搜索

[15558] 2020-07-02_再探勒索病毒之删除卷影副本的方法

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2020-07-02_再探勒索病毒之删除卷影副本的方法 再 探 勒 索 病 毒 之 删 除 卷 影 副 本 的 方 法 l a n g y a j i e k o u   F r e e B u f   2 0 2 0 - 0 7 - 0 2 影 响 平 台 ： W i n d o w s 侵 害 的 用 户 ： 任 何 组 织 威 胁 程 度 ： 高 为 了 令 勒 索 攻 击 实 施 有 效 ， 勒 索 软 件 进 行 的 一 个 常 见 行 动 是 卷 影 备 份 （ 即 影 子 副 本 ） ， 从 而 使 受 害 者 无 法 恢 复 任 何 已 加 密 的 文 件 。 在 这 篇 文 章 中 ， 我 们 回 顾 了 勒 索 软 件 已 删 除 影 子 副 本 的 现 有 方 法 ， 煞 让 防 御 者 重 新 总 结 他 们 需 要 保 护 自 己 和 数 据 资 源 可 以 攻 击 的 技 术 。 如 此 ， 我 们 还 揭 露 了 可 能 被 勒 索 软 件 使 用 的 新 方 法 。 分 享 这 些 方 法 将 使 防 御 者 能 够 针 对 这 些 潜 在 的 未 来 技 术 部 署 适 当 的 检 测 ， 因 为 我 们 以 后 遇 到 它 们 只 是 时 间 问 题 ， 这 也 将 给 现 有 的 防 护 报 警 系 统 带 来 新 的 冲 击 。 V S S 架 构 架 构 在 我 们 开 始 之 前 ， 关 于 卷 影 复 制 架 构 ， 有 几 个 重 要 元 素 读 者 应 该 熟 悉 。 卷 影 复 制 服 务 （ V S S ） ： 该 服 务 负 责 协 调 执 行 影 子 复 制 相 关 操 作 的 实 体 之 间 的 所 有 动 作 ， 如 相 关 的 编 写 者 和 提 供 者 。 V S S 使 用 C O M （ 组 件 对 象 模 型 ） 技 术 实 现 ， 读 者 应 该 对 此 处 后 面 的 部 分 有 基 本 的 熟 悉 。 V S S 编 写 器 （ V S S   W r i t e r s ） ： 这 些 组 件 负 责 提 供 稳 定 的 数 据 管 道 ， 由 服 务 进 行 备 份 。 W i n d o w s 较 长 的 “   I n - B o x   V S S   W r i t e r ” ， 用 于 各 种 软 件 组 件 。 V S S 提 供 者 （ V S S   P r o v i d e r s ） ： 这 些 组 件 创 建 和 维 护 实 际 的 影 子 副 本 对 象 。 其 有 两 种 主 要 类 型 的 提 供 者 ： “ 硬 件 提 供 者 ” 和 “ 软 件 提 供 者 ” 。 图 1 中 可 以 看 到 V S S 架 构 图 ， 说 明 了 各 组 件 及 其 关 系 。 图 1 ： M S D N 的 总 体 架 构 图 系 统 提 供 者 系 统 提 供 者 系 统 提 供 者 是 W i n d o w s 上 的 替 代 提 供 者 ， 目 前 以 软 件 提 供 者 的 形 式 实 现 。 它 是 处 理 影 子 副 本 删 除 尝 试 时 最 常 见 的 目 标 。 系 统 提 供 者 采 用 了 写 后 复 制 （ C o W ） 机 制 ， 因 此 快 照 只 保 存 这 些 更 改 被 保 存 在 指 定 的 “   d i f f   a r e a ” 存 储 位 置 ， 通 常 是 在 同 一 个 卷 上 。 但 它 们 也 可 以 保 存 在 任 何 足 够 大 的 N T F S 卷 上 。 现 有 的 删 除 方 法 现 有 的 删 除 方 法 有 两 种 方 法 可 以 删 除 影 子 副 本 。 第 一 种 是 使 用 命 令 行 工 具 明 确 地 删 除 影 子 副 本 ， 或 者 以 各 种 介 入 A P I 方 式 编 程 （ 我 们 将 在 此 后 面 介 绍 ） 。 第 二 种 方 法 是 间 接 的 ， 因 为 它 依 赖 于 可 以 控 制   “ d i f f   a r e a   “ 的 大 小 。 如 果 现 有 的 快 照 超 过 了 新 调 整 的 d i f f 区 域 的 大 小 ， 提 供 者 就 会 放 弃
