月落的博客

这篇文章是对前天没讲述完整的部分的补充

sub_4038F0 即解密入口

sub_402020 设置RSA密钥

sub_4046F0 设置内置密钥或者真实的解密密钥

设置密钥过程如下

https://technet.microsoft.com/zh-cn/library/security/MS17-010

没打补丁的朋友请尽快打补丁吧[……]

查看文章

嗯，这次影响挺大，图转自群，来源不明。

这次攻击范围全球，只能说祝作者好死~

废话不多说，感谢Limi同志提供的样本。

二话不说扔虚拟机里面进行分析。

出乎意料的是，这玩意居然没加壳！！！对！没加壳！！！

运行起来后，先解压自己的资源，密钥是 WNcry@2ol7

然后开始加密你的个人数据

↑  很明显用的是AES（这部分数据可以解密），还有一部分是RSA，这里调试器跑飞了，就没做分析（抱歉，能力有限）

目前这部分我重新分析了，请阅读后续文章

加密完成后：

那个带黄色握手图标的玩意就是勒索的主程序，同样没加壳~

&nbs[……]

查看文章

废话不多说，直接给出方法，请逐一尝试与排查

1.ADB驱动问题（包含版本过低问题，这个真的不想多说）

2.ADB端口被占用（5555，概率不大，这个很容易排查）

3.重启一下本机的ADB服务

可以粗暴的直接结束掉adb.exe进程

或者在CMD中输入

adb kill-server
adb start-server

4. 手机上的ADBD异常(可能性极大)

找一个终端模拟器之类的app，在shell中执行

stop adbd

start adbd

问题基本会解决，如果是端口问题

setprop service.adb.tcp.port 5555

后，在重启ADBD即可

如果上[……]

查看文章