而ec_data被展示在敲诈界面上，作为受害者个人标识：
https://wx4.sinaimg.cn/large/69b019d1gy1fh1wmhlnytj21c20673zq.jpg
4.可疑的ec_data引起我们注意的即是这个ec_data。在之前的Petya敲诈病毒中，此数据是使用密钥经过ECDH、SHA、AES等多次运算后得到的一个Base58字符串，目的是使用此数据与病毒作者手中的私钥一起可以计算出加密MFT使用的密钥，即前面被置空的salsa_key部分。然而，在此次的敲诈病毒代码中，我们发现，病毒在生成随机数据之后，直接使用此数据生成了Base58字符串，并没有使用什么复杂的算法，也没有与加密密钥产生任何关联：
https://wx3.sinaimg.cn/large/69b019d1gy1fh1wmoil16j20zl0fg0ul.jpg
这就意味着，即使此次病毒作者在公布的邮箱中获取了受害者的标识，也无法将其与受害者的加密密钥对应起来。很有可能，此次病毒的始作俑者并不想帮受害者解密MBR部分。
结论
通过前面的分析可以看出，此次勒索病毒的作者使用了与之前Petya病毒类似的代码，通过MBR中代码、数据格式、加密流程等多处的高度一致性可以判定，这次的新型Petya病毒与之前的Petya病毒有着千丝万缕的联系。同时也可以注意到，与Petya病毒前几个版本不同的是，新型Petya病毒一方面使用了其它逻辑加密磁盘文件，另一方面并没有想要为受害者解密磁盘。我们猜测，此次勒索病毒的作者可能并非Petya勒索病毒的原始作者。
本文来自腾讯电脑管家 xxhaishixx 发表于 2017-6-30 04:35
强大，膜拜。病毒太可怕了，做病毒的就应该判处死刑。
呵呵，这话说得........ 病毒高手何尝不是安全高手？ 修改MBR啊，听起来有点鬼影的意思。 膜拜大佬哇咔咔 打系统补丁到最新 未知文件不要轻易打开 强大，膜拜。病毒太可怕了，做病毒的就应该判处死刑。 我想问下，如果我的mbr记录备份过是否能通过还原来阻止数据加密？ 修改mbr没事数据能恢复 分析的很科学，大佬真棒 我好多天不开机了
页:
[1]
2