搜索

[28309] 2020-05-20_通过反射加载注入的Netwalker无文件勒索软件

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-19
2020-05-20_通过反射加载注入的Netwalker无文件勒索软件 通 过 反 射 加 载 注 入 的 N e t w a l k e r 无 文 件 勒 索 软 件 K a r e n   V i c t o r   O t s 安 全   2 0 2 0 - 0 5 - 2 0 威 胁 行 动 者 正 在 不 断 创 造 出 更 复 杂 的 方 式 来 使 恶 意 软 件 逃 避 防 御 。 我 们 已 经 观 察 到 N e t w a l k e r   勒 索 软 件 攻 击 所 涉 及 的 恶 意 软 件 不 是 经 过 编 译 而 是 用 P o w e r S h e l l 编 写 ， 而 是 直 接 在 内 存 中 执 行 ， 而 没 有 将 实 际 的 勒 索 软 件 二 进 制 文 件 存 储 到 磁 盘 中 。 这 使 该 勒 索 软 件 变 种 成 为 无 文 件 的 威 胁 ， 从 而 使 其 能 够 保 持 持 久 性 并 通 过 滥 用 系 统 中 已 经 存 在 的 工 具 来 发 起 攻 击 来 逃 避 检 测 。 这 种 类 型 的 威 胁 利 用 了 一 种 称 为 反 射 式 动 态 链 接 库 （ D L L ） 注 入 的 技 术 ， 也 称 为 反 射 式 D L L 加 载 。 该 技 术 允 许 从 内 存 而 不 是 从 磁 盘 注 入 D L L 。 该 技 术 比 常 规 的 D L L 注 入 更 为 隐 秘 ， 因 为 除 了 不 需 要 磁 盘 上 的 实 际 D L L 文 件 之 外 ， 它 也 不 需 要 任 何 W i n d o w s 加 载 程 序 即 可 注 入 。 这 消 除 了 将 D L L 注 册 为 进 程 的 已 加 载 模 块 的 需 要 ， 并 避 免 了 从 D L L 负 载 监 视 工 具 中 逃 脱 。 最 近 ， 我 们 目 睹 了 威 胁 参 与 者 使 用 此 技 术 来 部 署 C o l d L o c k 勒 索 软 件 。 现 在 ， 我 们 已 经 看 到 了 使 用 无 文 件 执 行 的 N e t w a l k e r 勒 索 软 件 的 相 同 攻 击 。 有 效 负 载 以 检 测 到 R a n s o m . P S 1 . N E T W A L K E R . B 的 P o w e r S h e l l 脚 本 开 头 。 P o w e r S h e l l 脚 本 分 析 图 1 .   P o w e r S h e l l 脚 本 行 为 概 述 该 脚 本 隐 藏 在 多 层 加 密 ， 混 淆 和 编 码 技 术 下 。 对 于 此 样 本 ， 我 们 能 够 揭 示 三 层 代 码 。 最 顶 层 执 行 b a s e 6 4 编 码 的 命 令 。 图 2 . 最 顶 层 代 码 的 代 码 片 段 （ b a s e 6 4 编 码 的 命 令 ） 对 此 进 行 解 码 将 显 示 下 一 层 代 码 ， 该 层 是 十 六 进 制 编 码 和 X O R 加 密 的 。
图 3 . 第 二 层 代 码 （ 十 六 进 制 编 码 和 X O R 加 密 ） 然 后 ， 解 码 和 解 密 将 显 示 主 要 脚 本 ， 该 脚 本 仍 然 很 模 糊 ， 使 分 析 人 员 更 难 以 解 密 内 容 。 图 4 . 混 淆 后 的 主 脚 本 的 代 码 片 段 该 文 件 以 反 射 方 式 将 勒 索 软 件 D L L 注 入 到 合 法 运 行 进 程 e x p l o r e r . e x e 的 内 存 中 。 勒 索 软 件 以 十 六 进 制 格 式 嵌 入 脚 本 中 。 图 5 . 以 十 六 进 制 格 式 嵌 入 脚 本 的 勒 索 软 件 二 进 制 文 件 从 脚 本 中 取 出 二 进 制 文 件 并 将 其 解 码 将 产 生 两 个 D L L 。 一 个 是 勒 索 软 件 的 x 8 6 版 本 （ 用 于 3 2 位 操 作 系 统 ） ， 而 另 一 个 是 x 6 4 版 本 （ 用 于 6 4 位 O S ） 。 它 使 用 脚 本 的 以 下 部 分 来 确 定 运 行 该 脚 本 的 环 境 ， 以 便 可 以 设 置 要 使 用 的 D L L 版 本 ：
