搜索

[10833] 2016-12-16_传播恶意软件最有效帮手：超95%的PowerShell脚本都是恶意脚本

文档创建者：s7ckTeam
浏览次数：50
最后更新：2025-01-18
2016-12-16_传播恶意软件最有效帮手：超95%的PowerShell脚本都是恶意脚本 传 播 恶 意 软 件 最 有 效 帮 手 ： 超 9 5 % 的 P o w e r S h e l l 脚 本 都 是 恶 意 脚 本 l a t i a o j u n   F r e e B u f   2 0 1 6 - 1 2 - 1 6 对 很 多 对 很 多 I T 专 业 人 士 来 说 ， 专 业 人 士 来 说 ， P o w e r s h e l l 的 确 是 的 确 是 W i n d o w s 系 统 中 一 个 相 当 强 大 的 工 具 ， 而 且 微 软 也 有 意 将 系 统 中 一 个 相 当 强 大 的 工 具 ， 而 且 微 软 也 有 意 将 P o w e r S h e l l 作 为 作 为 W i n d o w s 系 统 的 默 认 命 令 行 工 具 。 但 赛 门 铁 克 最 近 的 一 份 报 告 指 出 ， 超 过 系 统 的 默 认 命 令 行 工 具 。 但 赛 门 铁 克 最 近 的 一 份 报 告 指 出 ， 超 过 9 5 % 的 的 P o w e r S h e l l 脚 本 实 际 上 都 是 恶 意 脚 本 。 脚 本 实 际 上 都 是 恶 意 脚 本 。 赛 门 铁 克 在 报 告 （ 传 送 门 ） 中 指 出 ， 绝 大 部 分 恶 意 P o w e r S h e l l 脚 本 都 是 扮 演 下 载 的 角 色 。 当 然 P o w e r S h e l l 脚 本 的 终 极 目 标 还 是 要 在 设 备 上 执 行 恶 意 代 码 ， 在 整 个 网 络 传 播 恶 意 软 件 。 绝 大 多 数 绝 大 多 数 P o w e r S h e l l 脚 本 是 恶 意 脚 本 脚 本 是 恶 意 脚 本 由 于 P o w e r S h e l l 框 架 极 具 灵 活 性 ， 攻 击 者 可 以 滥 用 它 来 下 载 恶 意 p a y l o a d 、 进 行 恶 意 侦 查 、 或 者 是 遍 历 网 络 。 赛 门 铁 克 分 析 ， 9 5 . 4 % 的 P o w e r S h e l l 脚 本 为 恶 意 脚 本 ， 这 个 结 果 表 明 来 自 外 部 的 P o w e r S h e l l 脚 本 程 序 对 企 业 构 成 了 重 大 威 胁 ， 尤 其 是 在 使 用 s h e l l   框 架 的 企 业 中 。 下 载 并 执 行 远 程 文 件 的 简 单 脚 本 程 序 示 例         如 今 的 很 多 针 对 性 攻 击 均 使 用 了 P o w e r s h e l l 脚 本 ， 无 论 是 O d i n a f f 集 团 发 起 的 攻 击 还 是 K o v t e r   T r o j a n 木 马 作 者 编 写 的 脚 本 （ 都 是 采 用 P o
w e r S h e l l ） 。 P o w e r S h e l l 脚 本 甚 至 不 需 要 以 文 件 为 载 体 就 能 感 染 目 标 ， 因 此 越 来 越 多 银 行 木 马 和 其 他 类 型 的 威 胁 都 选 择 了 P o w e r S h e l l 。 比 如 最 近 有 款 名 为 “ A u g u s t ” 的 恶 意 程 序 就 采 用 P o w e r S h e l l 进 行 感 染 ， 而 且 并 没 有 以 文 件 为 载 体 （ 传 送 门 ） ： 在 这 次 攻 击 中 ， 恶 意 脚 本 企 图 窃 取 身 份 凭 证 和 敏 感 文 件 。 它 通 过 包 含 恶 意 宏 的 w o r d 文 档 进 行 传 播 ， 一 旦 打 开 文 档 ， P o w e r s h e l l 命 令 行 就 会 启 动 ， 然 后 下 载 并 安 装 最 终 的 p a y l o a d 。 赛 门 铁 克 在 例 证 中 特 别 提 到 了 N e m u c o d   d o w n l o a d e r — — 如 果 你 对 L o c k y 勒 索 软 件 熟 的 话 ， 应 该 也 很 清 楚 N e m u c o d 用 的 就 是 P o w e r S h e l l 。 不 过 实 际 上 ， 报 告 中 一 直 在 强 调 ， 最 常 与 P o w e r S h e l l 匹 配 的 还 是 O f f i c e 宏 ； 另 外 各 种 E x p l o i t   K i t s 漏 洞 利 用 工 具 也 经 常 采 用 P o w e r S h e l l ， 比 如 说 相 当 知 名 的 R I G 、 N e u t r i n o 、 M a g n i t u d e 和 S u n d o w n 。 恶 意 恶 意 P o w e r S h e l l 脚 本 的 一 些 数 据 脚 本 的 一 些 数 据 我 们 接 收 到 的 样 本 数 量 在 2 0 1 6 年 急 剧 增 长 。 赛 门 铁 克 在 第 二 季 度 收 到 的 样 本 数 量 是 第 一 季 度 的 1 4 倍 ， 而 第 三 季 度 更 是 第 二 季 度 的 2 2 倍 。 基 本 代 码 混 淆 赛 门 铁 克 的 这 份 报 告 对 大 量 样 本 进 行 了 观 察 分 析 。 这 些 数 据 均 来 自 赛 门 铁 克 恶 意 软 件 分 析 沙 盒 （ S y m a n t e c   B l u e   C o a t ） 。 