incaseformat样本详细分析

Tech
Page content

incaseformat病毒近日爆发，影响了不少主机。这么一个古老的病毒能够造成这么大的影响，令人感到意外。我从微步在线上下载了样本进行分析。需要注意的是，incaseformat有两个在野版本，详见https://www.52pojie.cn/thread-1351233-1-1.html。我分析的应该是原始版本，但是两个版本除了Sysutils::DateTimeToTimeStamp库函数所使用的全局变量IMSecsPerDay不同，其他没有什么区别。在文章的最后有样本相关资源的链接。

基本信息

名称 值
样本类型 PE32 executable (GUI) Intel 80386, for MS Windows
MD5 915178156c8caa25b548484c97dd19c1
SHA1 f1ca17a3f0b51952de959212b71f3d38d13b0b50
SHA256 75ee468476e300c5fddda280a2c0570b1c11a0f7c44acad2b257428cf404e5da

详细分析

首先使用PEiD查壳，可以看到并没有加壳，并且样本使用Delphi编写。

分析Delphi程序与分析VC程序不同，常见的VC样本往往是过程式的，找到WinMain函数接着向下分析即可；而Delphi程序的功能代码往往和UI组件关联，直接从入口分析面临的是一堆固定的初始化代码。因此，可以首先使用DeDe查看Delphi样本中的功能函数。

该样本中有一个Form，包括一个FormCreate和4个被定时器触发的函数，下面开始对它们的分析。

注：

  1. 在分析中很多函数调用的参数我直接通过动态分析获得，本文中不详细提及，重点展示静态分析的过程。
  2. 使用ida分析Delphi程序有很多库函数无法识别，但是DeDe能够很好的识别。因此，可以从DeDe导出map文件，然后使用ida的loadmap插件导入。
  3. 一般来说，样本分析首先要进行动态分析，通过沙箱或监控工具查看样本行为，进行初步分析，此处不再详述。
  4. 直接使用当前样本进行动态调试可能有一些断点运行不到，这是因为程序中有一些行为只有tsay.exe和ttry.exe会执行。因此，可以使用样本复制产生的C:\windows\tsay.exe和C:\windows\ttry.exe试一试。

分析FormCreate

FormCreate函数的第一部分，如下图，包括第一个ShellExecuteA调用之前的代码。这部分是在判断文件所在文件夹是否存在，如果不存在，则构造文件夹路径，并调用ShellExecuteA(0, 0, “/path/to/dir”)。这一部分对样本分析影响不大。

该函数的第二部分，如下图。

首先，判断文件C:\windows\tsay.exe是否存在，如果不存在，则复制当前正在运行的文件至C:\windows\tsay.exe（通过图中的CopyFileA调用）。复制结束后，再对注册表进行修改。

在图中的SetRootKey调用之前，将 80000002h作为参数传入了edx。SetRootKey作用是设置进行注册表操作的根键，值与根键的对应关系如下：

值 根键
80000000h HKEY_CLASSES_ROOT
80000001h HKEY_CURRENT_USER
80000002h HKEY_LOCAL_MACHINE
80000003h HKEY_USERS
80000004h HKEY_PERFORMANCE_DATA
80000005h HKEY_CURRENT_CONFIG
80000006h HKEY_DYN_DATA

此处的注册表操作是将msfsa = C:\windows\tsay.exe写入注册表HKEY_LOCAL_MACHINE/SOFTWARE\Microsoft\Win-dows\CurrentVersion\RunOnce，以实现下一次的开机自启。

然后，该函数对当前正在运行的程序进行判断，如果是C:\windows\tsay.exe跳转至loc_44F28E，如果是C:\windows\ttry.exe跳转至loc_44F2F4。下图黄色高亮是进行比较的函数调用。

在loc_44F28E处，即当前程序为tsay.exe时，复制到C:\windows\ttry.exe，然后启动ttry.exe。在loc_44F2F4处，FormCreate函数基本就结束了。

可见，FormCreate函数主要完成了将初次运行的样本复制到C:\windows\tsay.exe，并修改注册表使tsay.exe在下次重启时自启动。如果运行的是tsay.exe，则将tsay.exe复制到C:\windows\ttry.exe，并启动ttry.exe。

