搜索

[11862] 2017-10-06_反取证技术：内核模式下的进程隐蔽

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2017-10-06_反取证技术：内核模式下的进程隐蔽 反 取 证 技 术 ： 内 核 模 式 下 的 进 程 隐 蔽 C o v f e f e   F r e e B u f   2 0 1 7 - 1 0 - 0 6 介 绍 介 绍 本 文 是 介 绍 恶 意 软 件 的 持 久 性 及 传 播 性 技 术 这 一 系 列 的 第 一 次 迭 代 ， 这 些 技 术 中 大 部 分 是 研 究 人 员 几 年 前 发 现 本 文 是 介 绍 恶 意 软 件 的 持 久 性 及 传 播 性 技 术 这 一 系 列 的 第 一 次 迭 代 ， 这 些 技 术 中 大 部 分 是 研 究 人 员 几 年 前 发 现 并 披 露 的 ， 在 此 介 绍 的 目 的 是 建 立 这 些 技 术 和 取 证 方 面 的 知 识 框 架 。 并 披 露 的 ， 在 此 介 绍 的 目 的 是 建 立 这 些 技 术 和 取 证 方 面 的 知 识 框 架 。 用 于 证 明 概 念 的 代 码 可 以 在 C E R T 的 G i t H u b 上 查 看 。 由 于 C E R T 分 析 师 D e v o t e a m 在 这 个 领 域 的 经 验 ， 知 识 框 架 会 不 断 完 善 。 第 一 篇 文 章 将 讨 论 D K O M （ 直 接 内 核 对 象 操 纵 ） 进 程 隐 藏 的 以 下 几 个 方 面 ： W i n d o w s 进 程 隐 藏 直 接 内 核 对 象 的 修 改 概 念 性 证 明 （ P o C ） 使 用 V o l a t i l i t y 进 行 内 存 检 测 这 个 概 念 在 2 0 0 4 年 的 美 国 黑 帽 大 会 上 被 介 绍 ， 不 过 到 现 在 还 被 用 于 几 个 内 核 工 具 ， 比 如 介 绍 者 本 人 所 开 发 的 F U - r o o t k i t 。 W i n d o w s 进 程 进 程 W i n d o w s 内 核 使 用 E P R O C E S S 来 处 理 进 程 ， 这 些 是 不 透 明 进 程 ， 且 没 有 被 微 软 记 录 ， 标 准 编 译 头 也 没 有 详 细 标 明 。 M S D N 链 接 ： E P R O C E S S   ( W i n d o w s   D r i v e r ) . a s p x . ) 但 是 这 仍 然 能 通 过 使 用 K D 通 过 内 核 调 试 被 分 析 。
该 示 例 中 的 结 构 有 2 0 7 个 字 段 （ W i n d o w s   1 0   6 4 位 系 统 ） 。 只 有 三 个 相 关 的 可 以 解 释 该 技 术 。 此 列 表 包 含 两 个 链 接 ： F l i n k 和 B l i n k 。 这 些 链 接 很 有 趣 ， 因 为 它 们 指 向 属 于 属 于 下 一 个 进 程 （ F o r w a r d l i n k ） 和 之 前 的 进 程 （ B a c k l i n k ） 的 另 外 两 个 L I S T _ E N T R Y 结 构 。 W i n d o w s 系 统 中 的 所 有 进 程 通 过 其 A c t i v e P r o c e s s L i n k s 结 构 中 的 指 针 来 引 用 。 它 们 构 成 了 诸 如 t a s k m g r . e x e （ 任 务 管 理 器 ） 或 某 些 S y s I n t e r n a l s （ 例 如 p r o c e x p . e x e ） 等 工 具 使 用 的 双 链 表 。