快 照 以 释 放 空 间 ， 如 图 2 中 的 文 档 所 解 释 的 那 样 。 ( 注 意 ， 设 置 的 最 小 可 能 大 小 是 3 2 0 M B )   。 注 意 ， 使 用 V S S 需 要 管 理 员 权 限 。 图 2 ： 来 自 M S D N 的 调 整 警 告 有 几 个 著 名 的 命 令 行 实 用 程 序 可 以 管 理 V S S ： v s s a d m i n . e x e ， 从 W i n d o w s   X P 开 始 ， 每 一 个 新 的 W i n d o w s 安 装 都 会 有 ， 还 有 W M I C . e x e （ W M I 命 令 行 ） ， 它 提 供 了 对 W i n d o w s 管 理 工 具 的 访 问 。 行 为 者 随 着 时 间 的 推 移 ， 演 化 出 对 这 些 实 用 程 序 的 使 用 ， 以 对 抗 防 御 者 的 检 测 。 第 一 个 也 是 最 常 用 的 方 法 是 用 v s s a d m i n 运 行 删 除 命 令 。 据 观 察 ， 利 用 这 种 方 法 的 一 些 臭 名 昭 著 的 勒 索 软 件 家 族 有 R y u k 、 W a n n a C r y 、 D h a r m a 、 R o b i n H o o d 、 H e r m e s 、 P h o b o s 和 L o c k y 等 等 在 这 种 方 法 广 为 人 知 并 被 防 御 后 ， 攻 击 者 开 始 利 用 W M I C . e x e 删 除 影 子 副 本 ， 使 用 以 下 参 数 。 这 种 方 法 在 勒 索 软 件 作 者 中 也 非 常 流 行 ， G a n d C r a b 、 R o b i n h o o d 、 P h o b o s 、 L o c k B i t 、 R a p i d 和 J C r y 都 采 用 了 这 种 方 法 。 另 一 方 面 ， 与 前 两 种 方 法 相 比 ， 重 新 调 整 大 小 在 勒 索 软 件 家 族 中 是 一 种 比 较 新 的 方 法 ， 虽 然 也 是 用 v s s d a m i n 来 执 行 ， 但 目 前 此 类 攻 击 方 法 还 不 常 见 。 图 3 ： R y u k 使 用 的 调 整 命 令 字 符 串 大 小 的 示 例 这 种 方 法 被 一 些 勒 索 软 件 家 族 使 用 ， 如 N e m t y 、 R y u k 、 H e r m e s 、 R a p i d 和 M e g a C o r t e x （ 唯 一 一 个 真 正 使 用 最 小 尺 寸 的 勒 索 软 件 ） ， 我 们 预 计 未 来 会 看 到 这 种 方 法 被 更 广 泛 地 使 用 。 这 种 方 法 的 问 题 是 ， 我 们 不 一 定 知 道 d i f f 区 域 的 空 间 被 使 用 了 多 少 ， 这 有 可 能 导 致 这 样 一 种 情 况 ： 尽 管 调 整 了 大 小 ， 但 有 些 快 照 可 能 不 会 被 删 除 。 由 于 系 统 提 供 者 使 用 的 是 C - o - W ， 所 以 在 创 建 快 照 之 前 ， 变 化 会 被 保 存 到 d i f f 区 域 。 为 了 克 服 这 个 问 题 ， 在 调 整 大 小 的 操 作 后 ， d i f f 区 域 应 该 以 等 于 或 大 于 其 缩 小 后 的 大 小 来 填 充 数 据 ， 然 后 再 创 建 一 个 新 的 快 照 ， 以 触 发 删 除 所 有 现 有 的 快 照 。 勒 索 软 件 作 者 的 最 新 方 法 是 直 接 从 他 们 的 代 码 （ 或 脚 本 ） 中 调 用 删 除 影 子 副 本 。 而 P o w e r S h e l l 命 令 则 受 到 勒 索 软 件 的 青 睐 ， 在 一 行 简 单 的 代 码 中 列 举 并 删 除 所 有 影 子 副 本 的 实 例 。 通 过 W M I 的 W i n 3 2 _ S h a d o w C o p y 类 和 有 用 的 P o w e r S h e l l c m d l e t 来 访 问 W M I 对 象 ， 可 以 方 便 地 实 现 这 一 点 ， 从 下 面 的 例 子 中 可 以 看 出 。 v s s a d m i n   d e l e t e   s h a d o w s   / a l l   / q u i e t w m i c   s h a d o w c o p y   d e l e t e   / n o i n t e r a c t i v e v s s a d m i n   r e s i z e   s h a d o w s t o r a g e   / f o r = < b a c k e d   v o l u m e > / o n = < b a c k u p   l o c a t i o n   v o l u m e >   / m a x s i z e = < n e w   s i z e > 1 .       G e t - W m i O b j e c t   W i n 3 2 _ S h a d o w C o p y |   %   {   $ _ . D e l e t e ( )   }   2 .       G e t - W m i O b j e c t   W i n 3 2 _ S h a d o w C o p y |   R e m o v e - W m i O b j e c t