分析Timer1Timer

Timer1Timer作为定时器定时触发的函数，有很多固定的无用代码影响我们分析；我们着重分析0044EBEB的函数调用。0044EC14处也是一个自定义函数的调用，但我并没有发现什么和样本功能有关的调用，不再分析。

0044EBEB处的函数（我在ida命名为hpw_disk_type了）调用在其它定时器触发函数中也用到了，此函数如下图。

首先，在0044E5ED处的hpw_getdisksize也是自定义函数，它的功能是调用Sysutils@DiskSize返回值判断通过eax传入的磁盘是否存在；若存在返回1，否则返回0。这个函数很简单，不再单独分析。

再回到hpw_disk_type中来，可以看到，从‘C’开始，函数调用hpw_getdisksize判断磁盘是否存在；若不存在，跳到loop_or_exit处；若存在，调用GetDriveTypeA判断磁盘类别，如果是DRIVE_REMOVABLE或者DRIVE_FIXED，就调用TStringList@AddObject存起来。

再看loop_or_exit处，首先对ebx加1，即获得下一个盘符，然后判断ebx值是否为5Bh（Z的后一个ascii码），如果是就结束循环，否则继续跳回loc_44E5EB进行磁盘判断。

分析Timer2Timer

同样地，Timer2Timer作为定时器定时触发的函数，我们忽略掉其中和定时器有关的部分，关注功能代码，如下图。hpw_disk_type函数已经分析过了，它用来判断并保存可用的磁盘。

然后，0044EEF0处的函数调用将年、月、日分别赋值给三个变量，我已将它们重命名为day、month、year。从loc_44EF07处开始，对时间进行判断。当年份大于2009（0044EEF5处）、月份大于3（0044EF07处）、日为1或10或21或29时（loc_44EF15处），跳转到loc_44EF31，否则跳转至loc_44EF5E（函数基本结束）。

从loc_44EF31处开始，循环对已保存的磁盘调用hpw_delete函数。经过动态分析，由于0044EF3B处和0044EF5B处的dec ebx操作，若保存了n个盘符，实际对n-1个盘进行hpw_delete，额外的那个是C盘，不进行hpw_delete操作。

然后，我们对hpw_delete函数进行分析，其代码如下图。

这个函数简单直接，首先拼接形成 [路径]:\*.*，对其执行FindFirst（0044ED08处），若执行失败说明该目录下无子内容，直接跳转至loc_44EDCD删除该目录。若含有子内容，跳过其中的.（代表当前目录）和..（代表上级目录）防止死循环，然后对其他内容进行递归删除。

所以，Timer2Timer函数的功能是在指定日期对C盘以外的盘执行删除操作。

分析Timer3Timer

Timer3Timer函数执行了一系列的注册表修改。分析API调用后可以得知有如下修改：

  1. HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced 下 HidenFileExt = 1
  2. HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced 下 Hidden = 2
  3. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folde\Hidden\SHOWALL 下 checkedvalue = 0
  4. 删除HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Fold-e\HideFileExt里的checkedvalue

Timer3Timer通过修改注册表来隐藏文件后缀和文件夹选项中的一些选项，注册表每项的意义很容易搜索出来，此处不再赘述。

分析Timer4Timer

当主机受到该病毒影响时，在被删除文件的磁盘根目录下会留有incaseformat.log文件，就是这个Timer4Timer函数的功劳。该函数很简单，通过hpw_disk_type获取可用盘符后与incaseformat.log字符串拼接，然后调用TFileStream函数向拼接好的路径进行写操作创建文件。

关键函数总结

函数 功能
FormCreate 复制样本到C:\windows\tsay.exe并修改注册表实现自启动、复制C:\windows\tsay.exe到C:\windows\ttry.exe
Timer2Timer 在指定日期对C盘以外的盘执行删除操作
Timer3Timer 修改注册表来隐藏文件后缀和文件夹选项中的一些选项
Timer4Timer 在被删除盘根目录创建incaseformat.log文件

相关资源

Delphi API 查询：http://docwiki.embarcadero.com/Libraries/Sydney/en/Main_Page

DeDe：http://ftp.twaren.net/cpatch/patchutil/dede/

ida loadmap插件：https://github.com/mefistotelis/ida-pro-loadmap

样本下载：https://s.threatbook.cn/report/file/75ee468476e300c5fddda280a2c0570b1c11a0f7c44acad2b257428cf404e5da/?env=win7_sp1_enx86_office2013