在 这 个 沙 盒 中 ， 仅 今 年 就 有 4 9 1 2 7 例 P o w e r S h e l l 脚 本 提 交 。 而 且 ， 安 全 研 究 员 还 手 动 分 析 了 4 7 8 2 例 不 同 的 样 本 ， 发 现 其 中 的 1 1 1 个 恶 意 软 件 系 列 存 在 滥 用 P o w e r S h e l l 命 令 行 的 情 况 。 而 在 这 1 1 1 例 中 ， 仅 有 8 % 的 恶 意 软 件 使 用 了 如 大 小 写 混 合 字 母 之 类 的 混 淆 技 术 ； 没 有 脚 本 会 对 命 令 参 数 做 随 机 化 之 类 的 混 淆 。 研 究 人 员 表 示 ， 他 们 观 察 到 目 前 比 较 流 行 的 ， 正 在 使 用 P o w e r S h e l l 、 三 个 最 常 见 的 恶 意 软 件 ， 分 别 是 W 9 7 M . D o w n l o a d e r （ 在 分 析 样 本 当 中 占 比 9 . 4 % ） ， T r o j a n . K o t v e r （ 占 比 4 . 5 % ） 和 J S . D o w n l o a d e r （ 占 比 4 . 0 % ） 。 分 析 样 本 中 ， 最 常 用 的 P o w e r S h e l l 命 令 行 参 数 是 “ N O P R O F I L E ” （ 占 比 3 4 % ） ， “ W i n d o w s S t y l e ” （ 占 比 2 4 % ） 和 “ E x e c u t i o n P o l i c y ” （ 占 比 2 3 % ） 。
研 究 人 员 还 提 到 ， 在 今 年 观 察 的 1 0 7 9 7 个 P o w e r S h e l l 脚 本 中 — — 也 包 括 那 些 没 有 恶 意 的 脚 本 ， 5 5 % 的 脚 本 是 以 c m d . e x e 开 始 执 行 的 。 如 果 只 考 虑 恶 意 脚 本 ， 9 5 % 都 是 通 过 c m d . e x e 执 行 。 不 过 ， 绝 大 部 分 宏 d o w n l o a d e r 还 没 运 行 就 已 经 被 系 统 禁 止 了 ， 所 以 都 并 不 需 要 赛 门 铁 克 的 行 为 引 擎 分 析 。   针 对 已 经 被 攻 陷 的 网 络 ， 攻 击 者 采 用 的 P o w e r S h e l l 手 法 注 入 I n v o k e - C o m m a n d 、 E n t e r - P S S e s s i o n 、 W M I / w m i c / I n v o k e - W M I m e t h o d 、 T a s k   S c h e d u l e r ， 还 有 P s E x e 这 样 一 般 的 工 具 。 而 且 为 了 能 够 保 证 存 在 的 持 久 性 ， P o w e r S h e l l 也 会 安 排 任 务 、 替 换 启 动 文 件 夹 中 的 脚 本 、 采 用 组 策 略 或 者 W M I 、 感 染 本 地 配 置 文 件 ， 在 注 册 表 中 存 储 脚 本 （ 如 2 0 1 4 年 的 T r o j a n . P o w e l i k s ） 等 。 除 此 之 外 ， 赛 门 铁 克 的 这 份 报 告 还 详 细 谈 到 了 黑 客 针 对 P o w e r S h e l l 脚 本 的 混 淆 技 术 ； 列 出 了 不 少 P o w e r S h e l l 恶 意 程 序 的 相 关 信 息 ， 包 括 勒 索 软 件 ， 键 盘 记 录 器 ， 以 及 银 行 和 后 门 木 马 。 有 兴 趣 的 可 点 击 阅 读 原 文 下 载 查 看 完 整 报 告 。 如 何 应 对 ？ 如 何 应 对 ？ 防 御 此 类 威 胁 的 最 好 方 法 是 运 行 最 新 版 本 的 安 全 软 件 以 及 P o w e r s h e l l 。 另 外 ， 恶 意 脚 本 大 都 是 通 过 电 子 邮 件 传 播 ， 因 此 最 好 是 不 要 打 开 来 自 不 信 任 源 的 脚 本 、 文 件 或 者 是 链 接 。 公 司 内 部 的 I T 专 业 人 士 需 要 对 企 业 内 部 应 用 对 P o w e r S h e l l 的 调 用 进 行 更 加 严 密 的 监 控 ， 记 录 P o w e r S h e l l 的 活 动 并 通 过 分 析 日 志 来 发 现 异 常 行 为 ， 创 建 规 则 ， 以 便 在 发 生 异 常 行 为 时 能 够 报 警 。 另 外 ， 我 们 也 应 该 （ 尤 其 是 安 全 人 士 ） 经 常 审 视 P o w e r S h e l l 的 命 令 行 ， 通 常 合 法 脚 本 的 内 容 和 目 的 都 很 直 观 ， 而 攻 击 脚 本 通 常 都 使 用 B a s e 6 4 加 密 命 令 行 ， 并 且 经 常 把 各 种 脚 本 团 塞 在 一 行 内 ， 出 现 这 种 情 况 时 ， 我 们 一 眼 就 能 看 出 端 倪 。 * 参 考 来 源 ： s e c u r i t y w e e k ， s o f t p e d i a ， s y m a n t e c ， F B 小 编 l a t i a o j u n 编 译 ， 转 载 请 注 明 来 自 F r e e b u f . C O M 。
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理