搜索

[13103] 2018-08-24_隐藏在证书文件中的PowerShell（一）

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2018-08-24_隐藏在证书文件中的PowerShell（一） 隐 藏 在 证 书 文 件 中 的 P o w e r S h e l l （ 一 ） c l o u d s   F r e e B u f   2 0 1 8 - 0 8 - 2 4 最 近 ， 最 近 ， N V I S O 实 实 验 室 分 析 人 员 开 发 了 某 种 验 室 分 析 人 员 开 发 了 某 种 Y A R A 规 则 ， 利 用 它 发 现 了 多 种 恶 意 证 书 文 件 （ 规 则 ， 利 用 它 发 现 了 多 种 恶 意 证 书 文 件 （ . c r t ） ， 这 些 证 书 文 件 中 包 含 的 并 不 是 ） ， 这 些 证 书 文 件 中 包 含 的 并 不 是 真 正 的 认 证 证 书 ， 而 是 一 个 恶 意 的 真 正 的 认 证 证 书 ， 而 是 一 个 恶 意 的 P o w e r S h e l l 脚 本 。 作 为 《 隐 藏 在 证 书 文 件 中 的 脚 本 。 作 为 《 隐 藏 在 证 书 文 件 中 的 P o w e r S h e l l 》 系 列 的 第 》 系 列 的 第 1 部 份 ， 部 份 ， 本 文 中 我 们 一 起 来 探 讨 如 何 制 作 这 种 本 文 中 我 们 一 起 来 探 讨 如 何 制 作 这 种 Y A R A 规 则 ， 去 揭 开 攻 击 者 的 这 种 规 则 ， 去 揭 开 攻 击 者 的 这 种 “ 潜 伏 潜 伏 “ 行 为 。 行 为 。 认 证 证 书 （ 认 证 证 书 （ C e r t i f i c a t e s ） ） W i n d o w s 系 统 中 的 证 书 文 件 有 多 种 后 缀 格 式 ， 如 . c e r   和   . c r t ， 通 常 ， . c e r   文 件 包 含 的 是 二 进 制 数 据 ， 而   . c r t   文 件 包 含 的 则 是 一 些 A S C I I 数 据 。 但 随 着 多 种 微 软 应 用 程 序 的 出 现 ， 这 两 种 扩 展 名 可 以 互 换 ， 应 用 程 序 仍 然 也 能 正 确 处 理 这 两 种 互 换 过 后 缀 扩 展 名 的 证 书 文 件 （ 他 们 会 查 看 证 书 内 容 并 进 行 相 应 的 解 析 ） 。 本 文 中 我 们 还 是 遵 守 惯 例 ， 即 用 . c e r   文 件 来 包 含 二 进 制 数 据 ， 而   . c r t   文 件 来 包 含 A S C I I 数 据 。 . c e r   文 件 中 包 含 的 认 证 数 据 是 按 照 D E R 可 辨 别 编 码 规 则 （ D i s t i n g u i s h e d   E n c o d i n g   R u l e s ） 来 编 码 的 ， 这 是 x . 6 9 0 标 准 指 定 的 编 码 格 式 。 以 M i c r o s o f t   o f f i c e 程 序 为 例 ， 以 下 是 其 安 装 目 录 中 的   . c e r   文 件 示 例 ： . c r t   文 件 中 包 含 的 是 A S C I I 数 据 ， 说 白 了 ， 它 也 就 是 对   . c e r 文 件 的 b a s e 6 4 编 码 。 根 据 R F C   7 4 6 8 标 准 来 看 ， . c r t   文 件 格 式 以 “ — B E G I N C E R T I F I C A T E ” 为 开 头 ， 以 “ — E N D   C E R T I F I C A T E ” 为 结 尾 ， 中 间 则 是 一 些 经 b a s e 6 4 编 码 过 的 数 据 。 使 用 C e r t u t i l 工 具 ， 可 将   . c e r 文 件 转 换 生 成   . c r t 文 件 ， 以 下 就 是   . c r t 的 一 个 示 例 ：
