基于API Hooking勒索软件WannaCry的解密方法.docVIP

基于API Hooking勒索软件WannaCry的解密方法 　　摘 要：勒索软件WannaCry的肆意扩散对网络用户造成了极大的危害，如何能够防范和解密WannaCry是目前的热点研究问题。为了实现对勒索软件WannaCry的解密，论文提出了基于API hooking的解密方法去恢复受害者的文件数据。首先，研究了WannaCry病毒执行时的详细加解密流程，发现其使用的加解密API函数；其次，针对这些加解密API函数实现Hook，使用自定义的钩子函数记录下密钥信息；最后，实现原型系统，监控操作系统中所有的进程。一旦勒索软件WannaCry感染主机，原型系统记录下勒索软件WannaCry使用的密钥信息，以此来完成文件的解密，结果表明系统能够完全的实现对勒索软件WannaCry的解密。 　　关键词：API Hooking；勒索软件；WannaCry；解密 　　中图分类号：TP393.08 文献标识码：A 　　An approach to decrypting ransomware wannacry based on api hooking 　　Abstract： Recently， the wanton outbreak of ransomware WannaCry caused great harm to the network users. How to prevent and decrypt ransomware WannaCry is a hot research issue at present. In order to implement the decryption of ransomware WannaCry， we proposes a novel method based on API hooking to decrypt and free the damaged data. Firstly， we study the encryption and decryption process of WannaCry virus and find the encryption / decryption API functions used by WannaCry. Secondly， performing API hooking for key operations， records key information with the customized hook functions. Finally， implementing the prototype system and monitoring all the processes in the operating system. When WannaCry infected the host computer， the prototype system recorded the key information to complete the decryption of the files. The result shows that the system can be effectively used to mitigate users from the damages caysed by WannaCry. 　　Key words： API hooking； ransomware； wannacry； decryption 　　1 引言 　　?睦账魅砑?首次出现以来，已将近三十年时间，在这期间它并没有逐渐消失，而是发展到对各种平台进行感染，且更新速度越来越快，如今的勒索病毒软件已经具备更高强度的攻击性和更加广泛的传播性[1]。同时，由于勒索病毒软件普遍使用成熟的加密算法破坏用户文件[2]。被勒索的用户在无法恢复重要数据的情况下，被迫选择支付高额的赎金，这使得勒索者不断发动攻击以获取更高的收益；而且，现阶段的勒索病毒软件大多是使用比特币来支付赎金，由于比特币其匿名性强、难以追踪的特点，也在一定程度上促使了勒索病毒软件爆发性的增长。 　　2017年5月12日起，勒索软件WannaCry发起了一场具有全球性质的网络攻击[3]，该勒索病毒使用了NSA黑客武器库泄露的工具Eternalblue，针对Windows操作系统中存在的SMB服务器漏洞发起攻击，勒索者在成功攻击后，会采取远程代码执行WannaCry勒索病毒软件。该病毒软件会对主机上存放的文件数据进行加密，同时弹出勒索页面，要求用户使用比特币进行赎金的支付以获取解密密码。随着WannaCry的爆发，一天的时间内， 150多个国家的几十万台主机受到感染，其中我国部分教育机构、部分政府机关和企事业单