8、勒索软件攻击剖析与未来趋势

勒索软件攻击剖析与未来趋势

勒索软件组件分析

勒索软件的初始投放器会创建并启动一个服务，该服务会探测并尝试传播勒索软件，而被投放的资源则会执行感染的勒索软件组件。初始投放器会使用 /i 参数来执行提取的资源。

tasksche.exe 的执行流程

1. 条件检查 ：最初，一个条件语句会检查命令行参数的数量。如果 tasksche.exe 没有使用 /i 开关执行（即不是由投放器执行），它会首先创建并启动一个服务。
2. 生成随机字符串 ： tasksche.exe 会获取受害者主机的名称，并使用 Microsoft 的 srand 函数生成一个随机字符串。以主机名作为校验和，该函数会生成一个长度为 15 个字符加 3 个数字的伪随机字符串。
3. 创建注册表项 ：这个伪随机字符串会被用作服务名，同时也是 tasksche.exe 被复制到的新安装目录的一部分。接着，会创建注册表项 HKEY_LOCAL_MACHINE\SOFTWARE\WanaCrypt0r ，注册表值 wd 指向 tasksche.exe 的安装路径。
4. 提取嵌入式 ZIP 文件 ：使用硬编码的密码 “WNcry@2oI7” 将