1 locky勒索软件构成概述
前些时期爆发的Locky勒索软件病毒这边也拿到了一个样本，简要做如下分析。样本主要包含三个程序:
A xx.js文件：Jscript脚本文件，以脚本形式存在主要用于邮件传播和方便免杀杀毒软件，用于联网下载PE1
B PE程序（PE1）：外壳程序，主要负责解密内存load PE2。
C PE程序（PE2）：功能代码存在于该文件，主要负责和C&C服务器通讯获取加密密钥，遍历磁盘驱动器使用crypt系列windows函数对文件加密。
PE1
PE2
2 locky勒索软件行为分析
2.1 xx.js行为简要分析
病毒的本体在通过邮件传播的时候可以就是一个xx.js的文件。
由于是脚本文件，病毒的原始JS样本已经截获累计到了5位数。
我们将手里的这个JS文件分别传到virtotal和virscan。
由于脚本文件免杀较为容易，单纯只靠更新病毒库不容易将数以万计的js恶意样本完全拦截并报警。
xx.js会同一台webserver 进行通讯，下载PE1
我们查询了一下这个ip。
Locky病毒的作者将PE1文件部署在美国的服务器上。
xx.js成功下载PE之后会将PE1至于当前用户的Temp文件夹中然后直接运行。
如果该JS被执行多次，可能会因为文件已经存在而弹出写入失败的对话框。
对应的该行的代码。
这点可能会被用户察觉。
2.2 PE1 PE2行为简要分析
PE1只是负责内存加载PE2。它的导入表的函数是伪造的，为了用于躲避某些对于导入表查杀敏感的杀软的查杀报警。
对于PE1的查杀virtotal显示基本大部分杀软都已经入库查杀了。
Locky病毒首先使用RtlDecompressBuffer函数与内存中解出PE2
在内存加载的时候会不断的调用GetProcAddress动态的填充修正PE2的导入表的函数地址。
使用常规的函数来判断系统版本
尝试请求通讯服务器上的main.php并进行通讯
向如下通讯服务器通讯请求密钥并回传用户的编号。
会尝试向注册表写入”\Software\Locky”,证明该系统已经存在Locky病毒
会尝试向Run写入启动项
下面应该是打开文件并遍历文件使用微软提供的Crypt对文件进行加密的代码位置
病毒使用CreateFileW打开文件，使用FindFirstFileW和FindNextFileW对文件进行遍历。
使用微软提供的Crypt系列的函数对文件进行加密。
目前会加密下列后缀名的文件。
对于路径和文件名包含下列字符的文件不进行加密
使用
删除全盘所有卷影副本，使受害系统不能够通过卷影副本进行系统还原。
病毒完成执行成功后会设置如下背景图片进行勒索。
3 locky勒索软件分析总结
通过目前的分析来看，勒索软件“Locky”的功能与之前分析的勒索软件的功能基本一致。勒索软件能给攻击者带来巨大的收益，因其使用比特币进行交易，所以很难追踪。一旦用户感染了勒索软件，只能付费进行解密或是丢弃这些文件。广大用户，为防止数据被加密，更应该注意勒索软件的防御，养成良好的上网使用习惯，不要轻易执行来历不明的文件。与其他勒索软件不同的是，”Locky”是首例具有中文提示的比特币勒索软件，这预示着勒索软件作者针对的目标范围逐渐扩大，勒索软件将发展出更多的本地化版本。今后中国将受到更多类似的勒索软件攻击。所以如何防御勒索便成为保卫网络安全的重要任务之一。