恶意代码分析：在沙箱中运行勒索病毒，用 IDA Pro 逆向它的加密逻辑

标签：#MalwareAnalysis #ReverseEngineering #IDAPro #Ransomware #CyberSecurity #Cryptography

⚠️ 高危警告：本文涉及真实恶意样本分析技术。所有操作必须在断网、隔离的虚拟机中进行。严禁在物理机或生产环境中尝试！严禁传播恶意样本！

🧪 一、搭建“生化实验室”：隔离环境

在处理病毒之前，必须确保它逃不出去。
你需要一个脏环境 (Dirty Environment)：

虚拟机：VMware 或 VirtualBox，安装 Windows 7/10。
断网：网络适配器设置为“仅主机模式”或直接拔掉网线，防止它连接 C2 服务器下载更多载荷或横向传播。
快照：在运行病毒前，务必拍摄快照。分析完后一键还原，像什么都没发生过一样。
监控工具：

Process Monitor (ProcMon)：监控文件和注册表操作。
Wireshark：监控网络请求（即使断网也要看它尝试连哪里）。
IDA Pro / x64dbg：静态与动态调试器。

💣 二、动态分析：引爆样本

我们双击运行样本malware.exe。
瞬间，桌面壁纸变了，文件打不开了，勒索信弹出来了。

ProcMon 捕捉到了什么？
你会看到疯狂的CreateFile->ReadFile->WriteFile操作序列。病毒正在遍历硬盘，把.docx,.jpg,.pdf等高价值文件读入内存，加密后覆盖源文件。

勒索病毒行为流程图 (Mermaid):

🔬 三、静态分析：IDA Pro 里的上帝视角

动态分析让我们知道了“它干了什么”，现在我们要通过 IDA Pro 搞清楚“它是怎么干的”。

将样本拖入 IDA Pro，等待分析完成。

1. 寻找入口点 (The Entry Point)

恶意软件通常会加壳（Packer）来对抗分析。如果 IDA 看到的图极其简单或有很多未识别的数据，说明加壳了。
假设我们已经通过 ESP 定律脱壳，看到了真正的OEP (Original Entry Point)。

2. 定位加密函数 (The Crypto Routine)

如何在几十万行汇编中找到加密逻辑？
技巧：搜索导入表 (Imports)。
勒索病毒通常使用 Windows 自带的加密 API (Advapi32.dll)。在 IDA 的 Imports 窗口搜索以下函数：

CryptAcquireContext
CryptGenKey(生成密钥)
CryptEncrypt(核心加密函数)
CryptExportKey

3. 逆向 AES 加密逻辑

双击CryptEncrypt的交叉引用 (Xref)，我们定位到了核心子程序sub_401A20。
通过 F5 (Decompiler) 查看伪代码：

// IDA 伪代码示例 (经过人工修饰)void__cdeclEncryptFile(char*FileName,HCRYPTKEY hPublicKey){// 1. 生成随机的 AES 密钥 (Session Key)HCRYPTKEY hSessionKey;CryptGenKey(hProv,CALG_AES_256,CRYPT_EXPORTABLE,&hSessionKey);// 2. 打开受害者文件HANDLE hFile=CreateFileA(FileName,...);// 3. 循环读取并加密文件块while(ReadFile(hFile,buffer,1024,&bytesRead,0)){// 核心加密：使用 AES 密钥加密文件内容CryptEncrypt(hSessionKey,0,0,0,buffer,&bytesRead,1024);WriteFile(hFile,buffer,bytesRead,...);}// 4. 最关键的一步：用黑客的 RSA 公钥，加密刚才生成的 AES 密钥BYTE encryptedSessionKey[256];DWORD keyLen=256;CryptExportKey(hSessionKey,hPublicKey,SIMPLEBLOB,0,encryptedSessionKey,&keyLen);// 5. 将加密后的 AES 密钥写入文件尾部或头部// 只有拥有 RSA 私钥的黑客才能解开这个 Key，进而解密文件WriteFile(hFile,encryptedSessionKey,keyLen,...);}

🧩 四、核心逻辑揭秘：混合加密体制

为什么我们不能自己写个解密器？
通过 IDA 的分析，我们看清了它的加密体制，这通常是一个混合加密 (Hybrid Encryption)方案：

对称加密 (快)：使用AES-256或ChaCha20加密文件内容。

特点：速度快，适合加密大文件。
弱点：如果密钥泄露，文件即被破解。

非对称加密 (强)：使用RSA-2048或ECC加密上面的 AES 密钥。

特点：公钥加密，私钥解密。
公钥：硬编码在病毒程序里（我们可以从 IDA 里提取出来，但这没用，它只能用来加密）。
私钥：在黑客的服务器上，从未出现在受害者的电脑里。

结论：除非你能攻破 RSA-2048 数学难题，或者黑客在实现算法时犯了蠢（比如使用了固定的随机数种子），否则在没有私钥的情况下，文件在数学上是无法解密的。

🛡️ 五、攻防博弈：Kill Switch 与疫苗

在分析 WannaCry 时，安全研究员发现它在加密前会尝试访问一个很长且奇怪的域名。
如果域名访问失败，它就继续感染；如果访问成功，它就停止运行。
这就是Kill Switch (自毁开关)。

在 IDA 中，这通常表现为：

if(InternetOpenUrlA(hInternet,"http://www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com",...)){ExitProcess(0);// 访问成功，直接退出，不加密}// 访问失败，开始干坏事...StartInfection();