G e t - W m i O b j e c t   c m d l e t 被 N e m t y 和 S o d i n o k i b i 使 用 。 S o d i n o k i b i 作 为 一 个 子 进 程 运 行 P o w e r S h e l l ， 命 令 行 参 数 为 b a s e 6 4 编 码 ， 解 码 为 ： 在 接 下 来 的 章 节 中 ， 我 们 将 介 绍 尚 未 被 发 现 的 I T W 的 删 除 方 法 。 新 的 删 除 方 法 新 的 删 除 方 法 在 本 节 中 ， 我 们 讨 论 了 删 除 影 子 副 本 的 新 方 法 ， 这 些 影 子 副 本 有 可 能 在 未 来 被 勒 索 软 件 使 用 。 第 一 种 方 法 提 出 了 额 外 的 P o w e r S h e l l 技 巧 来 触 发 删 除 ， 而 第 二 和 第 三 种 方 法 则 利 用 了 V S S 架 构 的 行 为 和 内 部 工 作 机 制 。 1 .   P o w e r S h e l l 的 高 级 使 用 的 高 级 使 用 虽 然 我 们 还 没 有 遇 到 任 何 使 用 这 个 的 勒 索 软 件 ， 但 可 以 使 用 C I M   c m d l e t s 来 代 替 W M I 的 。 当 在 远 程 机 器 上 进 行 基 于 C I M 的 调 用 时 ， 它 们 会 通 过 W i n R M 而 不 是 D C O M 发 送 。 P o w e r S h e l l   c m d l e t s   也 支 持 别 名 。 有 些 是 内 置 的 ， 比 如 G e t - W m i O b j e c t 的 g w m i ， 或 者 G e t - C i m I n s t a n c e 的 g c i m 。 新 的 别 名 可 以 通 过 N e w - A l i a s   c m d l e t 来 创 建 ， 现 有 的 别 名 可 以 通 过 S e t - A l i a s   c m d l e t 来 修 改 。 也 可 以 在 没 有 P o w e r S h e l l . e x e 二 进 制 的 情 况 下 运 行 P o w e r S h e l l 脚 本 。 某 些 L O L B i n s 可 以 执 行 P o w e r s h e l l 脚 本 ， 例 如 S y n c A p p v P u b l i s h i n g S e r v e r . e x e 。 这 些 二 进 制 文 件 的 优 点 是 它 们 可 以 绕 过 应 用 程 序 的 黑 名 单 防 御 。 与 其 使 用 已 知 的 主 机 进 程 作 为 P o w e r S h e l l 核 心 ， 不 如 使 用 . N E T 框 架 从 自 己 的 进 程 中 执 行 P o w e r S h e l l 脚 本 。 比 如 U n m a n a g e d P o w e r S h e l l 和 S h a r p P i c k 。 参 见 ： h t t p s : / / g i t h u b . c o m / l e e c h r i s t e n s e n / U n m a n a g e d P o w e r S h e l l , h t t p s : / / g i t h u b . c o m / P o w e r S h e l l E m p i r e / P o w e r T o o l s / t r e e / m a s t e r / P o w e r P i c k / S h a r p P i c k 什 么 是 L o L B i n s ？ L o L B i n 是 操 作 系 统 提 供 的 任 何 二 进 制 文 件 ， 通 常 用 于 合 法 目 的 ， 但 也 可 能 被 恶 意 行 为 者 滥 用 。 一 些 默 认 的 系 统 二 进 制 文 件 具 有 意 想 不 到 的 副 作 用 ， 这 可 能 会 让 攻 击 者 在 利 用 后 隐 藏 其 活 动 。 2 .   调 用 调 用 C O M 对 象 对 象 W M I 可 以 通 过 C O M 来 编 程 使 用 ， 而 不 是 命 令 行 工 具 或 P o w e r S h e l l ， 正 如 我 们 前 面 提 到 的 ， V S S 架 构 本 身 就 是 基 于 C O M 的 ， 所 以 可 以 直 接 使 用 更 直 接 的 方 法 来 操 作 这 些 对 象 。 