AG公司云
WannaCry变种样本起源剖析报告
2017-05-16
《WannaCry变种样本起源剖析报告》内容先容
一、概述
5月14日，卡巴斯基的研究职员宣称他们发明了WannaCry的变种样本，此变种没有包括域名开关，同时修改了样本执行历程中的某个跳转，作废了开关域名的退出机制，无论开关域名是否可以会见，都会执行后续恶意操作。我们对此次的变种事务高度关注，以最快速率拿到样本并举行了剖析。
通过起源的剖析和与初代WannaCry样本的比照剖析，我们以为现在搜集到的两个变种，应该都是在原有蠕虫样本上直接举行二进制修改而成的，不是基于源代码编译的。不扫除有人同样使用这种方法天生其他变种，以造成更大破损。
从防护方面来看，变种样本仍然使用了MS17-010误差和DOUBLEPLUSAR后门举行撒播，没有新的撒播方法，因此我司的防护步伐都仍然有用。
二、变种样本与源样天职析比照
此次剖析了两个恶意样本，详细的文件信息如下表所示：
|
变种1 |
32f24601153be0885f11d62e0a8a2f0280a2034fc981d8184180c5d3b1b9e8cf.bin |
|
MD5 |
D5DCD28612F4D6FFCA0CFEAEFD606BCF |
|
SHA1 |
CF60FA60D2F461DDDFDFCEBF16368E6B539CD9BA |
|
SHA256 |
32F24601153BE0885F11D62E0A8A2F0280A2034FC981D8184180C5D3B1B9E8CF |
|
变种2 |
07c44729e2c570b37db695323249474831f5861d45318bf49ccf5d2f5c8ea1cd.bin |
|
MD5 |
D724D8CC6420F06E8A48752F0DA11C66 |
|
SHA1 |
3B669778698972C402F7C149FC844D0DDB3A00E8 |
|
SHA256 |
07C44729E2C570B37DB695323249474831F5861D45318BF49CCF5D2F5C8EA1CD |