对 工 具 对 工 具   C e r t u t i l   的 利 的 利 用 用 C e r t u t i l 是 一 个 W i n d o w s 下 的 多 功 能 程 序 ， 可 用 来 执 行 各 种 证 书 和 服 务 操 作 。 自 从 C a s e y   S m i t h 在 T w i t t e r 上 发 推 演 示 了 C e r t u t i l   的   b a s e 6 4 解 码 编 码 之 后 ， 一 些 红 队 人 员 和 网 络 犯 罪 份 子 就 开 始 利 用 这 种 编 码 技 术 来 生 成 各 种 可 绕 过 入 侵 检 测 和 杀 毒 软 件 的 恶 意 文 件 。 C e r t u t i l 不 会 验 证 要 编 码 的 二 进 制 数 据 ， 也 就 是 说 ， 它 能 对 任 意 文 件 进 行 编 码 。 一 些 W i n d o w s   下 的 可 执 行 程 序 （ P E 文 件 ） 都 能 用 C e r t u t i l 工 具 来 轻 松 完 成 编 码 ， 编 码 之 后 的 格 式 ， 很 多 入 侵 检 测 和 杀 毒 软 件 都 无 法 识 别 。 以 下 是 W i n d o w s 可 执 行 程 序 编 码 成   . c r t 文 件 的 示 例 ： 从 上 图 可 以 看 到 ， 这 种 b a s e 6 4 编 码 数 据 的 第 一 个 字 母 是 T 。 因 为 使 用 C e r t u t i l 工 具 进 行 编 码 的 P E 文 件 通 常 都 是 这 种 类 型 的 ： 也 就 是 ， P E 文 件 的 第 一 个 字 节 是 大 写 字 母 M ， 这 里 的 M 来 自 “ M Z ” ， 即 M S - D O S 的 主 要 开 发 者   M a r k   Z b i k o w s k i   的 缩 写 ， 用 二 进 制 来 标 记 ， 也 就 是 0 1 0 0 1 1 0 1 。 而 b a s e 6 4 编 码 是 以 6 个 比 特 块 来 编 码 的 ， 所 以   0 1 0 0 1 1   就 是 第 一 个 被 编 码 的 块 ， 0 1 0 0 1 1   用 十 进 制 表 示 就 是 1 9 ， 而 在 b a s e 6 4 编 码 中 ， 0 编 码 成 A ， 1 编 码 成 B ， 以 此 类 推 … ， 1 9 则 被 编 码 成 T ， 如 下 所 示 ：
这 也 就 是 为 什 么 b a s e 6 4 编 码 的 P E 文 件 总 是 以 T 开 头 的 原 因 。 有 很 多 种 检 测 规 则 ： 就 比 如 ， 如 果 文 件 以 “ — B E G I N C E R T I F I C A T E – ” 开 头 ， 之 后 是 一 个 大 写 字 母 T ， 那 么 这 种 检 测 规 则 也 能 触 发 。 这 就 是 一 种 “ k n o w n - b a d ” 式 的 检 测 规 则 ， 因 为 P E 文 件 经 C e r t u t i l 工 具 编 码 后 存 在 固 定 格 式 ， 所 以 ， 按 照 这 种 格 式 来 针 对 性 的 查 找 就 行 。 这 种 检 测 规 则 直 接 有 效 ， 我 们 利 用 它 已 经 检 测 到 很 多 编 码 过 的 P E 文 件 。 检 测 规 则 制 作 检 测 规 则 制 作 然 而 ， 在 N V I S O 实 验 环 境 中 ， 我 们 尝 试 做 出 比 上 述 “ 已 知 恶 意 文 件 ” （ k n o w n - b a d ） 更 好 的 检 测 规 则 来 ， 所 以 ， 这 就 是 我 们 着 力 构 建 检 测 证 书 文 件 不 包 含 真 正 证 书 的 检 测 环 境 原 因 了 ， 最 终 ， 我 们 的 检 测 规 则 ， 不 仅 能 检 测 出 包 含 P E 文 件 的 证 书 文 件 ， 还 能 检 测 出 其 它 不 包 含 特 定 证 书 数 据 的 恶 意 证 书 文 件 。 X . 5 0 9 格 式 证 书 是 被 广 泛 使 用 的 数 字 证 书 标 准 ， 是 用 于 标 志 通 讯 各 方 身 份 信 息 的 一 系 列 数 据 。 