如 果 我 们 看 一 下 v s s a d m i n 的 底 层 ， 我 们 可 以 很 快 注 意 到 ， 它 使 用 V S S C o o r d i n a t o r C O M 类 与 I V s s C o o r d i n a t o r 接 口 来 向 V S S 服 务 发 出 删 除 请 求 。 这 个 对 象 是 在 一 个 名 为 v s s _ p s . d l l 的 代 理 D L L 中 实 现 的 。 图 4 ： I V s s C o o r d i n a t o r 接 口 的 代 理 D L L 的 注 册 表 查 询 情 况 按 照 这 个 发 现 ， 显 而 易 见 的 方 向 是 直 接 使 用 相 同 的 C O M 对 象 ， 因 此 ， 留 下 v s s a d m i n 二 进 制 是 多 余 的 。 相 关 的 接 口 定 义 出 现 在 v s c o o r d i n t . i d l 中 ， 旧 版 W i n d o w s   S D K 可 以 找 到 。 删 除 函 数 的 定 义 是 S o u r c e O b j e c t I d 是 影 子 副 本 本 身 的 G U I D 标 识 ， e S o u r c e O b j e c t T y p e 设 置 为 V S S _ O B J E C T _ S N A P S H O T 。 还 有 一 些 文 档 化 的 V S S 对 象 提 供 了 管 理 快 照 的 所 有 必 要 功 能 。 其 中 之 一 是 I V s s S o f t w a r e S n a p s h o t P r o v i d e r 接 口 ， 它 也 可 以 用 来 调 用 所 需 的 删 除 操 作 。 改 变 d i f f 区 域 的 大 小 可 以 使 用 I V s s D i f f e r e n t i a l S o f t w a r e S n a p s h o t M g m t 接 口 来 完 成 。 G e t - W m i O b j e c t   W i n 3 2 _ S h a d o w c o p y |   F o r E a c h - O b j e c t   {   $ _ D e l e t e ( ) ;   } G e t - C i m I n s t a n c e W i n 3 2 _ S h a d o w C o p y | R e m o v e - C i m I n s t a n c e H R E S U L T   D e l e t e S n a p s h o t s ( V S S _ I D   S o u r c e O b j e c t I d , V S S _ O B J E C T _ T Y P E e S o u r c e O b j e c t T y p e 。 B O O L   b F o r c e D e l e t e , L O N G *   p l D e l e t e d S n a p s h o t s , V S S _ I D *   p N o n d e l e t e d S n a p s h o t I D )
3 .   直 接 设 备 访 问 直 接 设 备 访 问 当 删 除 快 照 时 ， 执 行 流 得 到 的 是 向 v o l s n a p . s y s 发 送 I O C T L s 的 提 供 者 （ s w p r v . d l l ） 。 内 核 驱 动 不 执 行 任 何 访 问 检 查 ， 无 论 是 对 设 备 打 开 请 求 ， 还 是 对 发 送 到 它 的 I O C T L s ， 都 不 执 行 任 何 访 问 检 查 ， 以 验 证 源 头 是 提 供 者 服 务 进 程 ， 所 以 可 以 从 任 何 进 程 发 送 这 些 I O C T L s ， 甚 至 可 以 处 置 C O M 层 。 使 用 P r o c M o n ， 我 们 可 以 很 容 易 地 跟 踪 提 供 者 执 行 的 操 作 。 1 . 打 开 影 子 拷 贝 卷 的 句 柄 （ 例 如 ： D e v i c e H a r d d i s k V o l u m e S h a d o w C o p y 1 ） 。 2 . 发 送 未 记 录 的 I O C T L _ V O L S N A P _ S E T _ A P P L I C A T I O N _ I N F O 。 3 . 用 I O C T L _ V O L U M E _ S E T _ G P T _ A T T R I B U T E S 将 卷 设 置 为 隐 藏 。 （ 如 果 还 没 有 的 话 ） 4 . 接 下 来 ， 通 过 发 送 F S C T L _ D I S M O U N T _ V O L U M E 和 I O C T L _ V O L U M E _ O F F L I N E 禁 用 卷 。 5 . 