搜索

[13381] 2018-11-05_如何检测并移除WMI持久化后门？

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2018-11-05_如何检测并移除WMI持久化后门？ 如 何 检 测 并 移 除 W M I 持 久 化 后 门 ？ s e c i s t   F r e e B u f   2 0 1 8 - 1 1 - 0 5 前 言 前 言 W i n d o w s   M a n a g e m e n t   I n s t r u m e n t a t i o n （ （ W M I ） 事 件 订 阅 ， 是 一 种 常 被 攻 击 者 利 用 来 在 端 点 上 建 立 持 久 性 的 ） 事 件 订 阅 ， 是 一 种 常 被 攻 击 者 利 用 来 在 端 点 上 建 立 持 久 性 的 技 术 。 因 此 ， 我 决 定 花 一 些 时 间 研 究 下 技 术 。 因 此 ， 我 决 定 花 一 些 时 间 研 究 下 E m p i r e 的 的 W M I 模 块 ， 看 看 有 没 有 可 能 检 测 并 移 除 这 些 模 块 ， 看 看 有 没 有 可 能 检 测 并 移 除 这 些 W M I 持 久 化 后 持 久 化 后 门 。 此 外 ， 文 中 我 还 回 顾 了 一 些 用 于 查 看 和 移 除 门 。 此 外 ， 文 中 我 还 回 顾 了 一 些 用 于 查 看 和 移 除 W M I 事 件 订 阅 的 事 件 订 阅 的 P o w e r S h e l l 命 令 。 这 些 命 令 在 实 际 测 试 当 中 都 命 令 。 这 些 命 令 在 实 际 测 试 当 中 都 非 常 的 有 用 ， 因 此 我 也 希 望 你 们 能 记 录 它 们 。 非 常 的 有 用 ， 因 此 我 也 希 望 你 们 能 记 录 它 们 。 有 关 更 多 “ W i n d o w s   M a n a g e m e n t   I n s t r u m e n t a t i o n 事 件 订 阅 ” 的 内 容 ， 请 参 考 M I T R E   A T T & C K   T e c h n i q u e   T 1 0 8 4 。 攻 击 者 可 以 使 用 W M I 的 功 能 订 阅 事 件 ， 并 在 事 件 发 生 时 执 行 任 意 代 码 ， 从 而 在 目 标 系 统 上 建 立 一 个 持 久 化 后 门 。 W M I   介 绍 介 绍 W M I 是 微 软 基 于 W e b 的 企 业 管 理 （ W B E M ） 的 实 现 版 本 ， 这 是 一 项 行 业 计 划 ， 旨 在 开 发 用 于 访 问 企 业 环 境 中 管 理 信 息 的 标 准 技 术 。 W M I 使 用 公 共 信 息 模 型 （ C I M ） 行 业 标 准 来 表 示 系 统 ， 应 用 程 序 ， 网 络 ， 设 备 和 其 他 托 管 组 件 。 事 件 过 滤 器 （ e v e n t   f i l t e r   ） 是 一 个 W M I 类 ， 用 于 描 述 W M I 向 事 件 使 用 者 传 递 的 事 件 。 此 外 ， 事 件 过 滤 器 还 描 述 了 W M I 传 递 事 件 的 条 件 。 配 置 配 置 S y s m o n 日 志 记 录 日 志 记 录 我 们 可 以 将 S y s m o n 配 置 为 记 录 W m i E v e n t F i l t e r ， W m i E v e n t C o n s u m e r 和 W m i E v e n t C o n s u m e r T o F i l t e r 活 动 ， 并 启 用 W M I 滥 用 检 测 。
R o b e r t o   R o d r i g u e z   的 （ @ C y b 3 r W a r d 0 g ） S y s m o n 配 置 文 件 将 捕 获 上 述 事 件 I D 。 执 行 以 下 命 令 安 装 S y s m o n ， 并 应 用 配 置 文 件 。 建 立 持 久 化 后 门 建 立 持 久 化 后 门 下 面 ， 我 们 使 用 E m p i r e 的 I n v o k e - W M I 模 块 ， 在 受 害 者 端 点 上 创 建 一 个 永 久 的 W M I 订 阅 。 s y s m o n . e x e   - i   - c   . c o n f i g _ f i l e . x m l
检 测 检 测 查 看 S y s m o n 日 志 ， 我 们 可 以 看 到 E m p i r e 模 块 ： 注 册 了 一 个 W M I 事 件 过 滤 器 ； 注 册 了 一 个 W M I 事 件 使 用 者 ； 将 事 件 使 用 者 绑 定 到 事 件 过 滤 器 。 W M I 事 件 过 滤 器 为 s t a g e r 设 置 了 相 应 执 行 条 件 ， 其 中 包 括 对 系 统 正 常 运 行 时 间 的 引 用 。