常 见 的 X . 5 0 9 格 式 证 书 包 含   . c e r   和   . c r t 类 证 书 ， 它 们 都 以 二 进 制 形 式 存 放 ， 不 含 私 钥 。 X . 5 0 9 标 准 证 书 数 据 都 是 以 R F C   5 2 8 0   定 义 的 A S N . 1 语 法 来 编 码 的 ， 也 就 是 以 A S N . 1 序 列 开 始 的 ， 这 个 序 列 标 记 号 为 0 x 3 0 ， 所 以 ， 这 个 开 头 的 0 x 3 0 数 据 也 是 经 D E R 编 码 的 二 进 制 数 据 。
如 我 们 前 述 的 P E 文 件 编 码 说 明 ， 可 以 确 定 其 在 A S C I I 字 节 环 境 下 ， 它 是 以 0 x 3 0 开 头 的 ， 而 在 b a s e 6 4 编 码 过 程 中 ， 它 首 先 则 是 以 大 写 字 母 M 开 头 的 。 所 以 ， 基 于 此 种 原 因 ， 根 据   R F C   7 4 6 8 标 准 ， 任 何 X . 5 0 9 标 准 的 有 效 证 书 文 件 编 码 后 都 是 以 “ — B E G I N C E R T I F I C A T E – ” 开 头 ， 之 后 紧 跟 大 写 字 母 M 。 也 就 是 说 ， 那 些 包 含 “ — B E G I N   C E R T I F I C A T E – ” ， 但 之 后 紧 跟 的 字 母 不 是 M 的 证 书 文 件 ， 它 们 都 不 是 有 效 的 X . 5 0 9 标 准 证 书 文 件 。 最 后 ， 我 们 以 此 为 方 法 创 建 了 一 条 Y A R A 规 则 ， 放 到 了   V i r u s T o t a l   I n t e l l i g e n c e 跑 了 几 个 月 ： 发 现 目 标 发 现 目 标 应 用 这 条 Y A R A 规 则 ， 我 们 检 测 到 很 多 伪 装 成 证 书 文 件 的 P E 文 件 和 一 些 有 意 思 的 其 它 文 件 ， 而 且 也 没 对 有 效 证 书 发 出 误 报 。 其 中 我 们 检 测 到 比 较 有 意 思 的 一 个 证 书 文 件 是 ， 它 的 M D 5   哈 希 值 为 0 0 8 2 a e d 5 8 8 f 7 6 b 5 1 7 9 4 6 a 8 2 4 f b a 4 3 9 9 4 ， 大 概 样 子 如 下 ：
一 开 始 ， 在 V i r u s T o t a l 的 6 0 个 杀 毒 软 件 检 测 引 擎 中 ， 它 的 被 检 测 率 为 0 ， 也 就 是 全 部 通 过 ， 但 当 我 们 用 b a s e 6 4 d u m p . p y 对 它 进 行 b a s e 6 4 解 码 之 后 ， 看 到 了 一 些 有 意 思 的 发 现 ： 这 个 证 书 文 件 竟 然 包 含 了 经 过 编 码 的 P o w e r S h e l l 脚 本 程 序 ， 吓 得 我 们 … . 。 这 个 脚 本 的 检 测 需 要 几 个 步 骤 ， 在 《 隐 藏 在 证 书 文 件 中 的 P o w e r S h e l l 》 系 列 的 第 2 部 份 ， 我 们 会 继 续 讨 论 。 总 结 总 结 这 种 使 用 “ 非 良 性 文 件 ” （ n o t   k n o w n - g o o d ） 而 非 使 用 “ 已 知 恶 意 文 件 ” （ k n o w n - b a d ） 的 检 测 方 法 ， 我 们 不 仅 能 够 检 测 到 已 知 的 恶 意 文 件 ， 还 能 检 测 出 一 些 未 知 的 恶 意 文 件 。 除 了 Y A R A 规 则 ， 我 们 还 在 S u r i c a t a 和 C l a m A V 杀 毒 引 擎 中 创 建 内 置 规 则 ， 这 些 规 则 将 在 该 系 列 的 第 3 部 份 公 布 ， 未 完 待 续 ， 敬 请 期 待 。 * 参 考 来 源 ： n v i s o ， c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理