双 链 表 会 被 定 时 检 查 以 更 新 进 程 显 示 。 隐 藏 直 接 内 核 对 象 的 修 改 隐 藏 直 接 内 核 对 象 的 修 改 D K O M 技 术 隐 藏 了 一 个 取 消 链 接 它 自 己 的 A c t i v e P r o c e s s L i n k s 的 进 程 ， 并 将 “ 前 一 个 ” 和 “ 下 一 个 ” 进 程 直 接 相 互 链 接 。 从 双 链 表 中 获 取 进 程 （ 示 例 图 中 的 s m s s . e x e ） 使 得 它 不 依 赖 于 此 列 表 的 工 具 来 显 示 进 程 。 取 消 链 接 流 程 不 会 影 响 其 执 行 流 程 。 调 度 器 将 计 算 时 间 分 配 给 线 程 ， 而 不 是 进 程 。 当 修 改 恶 意 进 程 的 A c t i v e P r o c e s s L i s t 时 ， 它 的 B l i n k 和 F l i n k 被 修 改 以 指 向 它 们 自 己 的 结 构 。 这 样 做 是 为 了 避 免 在 进 程 退 出 时 出 现 任 何 问 题 。 如 果 B l i n k 或 F l i n k 指 向 的 是 旧 的 或 无 效 的 内 存 地 址 ， 那 么 当 尝 试 更 新 “ 相 邻 ” 进 程 时 ， 内 核 可 能 会 引 发 异 常 。
实 现 实 现 关 于 概 念 性 证 明 （ 关 于 概 念 性 证 明 （ P o C ） 的 评 论 ） 的 评 论 C E R T 在 G i t h u b 上 的 代 码 是 一 个 测 试 驱 动 程 序 ， 它 是 从 使 用 内 核 模 式 驱 动 程 序 框 架 . a s p x ) 的 W i n d o w s 示 例 中 实 现 的 。 驱 动 配 置 的 初 始 化 使 用 W D F _ D R I V E R _ C O N F I G _ I N I T ( ) . a s p x ) 被 h o o k 。 该 h o o k 搜 索 一 个 I m a g e F i l e N a m e 字 段 为 v i r u s . e x e 的 进 程 ， 并 使 用 D K O M 技 术 进 行 隐 藏 。 注 意 ： 这 不 是 一 个 功 能 性 的 工 具 （ 只 是 在 安 装 的 时 候 会 尝 试 隐 藏 一 个 进 程 ） ， 而 且 只 被 用 于 教 学 目 的 。 该 代 码 大 量 使 用 W i n d o w s   1 0   6 4 位 测 试 的 硬 编 码 的 存 储 器 偏 移 。 它 们 被 用 于 直 接 访 问 E P R O C E S S 字 段 ， 并 且 在 其 他 W i n d o w s 版 本 上 可 能 无 法 正 常 工 作 。 以 上 显 示 的 偏 移 可 以 在 W i n d o w s 进 程 进 程 部 分 的 第 一 个 K D 截 图 中 找 到 。 代 码 很 容 易 被 改 进 ， 可 以 使 用 更 稳 定 的 访 问 这 些 字 段 的 方 式 然 后 提 供 一 个 用 户 控 制 界 面 。 E P R O C E S S 字 段 访 问 及 版 本 字 段 访 问 及 版 本 W i n d o w s   A P I 没 有 提 供 E P R O C E S S 的 结 构 定 义 ， 但 是 可 以 使 用 A P I 调 用 来 检 索 这 些 结 构 的 指 针 。 P o C 中 使 用 的 函 数 是 P s G e t C u r r e n t P r o c e s s ( ) ， 它 返 回 一 个 当 前 进 程 “ E P R O C E S S ” 结 构 的 指 针 。 在 执 行 的 过 程 中 ，
它 返 回 一 个 指 向 S y s t e m 进 程 结 构 的 指 针 ， 一 旦 找 到 一 个 E P R O C E S S 结 构 ， 就 调 用 一 个 搜 索 函 数 ， 以 便 通 过 E P R O C E S S 循 环 列 表 来 查 找 v i r u s . e x e   I m a g e F i l e N a m e 。 如 果 搜 索 返 回 一 个 E P R O C E S S 结 构 ， 那 么 它 的 A c t i v e P r o c e s s L i n k s 就 会 被 修 以 隐 藏 它 。 这 通 过 E P R O C E S S 结 构 在 内 存 中 的 操 作 来 实 现 。 其 他 相 关 与 当 前 操 作 系 统 的 保 护 其 他 相 关 与 当 前 操 作 系 统 的 保 护 P o C 生 成 的 驱 动 程 序 已 提 交 到 h t t p s : / / n o d i s t r i b u t e . c o m / 平 台 ， 以 检 查 是 否 会 报 毒 。 没 有 一 个 报 了 毒 ， 考 虑 到 代 码 十 分 简 单 ， 系 统 调 用 量 也 很 低 ， 这 样 一 来 就 一 点 也 不 奇 怪 了 。 另 外 ， 虽 然 这 种 技 术 非 常 隐 蔽 ， 但 是 并 不 是 在 所 有 W i n d o w s 版 本 上 都 很 稳 定 。 一 个 叫 P a t c h G u a r d 的 对 W i n d o w s   6 4 位 的 保 护 可 以 检 测 前 面 提 到 的 操 作 。 P a t c h G u a r d 也 被 称 为 内 核 补 丁 保 护
