伴隨著軟件安全技術(shù)的不斷發(fā)展，PE類病毒的查殺-免殺對(duì)抗技術(shù)不斷的升級(jí)，樣本通過(guò)常規(guī)途徑大規(guī)模傳播的可能性越來(lái)越低，Wanncry的火爆得益于永恒之藍(lán)遠(yuǎn)程執(zhí)行漏洞的出現(xiàn)。而腳本類樣本由于混淆手法多變，體積小（大部分腳本類樣本為下載器，下載PE樣本并執(zhí)行）便于傳播，呈現(xiàn)出占比上升的趨勢(shì)。
分析
對(duì)之前捕獲的一枚JS樣本進(jìn)行分析，因?yàn)槭悄_本類樣本，用Notepad打開(kāi)混淆過(guò)的原始代碼。
P1-ObfuscateerCode
手動(dòng)去除混淆
乍一看，沒(méi)有什么思路，但有兩條明顯特征，一是大量隨機(jī)長(zhǎng)度的字符串作為變量名，二是函數(shù)主體部分存在大量數(shù)組和字符串拼接，且數(shù)組中最終項(xiàng)對(duì)應(yīng)于之前的隨機(jī)變量，推測(cè)其混淆方式是以字符串分割為基礎(chǔ)，以數(shù)組選項(xiàng)為變形。要想明白這段代碼的中心思想，只能迅速數(shù)組和變量替換，['e', ebylx, 'u', 'f'][1]查找ebylx = "va",即:['e', ebylx, 'u', 'f'][1]->"va"。
P2-ManuallyReplacementForTest
手動(dòng)替換后能明顯看到j(luò)s的語(yǔ)句"var inkezs3 = new Enumerator(ybdetof5"
Py腳本輔助分析
如果是代碼不是很短，手動(dòng)替換效率會(huì)比較低下，對(duì)混淆代碼仔細(xì)分析，字符串分割后數(shù)組變形的過(guò)程有一定的規(guī)律性，這里考慮編寫(xiě)一個(gè)py腳本去除混淆，程序主要使用正則表達(dá)式進(jìn)行匹配和轉(zhuǎn)換，程序主要分為以下幾個(gè)部分：
0x2.2.1對(duì)隨機(jī)變量和核心代碼行進(jìn)行區(qū)分存儲(chǔ)
varLineDict = {}
CodeLineList = []
writeList = []
for line in myJslog:
if 'var' in line and '= "' inline: #var xnisd ="open";
key =re.match('[var]{3}s*([a-z0-9A-Z_]{1,})s*=s*(".{1,}"$)',line)
if(key != None):
varLineDict[key.group(1)]= key.group(2)
else:
CodeLineList.append(line)
0x2.2.2替換數(shù)組結(jié)構(gòu): ['e', ebylx, 'u', 'f'][1] --->ebylx
for Line12_split in re.findall('([[^[]]+][d])',line): index =int(re.match('[(.*)][(.*)]',Line12_split).group(2))
repstr =re.match('[(.*)][(.*)]',Line12_split).group(1).split(',')[index]
replaceTemp =re.compile('([[^[]]+][d])')
line =replaceTemp.sub(repstr,line,count=1)
0x2.2.3替換變量為對(duì)應(yīng)的值： ebylx --->"va"
for varline in varLineDict:
if varline in line:
vartemp =re.compile(varline)
line =vartemp.sub(varLineDict[varline],line)
0x2.2.4替換" + "為空格
plus =re.compile(r'"[sS]{0,3}+[sS]{0,3}"')
line = plus.sub('',line)
0x2.3解析結(jié)果
P3-PyParse2Result
經(jīng)過(guò)py腳本一系列的解密剩下的程序就很容易被識(shí)別了，當(dāng)然也可以做進(jìn)一步的優(yōu)化，但對(duì)于簡(jiǎn)單樣本分析已經(jīng)足夠了，從結(jié)果能清楚的看到此樣本是一個(gè)Js下載者，從http://xxx.uio下載文件保存到臨時(shí)目錄，下載完成后通過(guò)cmd命令執(zhí)行。
對(duì)解密后的樣本分析，一般判斷有"GET","http://xxx","runcmd.exe " 和"GetTempName"時(shí)可視為下載者。
vs調(diào)試
本以為靜態(tài)分析基本可以滿足要求，上次參加北京市某比賽時(shí)碰到一段求key的js解密代碼，簡(jiǎn)單分析后認(rèn)為p即需要的答案，奈何一時(shí)半會(huì)拿不到p的值，思慮良久，最后通過(guò)調(diào)試(不是是od附加w.exe,是vs直接調(diào)試js)獲取了p的值。雖然主辦方的wp是編寫(xiě)簡(jiǎn)單py腳本進(jìn)行處理，但是調(diào)試依然提供了極大便利性。
P4-VSDebug
Virus-or-Tool ?
此樣本的分析難點(diǎn)在于去除混淆，結(jié)合動(dòng)靜態(tài)分析，修改此樣本為下載壁紙的小工具，增強(qiáng)對(duì)病毒的認(rèn)知。
經(jīng)過(guò)調(diào)試找到Get及http所處混淆代碼行。
P4-Get_HttpLine
變量ovfowqi至kredak之間拼接為惡意樣本地址，現(xiàn)修改此網(wǎng)址為壁紙地址，并修改保存地址為c:RandName.jpg,進(jìn)行下載。
P5-DownWallpaper
P6-DownWallpaperDebug
P7-URLCheck
可見(jiàn)病毒并不是絕對(duì)的，只是連接的網(wǎng)址及下載文件不同，樣本性質(zhì)便已發(fā)生變化，促使我們分析樣本時(shí)關(guān)注通用特征的基礎(chǔ)上關(guān)注特例（此樣本的網(wǎng)址及下載文件）及多手段聯(lián)合（監(jiān)控惡意連接,惡意流量等）分析。