图 6 . 确 定 勒 索 软 件 运 行 环 境 的 脚 本 为 了 成 功 执 行 反 射 注 入 ， 它 首 先 从 k e r n e l l 3 2 . d l l 中 找 到 所 需 功 能 的 A P I 地 址 ： 图 7 . 勒 索 软 件 从 k e r n e l l 3 2 . d l l 收 集 A P I 地 址 然 后 ， 它 使 用 以 下 功 能 来 设 置 准 确 的 内 存 地 址 计 算 ： 图 8 . 设 置 内 存 计 算 的 功 能
图 9 . 用 于 计 算 所 需 内 存 地 址 的 代 码 片 段 以 这 种 方 式 ， 脚 本 本 身 充 当 D L L 自 己 的 自 定 义 加 载 程 序 。 这 消 除 了 对 传 统 W i n d o w s 加 载 程 序 的 需 要 ， 后 者 通 常 利 用 L o a d L i b r a r y 函 数 。 脚 本 本 身 可 以 计 算 并 解 析 其 所 需 的 内 存 地 址 和 重 定 位 以 正 确 加 载 D L L 。 然 后 指 定 要 注 入 的 进 程 ； 在 这 种 情 况 下 ， 它 将 搜 索 正 在 运 行 的 W i n d o w s 资 源 管 理 器 进 程 。 图 1 0 . 用 于 搜 索 正 在 运 行 的 W i n d o w s 资 源 管 理 器 进 程 的 代 码 片 段 然 后 ， 它 将 通 过 以 下 代 码 将 勒 索 软 件 D L L 写 入 并 执 行 e x p l o r e r . e x e 的 内 存 空 间 ： 图 1 1 . 将 勒 索 软 件 D L L 代 码 写 入 内 存 的 代 码 片 段
最 后 ， 它 删 除 卷 影 副 本 ， 并 防 止 受 害 者 使 用 卷 影 恢 复 其 加 密 文 件 。 图 1 2 . 删 除 卷 影 副 本 的 代 码 段 该 示 例 似 乎 来 自 P o w e r S p l o i t 的 I n v o k e - M i m i k a t z 模 块 ， 该 模 块 是 一 个 开 源 程 序 ， 最 初 旨 在 将 M i m i k a t z 完 全 反 射 地 加 载 到 内 存 中 ， 以 进 行 秘 密 凭 证 转 储 。 无 文 件 勒 索 软 件 分 析 N e t w a l k e r 的 此 变 体 在 行 为 方 面 类 似 于 其 前 身 。 它 使 用 6 个 随 机 字 符 作 为 扩 展 名 重 命 名 加 密 文 件 ： 图 1 3 . 使 用 6 个 随 机 字 符 作 为 扩 展 名 重 命 名 的 加 密 文 件 它 将 赎 金 记 录 放 在 系 统 中 的 各 个 文 件 夹 中 ， 并 在 对 受 害 者 的 数 据 和 文 档 进 行 加 密 后 打 开 一 个 。 与 通 常 的 勒 索 软 件 一 样 ， 这 样 做 是 为 了 向 受 害 者 勒 索 钱 财 ， 以 换 取 其 文 件 的 解 密 。
图 1 4 .   N e t w a l k e r 赎 金 记 录 它 添 加 以 下 注 册 表 项 。 添 加 此 条 目 是 N e t w a l k e r 的 已 知 行 为 ： H K E Y _ C U R R E N T _ U S E R     S O F T W A R E     { 8 个 随 机 字 符 } { 8 个 随 机 字 符 }   =   { 十 六 进 制 值 } 图 1 5 .   N e t w a l k e r 添 加 的 示 例 注 册 表 项 勒 索 软 件 终 止 了 某 些 进 程 和 服 务 ， 其 中 一 些 示 例 与 备 份 软 件 和 与 数 据 相 关 的 应 用 程 序 有 关 。 这 样 做 可 能 是 为 了 破 坏 勒 索 软 件 攻 击 后 受 害 者 在 执 行 备 份 和 恢 复 操 作 时 可 能 付 出 的 任 何 努 力 。 以 下 是 勒 索 软 件 终 止 的 一 些 服 务 示 例 （ 有 关 服 务 的 完 整 列 表 ， 请 参 阅 此 报 告 ） ： * b a c k u p * *   s q l   * A c r o n i s A g e n t A R S M s e r v e r   A d m i n i s t r a t o r S h a d o w P r o t e c t S v c
