[分享]小K学病毒分析之【Cerber Ransomware】

PEiD识别不出编译语言和编译器版本，应该是经过加壳的文件。

病毒使用了加壳技术对自身进行了加密，同时还进行了混淆，增加了静态分析的难度，这里我跳过了壳的分析，手动脱壳到病毒的OEP。

接着程序运行起来了，程序获取自己的模块句柄和文件路径后，接着使用RC4算法解密获取配置信息，这部分同一放在一个函数中（另命名为f_DecryptConfigInfo）执行，该部分配置信息控制病毒后续行为和操作。

包含感染文件类型黑名单、某些特定文件和特定目录以及部分使用地区。

可以看出主要是某些大众应用和数据库服务进程，关闭这些进程的目的是为了避免文件被占用导致加密操作失败。

包含加密文件后缀，文件大小，是否启动多线程，核心线程数等等，不过部分参数会根据感染主机的情况进行适度调整。

内容是经过了Base64加密后的内容，结果也验证猜想正确。下面是解密后的内容：

这里有及部分组成，分别是语音提醒，壁纸更换提醒以及用户引导操作帮助文件，这里看出作者实在实在是用心良苦啊。

帮助文件也是使用了Base64进行了加密，解密后内容是HTML文件，具体样式如下：

服务器这块有两部分，一部分是接收感染主机的信息和通知。另外一部分是给用户用于交付勒索款的。

特别关照的目录。

1. 病毒创建临时目录%temp%98abd045
2. 在前面的临时目录中创建两个文件，分别是77bf和4e0f,这两个都是后面加密算法用到的key。
3. b5d2作为加密文件的后缀名

shell.{3817596D-ADF3-6E49-63ED-931789067A56}

从配置信息加载扫描配置，然后对每个磁盘创建一个扫描线程，获取符合加密条件的文件列表。

接着准备加密了，在加密之前会针对机器情况调整加密线程数，同时关闭部分进程，保证加密的运行。

接下来就是文件加密，加过过程有点蛋疼。

为了减少码字，我画了一张渣渣图，思路大致是清楚的。