（ K P P ） ， 于 2 0 0 5 年 在 W i n d o w s   X P   6 4 位 和 W i n d o w s   S e r v e r   2 0 0 3   S P 1 中 被 引 入 。 K P P 以 一 个 随 机 频 率 验 证 内 核 结 构 ， 几 十 分 钟 可 以 分 开 成 两 个 检 查 。 当 检 测 到 异 常 时 ， 会 引 发 0 x 1 0 9   - C R I T I C A L _ S T R U C T U R E _ C O R R U P T I O N 内 核 错 误 ， 然 后 强 制 阻 止 系 统 执 行 。 其 实 K P P 并 没 有 真 正 阻 止 这 种 技 术 的 执 行 ， 它 只 是 关 闭 了 操 作 系 统 。 由 于 该 技 术 旨 在 提 供 隐 蔽 性 ， 而 蓝 屏 的 显 示 会 破 坏 其 有 效 性 。 另 外 ， 该 保 护 仅 在 6 4 位 版 本 的 W i n d o w s 中 实 现 ， 所 以 3 2 位 系 统 就 会 容 易 受 到 攻 击 。 如 今 ， 大 多 数 人 安 装 的 都 是 6 4 位 ， 因 此 他 们 会 被 保 护 免 受 这 种 威 胁 。 不 过 即 使 使 用 了 K P P ， 这 种 技 术 也 不 能 忽 视 ， 因 为 ： 在 3 2 位 系 统 的 事 件 响 应 中 可 以 遇 到 。 内 核 模 式 驱 动 （ 仍 然 是 一 个 活 跃 的 研 究 领 域 ） 存 在 对 P a t c h G u a r d 的 攻 击 。 使 用 使 用 V o l a t i l i t y 进 行 内 存 检 测 进 行 内 存 检 测 使 用 工 具 在 受 感 染 的 主 机 上 检 测 这 种 技 术 可 能 有 点 棘 手 ， 不 过 它 可 以 很 容 易 地 在 内 存 捕 获 中 被 检 测 到 。 事 实 上 ， 许 多 监 控 / 系 统 工 具 （ 例 如 S y s I n t e r n a l s   M i c r o s o f t 套 件 ） 都 是 基 于 双 链 表 的 进 程 枚 举 。 为 了 演 示 这 个 概 念 ， P o C 已 在 运 行 W i n d o w s   1 0   P r o f e s s i o n a l 版 本 的 主 机 上 执 行 。 在 在 P o C 系 统 上 执 行 的 系 统 上 执 行 的 P r o c e s s   E x p l o r e r ， ， V M M a p ， ， L i s t D l l s 和 和 H a n d l e 6 4 的 示 例 的 示 例
这 个 进 程 对 于 这 几 个 工 具 是 不 可 见 的 。 但 是 该 进 程 其 实 正 在 运 行 ， 并 且 其 系 统 事 件 可 以 被 进 程 监 视 器 捕 获 。 在 现 实 生 活 中 ， 很 多 r o o t k i t 可 以 修 改 和 劫 持 大 量 的 系 统 功 能 ， 使 得 大 多 数 实 时 检 测 变 得 更 加 困 难 。 这 里 推 荐 使 用 诸 如 V o l a t i l i t y 等 适 应 框 架 对 R A M 转 储 然 后 脱 机 研 究 。
以 前 提 到 的 W i n d o w s 版 本 由 拥 有 W i n 1 0 x 6 4 _ 1 4 3 9 3 的 配 置 文 件 的 V o l a t i l i t y   2 . 6 支 持 。 内 存 转 储 由 W i n p m e m 实 现 ， 该 工 具 是 G o o g l e   R e k a l l 项 目 分 发 的 工 具 。 在 W i n p m e m 的 输 出 中 列 出 了 驱 动 程 序 名 称 ， 我 们 可 以 看 到 P o C 二 进 制 文 件 （ 这 里 称 为 2 0 1 7 _ r e m o t e _ h e l l o w o r l d ） 。 一 旦 内 存 捕 获 过 程 完 成 ， 研 究 就 可 以 开 始 了 。 V o l a t i l i t y 有 几 个 插 件 来 分 析 转 储 中 的 运 行 进 程 ， 可 以 通 过 以 下 方 式 进 行 快 速 比 较 ： 只 有 p s s c a n 和 p s x v i e w 发 现 了 我 们 的 隐 藏 过 程 。 这 些 插 件 的 文 档 可 以 帮 助 我 们 了 解 为 什 么 有 些 人 会 发 现 这 个 进 程 ， 为 什 么 有 些 人 没 有 发 现 。 p s l i s t   -   通 过 检 查 双 链 表 来 检 测 进 程
