Malware Analysis 101:

WannaCry Hands-on
DISCLOSURE
● Essa palestra não tem como intuito promover nenhuma
empresa ou ferramenta
● O conteúdo aqui ministrado tem como único e exclusivo intuito
de passar conhecimento

Clique para add subtítulo, se houver

2
SUMARIO
● Whoami
● System Setup
● Basics
● Detonation
● Static Analysis
● Dynamic Analysis

Clique para add subtítulo, se houver

3
$ whoami
● Formado em Engenharia da Computação pela UFES
● Pós em Defesa Cibernética pela UNICIV
● Background em desenvolvimento fullstack e mobile
● CTFPlayer
● Atualmente trabalhando como Engenheiro de Segurança da
Aplicação na PagSeguro

Clique para add subtítulo, se houver

4
 SYSTEM SETUP
Clique para add subtítulo, se houver

5
System Setup - FlareVM
● https://github.com/mandiant/flare-vm
● Se trata de uma coleção de softwares e configurações para a criação de um ambiente Windows
ideal para testes de malwares e engenharia reversa

6
System Setup - REMnux
● https://remnux.org/
● Distro Linux com um leque de ferramentas destinadas a engenharia reversa e análise de
softwares maliciosos

7
System Setup - Virtual Machine Network

8
System Setup - INetSim

9
 BASICS
Clique para add subtítulo, se houver

10
Basics

● Salve estados da máquina sempre antes de tomar ações importantes

● Adicione uma extensão, como “.malz”, para prevenir execução do malware por acidente
● Convenção de nomes

Fonte: https://learn.microsoft.com/en-us/microsoft-365/security/intelligence/malware-naming?view=o365-worldwide

11
 DETONATION
Clique para add subtítulo, se houver

12
Detonation

13
WannaCry

● O ransomware surgiu em 2017 e infectou

mais do que 230 mil sistema Windows pelo
mundo todo
● Abrangeu 150 países, resultando em um
prejuízo de cerca de 4 bilhões de dólares
● Toma proveito da vulnerabilidade existente
na época, a EternalBlue
● Se trata de um Ransomware que criptografa
os arquivos do usuário infectado,
extorquindo-os um valor bitcoins para
disponibilizar a chave
● Um componente para criptografar dados e
outro para disseminar-se na rede

14
 STATIC ANALYSIS
Clique para add subtítulo, se houver

15
Static Analysis - Hashing

● h

16
Static Analysis - Hashing

17
Static Analysis - Strings

18
Static Analysis - Strings

19
Static Analysis - MalAPI.io

20
Static Analysis - PEStudio

21
Static Analysis - PEStudio

22
Static Analysis - Assembly

23
Static Analysis - Assembly

24
Static Analysis - Assembly

25
 DYNAMIC ANALYSIS
Clique para add subtítulo, se houver

26
Dynamic Analysis - Wireshark

27
Dynamic Analysis - Wireshark

28
Dynamic Analysis - Procmon

29
Dynamic Analysis - Procmon

30
Dynamic Analysis - Procmon

31
Dynamic Analysis - Procmon

32
Dynamic Analysis - Procmon

33
Dynamic Analysis - Procmon

34
Dynamic Analysis - TCPView

35
Dynamic Analysis - Debugger

36
Considerações Finais

● O avanço do WannaCry foi impedido graças

ao pesquisador Marcus Hutchins que
registrou o domínio utilizado como kill-switch
pelo Malware
● Novas versões do WannaCry foram
desenvolvidas para superar essa defesa
mas não foram efetivas, pois patchs de
correção foram lançadas pela Microsoft

37
FIM
Dúvidas?
Clique para add subtítulo, se houver

38