w b e n g i n e 勒 索 软 件 还 停 止 了 与 安 全 软 件 相 关 的 过 程 ， 从 而 逃 避 了 对 其 恶 意 活 动 的 检 测 和 终 止 。 此 外 ， 它 还 终 止 与 用 户 数 据 和 文 档 以 及 用 于 创 建 备 份 的 软 件 有 关 的 过 程 。 然 后 它 将 继 续 加 密 通 过 这 些 应 用 程 序 创 建 的 文 件 。 由 勒 索 软 件 终 止 的 示 例 进 程 （ 有 关 进 程 的 完 整 列 表 ， 请 参 阅 此 报 告 ） ： *   s q l   * e x c e l . e x e n t r t s c a n . e x e p o w e r p n t . e x e w b e n g i n e   * w i n w o r d . e x e w r s a . e x e N e t w a l k e r 在 其 加 密 例 程 中 主 要 针 对 常 见 用 户 文 件 ， 例 如 O f f i c e 文 档 ， P D F ， 图 像 ， 视 频 ， 音 频 和 文 本 文 件 等 。 除 此 之 外 ， 由 于 它 通 常 避 免 对 任 何 关 键 文 件 ， 可 执 行 文 件 ， 动 态 链 接 库 ， 注 册 表 或 其 他 与 系 统 相 关 的 文 件 进 行 加 密 ， 因 此 它 显 然 并 不 想 使 系 统 完 全 无 效 。 O t s 网 络 安 全 管 家 网 络 安 全 管 家   -   建 议 建 议 看 来 ， 攻 击 者 现 在 正 在 向 其 勒 索 软 件 库 中 添 加 反 射 D L L 注 入 ， 以 试 图 使 攻 击 难 以 追 踪 且 更 难 以 被 安 全 分 析 人 员 调 查 。 勒 索 软 件 本 身 对 组 织 构 成 了 巨 大 的 威 胁 。 作 为 无 文 件 威 胁 ， 风 险 增 加 了 ， 因 为 它 可 以 更 有 效 地 规 避 检 测 并 保 持 持 久 性 。 诸 如 此 类 的 混 合 威 胁 利 用 多 种 技 术 ， 使 得 组 织 必 须 使 用 各 种 安 全 技 术 层 来 有 效 地 保 护 其 端 点 ， 例 如 采 用 行 为 监 控 和 基 于 行 为 检 测 的 安 全 解 决 方 案 。 这 些 类 型 的 攻 击 可 能 会 对 受 害 者 造 成 巨 大 影 响 ， 并 且 很 难 从 中 恢 复 。 采 用 适 当 的 预 防 措 施 ， 例 如 采 用 最 佳 实 践 ， 将 极 大 地 降 低 感 染 风 险 。 以 下 是 我 们 为 避 免 勒 索 软 件 攻 击 而 提 出 的 一 些 建 议 ： 定 期 备 份 关 键 数 据 以 减 轻 勒 索 软 件 攻 击 的 影 响 应 用 来 自 操 作 系 统 和 第 三 方 供 应 商 的 最 新 软 件 补 丁 。 遵 守 良 好 的 电 子 邮 件 和 网 站 安 全 规 范 对 于 员 工 ， 警 告 I T 安 全 团 队 可 能 有 可 疑 的 电 子 邮 件 和 文 件 。 在 端 点 上 实 施 应 用 程 序 白 名 单 ， 以 阻 止 所 有 未 知 和 不 需 要 的 应 用 程 序 。
定 期 教 育 员 工 有 关 社 会 工 程 学 的 危 害 。 以 下 是 一 些 保 护 系 统 免 受 无 文 件 威 胁 的 建 议 ： 通 过 利 用 其 日 志 记 录 功 能 监 视 可 疑 行 为 来 保 护 P o w e r S h e l l 的 使 用 。 使 用 诸 如 C o n s t r a i n e d L a n g u a g e M o d e 之 类 的 P o w e r S h e l l 命 令 来 保 护 系 统 免 受 恶 意 代 码 的 侵 害 。 配 置 系 统 组 件 ， 并 禁 用 未 使 用 和 过 时 的 组 件 ， 以 阻 止 可 能 的 入 口 点 。 切 勿 下 载 和 执 行 不 熟 悉 来 源 的 文 件
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理