p s t r e e   -   使 用 了 相 同 技 术 ， 只 是 显 示 有 小 小 的 差 别 p s s c a n   -   在 内 存 中 扫 描 _ P O O L _ H E A D E R 结 构 （ 内 存 页 池 ） 以 识 别 相 关 进 程 p s x v i e w   -   几 种 技 术 的 组 合 ： p s l i s t ： 如 上 所 述 p s s c a n ： 如 上 所 述 t h r d p r o c ： 线 程 扫 描 ， 检 索 调 度 程 序 使 用 的 _ K T H R E A D 列 表 （ 不 能 在 不 中 断 进 程 执 行 的 情 况 下 修 改 它 ） ， 然 后 搜 索 相 关 的 _ E P R O C E S S 对 象 。 p s p c i d c s r s s ： c s r s s . e x e 进 程 保 留 着 可 以 在 其 内 存 中 检 索 到 的 进 程 的 独 立 列 表 。 s e s s i o n d e s k t h r d 在 这 些 插 件 中 ， p s x v i e w 是 分 析 正 在 运 行 的 进 程 的 最 快 方 法 ， 它 为 用 户 提 供 了 不 同 检 测 技 术 。 我 们 知 道 隐 藏 的 进 程 称 为 v i r u s . e x e ， 且 P I D 为 4 9 5 2 ， 现 在 可 以 利 用 V o l a t i l i t y 进 一 步 研 究 。 在 这 种 “ 隐 藏 ” 情 况 下 ， P I D 不 能 直 接 被 V o l a t i l i t y 插 件 使 用 ， 因 此 必 须 指 定 进 程 内 存 偏 移 量 。 对 于 大 多 数 波 动 插 件 ， 可 以 使 用 存 储 器 偏 移 （ P 代 表 P h y s i c a l ） 代 替 P I D 。 有 了 这 个 信 息 ， 可 以 获 得 很 多 东 西 ， 例 如 ： 打 开 系 统 资 源 的 处 理 （ 文 件 ， 注 册 表 项 … ） 进 程 命 令 行 驱 动 程 序 / r o o t k i t 也 可 以 从 内 存 转 储 中 恢 复
R e f e r e n c e s D i r e c t   K e r n e l   O b j e c t   M a n i p u l a t i o n .   J a m i e   B u t l e r ,   B l a c k   H a t   2 0 0 4 . T h e   R o o t k i t   A r s e n a l ,   E s c a p e   a n d   E v a s i o n   i n   t h e   d a r k   C o r n e r s   o f   t h e   S y s t e m .   B i l l   B l u n d e n ,   2 0 1 3 . F U   r o o t k i t   s o u r c e   c o d e ,   J a m i e   B u t l e r . F U T o   r o o t k i t   s o u r c e   c o d e ,   P e t e r   S i l b e r m a n . W i n d o w s   I n t e r n a l s ,   M a r k   R u s s i n o v i c h ,   D a v i d   A .   S o l o m o n ,   A l e x   I o n e s c u ,   2 0 1 2 . * 参 考 来 源 ： c e r t - d e v o t e a m ， C o v f e f e 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理