W M I 事 件 使 用 者 包 含 了 以 B a s e 6 4 编 码 形 式 的 E m p i r e   s t a g e r ， 并 使 用 了 一 个 不 易 引 起 人 们 怀 疑 的 名 称 U p d a t e r 进 行 注 册 。 W M I 事 件 使 用 者 C o m m a n d L i n e E v e n t C o n s u m e r . N a m e = ” U p d a t e r ” ， 被 绑 定 到 了 事 件 过 滤 器 _ _ E v e n t F i l t e r . N a m e = ” U p d a t e r ” 现 在 ， 事 件 使 用 者 被 绑 定 到 了 事 件 过 滤 器 。 如 果 事 件 过 滤 条 件 为 真 ， 那 么 将 会 触 发 相 应 的 事 件 使 用 者 （ s t a g e r ） 。 后 门 移 除 后 门 移 除 最 简 单 的 办 法 就 是 ， 使 用 A u t o r u n s 从 W M I 数 据 库 中 删 除 条 目 。 以 管 理 员 身 份 启 动 A u t o r u n s ， 并 选 择 W M I 选 项 卡 查 看 与 W M I 相 关 的 持 久 性 后 门 。 右 键 单 击 恶 意 W M I 数 据 库 条 目 ， 然 后 选 择 “ D e l e t e ” 删 除 即 可 。 或 者 ， 你 也 可 以 从 命 令 行 中 删 除 W M I 事 件 订 阅 。 在 P o w e r S h e l l 中 ， 我 们 使 用 G e t - W M I O b j e c t 命 令 来 查 看 事 件 过 滤 器 绑 定 的 W M I 事 件 过 滤 器 ， 事 件 使 用 者 和 使 用 者 过 滤 器 。 这 里 我 要 感 谢 B o e   P r o x （ @ p r o x b ） 在 他 的 博 客 上 详 细 解 释 了 这 些 命 令 。
使 用 R e m o v e - W M I O b j e c t 命 令 ， 移 除 W M I 持 久 性 后 门 的 所 有 组 件 。 完 成 后 我 们 再 次 运 行 A u t o r u n s ， 以 验 证 持 久 化 后 门 是 否 已 被 我 们 成 功 清 除 。 * 参 考 来 源 ： 参 考 来 源 ： m e d i u m   ， ， F B 小 编 小 编 s e c i s t 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文 #   R e v i e w i n g   W M I   S u b s c r i p t i o n s   u s i n g   G e t - W M I O b j e c t #   E v e n t   F i l t e r G e t - W M I O b j e c t   - N a m e s p a c e   r o o t S u b s c r i p t i o n   - C l a s s   _ _ E v e n t F i l t e r   - F i l t e r   “ N a m e = ’ U p d a t e r ’ ” #   E v e n t   C o n s u m e r G e t - W M I O b j e c t   - N a m e s p a c e   r o o t S u b s c r i p t i o n   - C l a s s   C o m m a n d L i n e E v e n t C o n s u m e r   - F i l t e r   “ N a m e = ’ U p d a t e r ’ ” #   B i n d i n g G e t - W M I O b j e c t   - N a m e s p a c e   r o o t S u b s c r i p t i o n   - C l a s s   _ _ F i l t e r T o C o n s u m e r B i n d i n g   - F i l t e r   “ _ _ P a t h   L I K E   ‘ % U p d a t e r % ’ ” #   R e m o v i n g   W M I   S u b s c r i p t i o n s   u s i n g   R e m o v e - W M I O b j e c t #   E v e n t   F i l t e r G e t - W M I O b j e c t   - N a m e s p a c e   r o o t S u b s c r i p t i o n   - C l a s s   _ _ E v e n t F i l t e r   - F i l t e r   “ N a m e = ’ U p d a t e r ’ ”   |   R e m o v e - W m i O b j e c t   - V e r b o s e #   E v e n t   C o n s u m e r G e t - W M I O b j e c t   - N a m e s p a c e   r o o t S u b s c r i p t i o n   - C l a s s   C o m m a n d L i n e E v e n t C o n s u m e r   - F i l t e r   “ N a m e = ’ U p d a t e r ’ ”   |   R e m o v e - W m i O b j e c t   - V e r b o s e #   B i n d i n g G e t - W M I O b j e c t   - N a m e s p a c e   r o o t S u b s c r i p t i o n   - C l a s s   _ _ F i l t e r T o C o n s u m e r B i n d i n g   - F i l t e r   “ _ _ P a t h   L I K E   ‘ % U p d a t e r % ’ ”   |   R e m o v e - W m i O b j e c t   - V e r b o s e
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理