搜索

[16755] 2021-05-07_2020年黑客首选10大Windows网络攻击技术

文档创建者：s7ckTeam
浏览次数：0
最后更新：2025-01-18
2021-05-07_2020年黑客首选10大Windows网络攻击技术 2 0 2 0 年 黑 客 首 选 1 0 大 W i n d o w s 网 络 攻 击 技 术 k i r a z h o u   F r e e B u f   2 0 2 1 - 0 5 - 0 7 R e d   C a n a r y 近 期 公 布 了 《 2 0 2 1   T h r e a t   D e t e c t i o n   R e p o r t 》 ， 该 报 告 涵 盖 了 众 多 顶 级 网 络 攻 击 技 术 到 M I T E R   A T T ＆ C K 框 架 的 映 射 。 其 中 ， 就 2 0 2 0 年 黑 客 首 选 1 0 大 W i n d o w s 网 络 攻 击 技 术 进 行 了 调 研 。 1 、 、 2 4 % : 命 令 行 解 释 器 命 令 行 解 释 器 P o w e r S h e l l 利 用 P o w e r S h e l l 和 W i n d o w s   C o m m a n d   S h e l l 的 攻 击 对 受 害 者 影 响 最 大 。 由 于 这 些 工 具 是 W i n d o w s 固 有 的 ， 也 被 称 为 离 地 攻 击 ， 也 就 是 说 攻 击 者 不 需 要 下 载 专 用 工 具 ， 而 是 使 用 已 安 装 的 现 有 P o w e r S h e l l 就 能 够 将 恶 意 活 动 隐 藏 在 合 法 进 程 中 。 企 业 需 要 使 用 工 具 确 保 捕 获 日 志 记 录 ， 从 而 监 测 这 一 攻 击 活 动 。 此 外 ， 由 于 分 析 正 常 的 P o w e r S h e l l   和 恶 意 P o w e r S h e l l 需 要 一 定 时 间 ， 最 好 对 于 经 常 使 用 的 脚 本 和 P o w e r S h e l l 进 程 建 立 一 个 基 准 ， 帮 助 过 滤 ， 从 而 发 现 可 疑 的 c m d . e x e 和 混 淆 命 令 。 2 、 、 1 9 ％ ： 签 名 的 二 进 制 进 程 执 行 ％ ： 签 名 的 二 进 制 进 程 执 行 排 名 第 二 的 攻 击 使 用 2 种 技 术 ： R u n d l l 3 2 和 M s h t a 。 两 者 都 允 许 攻 击 者 通 过 受 信 任 的 签 名 二 进 制 文 件 创 建 恶 意 代 码 。 同 样 ， 攻 击 者 使 用 的 是 离 地 攻 击 。 对 此 ， 建 议 企 业 可 以 为 恶 意 使 用 的 R u n d l l 3 2 设 置 警 报 ， 并 且 同 样 建 立 一 个 基 线 。 3 、 、 1 6 ％ ： 创 建 和 修 改 系 统 流 程 ％ ： 创 建 和 修 改 系 统 流 程 B l u e   M o c k i n g b i r d ， 这 是 利 用 W i n d o w s 服 务 的 单 一 威 胁 。 主 要 部 署 加 密 货 币 挖 掘 有 效 载 荷 。 当 试 图 创 建 新 的 服 务 和 新 的 进 程 时 ， 建 议 查 看 日 志 中 的 事 件 4 6 9 7 、 7 0 4 5 和 4 6 8 8 。 4 、 、 1 6 % ： ： 计 划 任 务 计 划 任 务 报 告 指 出 ， 攻 击 者 使 用 计 划 任 务 来 建 立 持 久 性 。 企 业 应 该 检 查 计 划 任 务 是 否 被 设 置 为 以 系 统 身 份 运 行 ， 因 为 这 是 最 典 型 的 攻 击 配 置 。 此 外 ， 还 有 核 查 事 件 I D   1 0 6 和 1 4 0 记 录 何 时 创 建 或 更 新 任 务 。 5 、 、 7 % ： ： 凭 证 转 储 凭 证 转 储 在 诸 如 P r o c D u m p 和 M i m i k a t z 之 类 的 工 具 的 帮 助 下 ， 本 地 安 全 授 权 子 系 统 服 务 （ L S A S S ） 经 常 被 用 来 转 储 密 码 。 因 此 ， 企 业 在 建 立 查 找 异 常 攻 击 的 基 线 后 ， 建 议 使 用 W i n d o w s   1 0   A t t a c k   S u r f a c e   R e d u c t i o n 设 置 来 查 找 L S A S S 可 疑 访 问 。 6 、 、 7 % ： 进 程 注 入 ： 进 程 注 入 攻 击 者 往 往 使 用 多 种 注 入 方 法 来 获 得 对 系 统 的 更 多 访 问 权 限 ， 目 前 进 程 注 入 的 方 式 非 常 多 样 。 7 、 、 6 ％ ： 文 件 或 信 息 混 淆 ％ ： 文 件 或 信 息 混 淆 在 攻 击 者 希 望 隐 藏 其 行 动 时 ， 会 使 用 诸 如 B a s e 6 4 编 码 之 类 的 工 具 隐 藏 其 攻 击 过 程 。 企 业 需 要 监 控 P o w e r S h e l l . e x e 或 C m d . e x e 是 否 被 “ 不 寻 常 方 式 ” 地 使 用 ， 但 因 为 恶 意 活 动 看 起 来 与 正 常 的 管 理 任 务 非 常 相 似 ， 导 致 这 种 攻 击 可 能 很 难 审
查 。 建 议 设 置 使 用 P o w e r S h e l l 的 政 策 ， 并 且 只 使 用 签 名 的 脚 本 执 行 。 8 、 、 5 % ： 工 具 转 移 ： 工 具 转 移 虽 然 大 多 数 攻 击 是 离 地 攻 击 ， 但 有 时 候 攻 击 者 也 会 将 工 具 转 移 到 平 台 上 ， 他 们 使 用 b i t s a d m i n . e x e 转 移 攻 击 工 具 ， 而 查 看 P o w e r S h e l l 命 令 行 中 的 关 键 字 和 模 式 是 找 到 攻 击 序 列 的 关 键 方 法 。 9 、 、 4 ％ ： 系 统 服 务 ％ ： 系 统 服 务 攻 击 者 使 用 W i n d o w s   S e r v i c e   M a n a g e r 运 行 命 令 或 安 装 服 务 。 1 0 、 、 4 ％ ： 重 命 名 伪 装 ％ ： 重 命 名 伪 装 攻 击 者 通 过 重 命 名 系 统 工 具 程 序 来 绕 过 控 件 和 检 测 。 为 此 ， 建 议 不 是 直 接 查 找 文 件 名 而 是 查 找 进 程 ， 从 而 确 定 攻 击 者 是 否 正 试 图 使 用 此 技 术 进 行 攻 击 。 如 果 可 以 ， 请 使 用 可 以 比 较 文 件 哈 希 值 的 系 统 ， 这 样 即 使 文 件 名 更 改 ， 哈 希 值 也 不 会 偏 离 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理