打 开 备 份 卷 的 句 柄 （ 即 C : ， 影 子 副 本 属 性 中 的   “ 原 始 卷 ” ） 。 6 . 发 送 未 记 录 的 I O C T L _ V O L S N A P _ D E L E T E _ S N A P S H O T   ( 0 x 5 3 C 0 3 8 ) ， 同 时 在 输 入 缓 冲 区 中 传 递 要 删 除 的 快 照 名 称 。 查 询 影 子 副 本 属 性 可 以 使 用 我 们 之 前 介 绍 的 工 具 （ v s s a d m i n 、 W M I 和 C O M 对 象 ） 。 步 骤 1 - 4 是 可 选 的 ， 但 要 记 住 ， 它 们 保 证 了 程 序 的 有 效 性 ， 跳 过 它 们 可 能 会 导 致 失 败 或 意 外 的 结 果 。 图 5 ： I O C T L 删 除 调 用 的 P r o c M o n 日 志 为 了 调 整 d i f f 区 域 的 大 小 ， 提 供 者 向 原 卷 发 送 未 记 录 的 I O C T L _ V O L S N A P _ S E T _ M A X _ D I F F _ A R E A _ S I Z E ( 0 x 5 3 C 0 2 8 ) ， 如 图 6 所 示 。 图 6 ： s w p r v . d l l 中 C h a n g e D i f f A r e a M a x m i u m S i z e 下 的 无 文 档 I O C T L 。 即 使 驱 动 程 序 会 验 证 请 求 的 源 头 是 提 供 商 的 服 务 ， 将 代 码 注 入 其 中 以 执 行 上 述 操 作 也 会 绕 过 该 检 查 。 D e t e c t i o n 我 们 所 介 绍 的 方 法 在 不 同 的 层 次 上 进 行 操 作 ， 每 一 种 方 法 都 提 出 了 一 些 检 测 机 制 的 选 择 。 首 先 要 从 命 令 行 参 数 扫 描 开 始 ， 这 是 一 个 非 常 初 级 的 解 决 方 案 。 虽 然 它 涵 盖 了 当 今 勒 索 软 件 使 用 的 大 多 数 技 术 ， 但 防 御 者 必 须 考 虑 到 语 法 的 多 样 化 风 格 ， 并 能 够 处 理 新 的 混 淆 形 式 和 发 现 新 的 L O L B i n s 。 此 外 ， 还 有 一 些 已 知 的 技 术 可 以 隐 藏 命 令 行 参 数 。 如 果 是 作 为 一 个 通 用 的 方 法 ， 则 需 要 某 种 形 式 的 C O M 监 控 。 一 个 直 观 的 解 决 方 案 可 以 是 搜 索 任 何 在 意 外 进 程 中 加 载 库 的 异 常 情 况 。 例 如 ， 如 果 v s s _ p s . d l l 被 v s s a d m i n . e x e 或 w m i p r v s e . e x e 以 外 的 进 程 加 载 （ 当 使 用 W M I 时 ） ， 它 们 可 以 被 认 为 是 可 疑 的 。 然 而 ， 这 可 能 会 产 生 误 报 ( F a l s e P o s i t i v e ) ， 因 为 它 不 能 保 证 v s s _ p s . d l l 确 实 被 使 用 ， 而 且 影 子 副 本 被 删 除 。 监 视 实 际 的 C O M 对 象 会 得 到 更 准 确 的 结 果 。 监 视 对 注 册 表 中 相 关 键 的 访 问 是 可 能 的 ， 但 在 误 报 方 面 存 在 同 样 的 问 题 。 相 反 ， 使 用   C O M   对 象 代 理 和 过 滤 器 可 能 被 证 明 是 适 当 的 解 决 方 案 。
最 终 的 解 决 方 案 是 监 控 执 行 流 程 中 的 最 后 一 步 ， 因 为 它 是 所 有 方 法 的 共 同 交 叉 点 - 对 驱 动 程 序 的 设 备 I O 控 制 调 用 。 这 些 应 该 是 源 于 提 供 者 服 务 的 。 在 每 个 进 程 中 的 D e v i c e I o C o n t r o l 和 Z w D e v i c e I o C o n t r o l F i l e 等 函 数 上 安 装 钩 子 来 监 视 这 些 调 用 是 可 能 的 ， 但 攻 击 者 可 以 不 费 吹 灰 之 力 可 以 躲 过 。 使 用 E T W 事 件 来 检 测 这 些 I O C T L 代 码 是 一 种 比 较 可 行 的 可 行 。 最 后 一 种 选 择 是 使 用 内 核 驱 动 程 序 并 执 行 I R P 过 滤 ， 它 也 支 持 阻 止 任 何 潜 在 的 恶 意 请 求 的 能 力 。 摘 要 摘 要 在 这 篇 文 章 中 ， 我 们 回 顾 了 删 除 影 子 副 本 的 不 同 方 法 ， 从 已 知 的 命 令 行 实 用 程 序 到 各 种 程 序 形 式 。 几 乎 所 有 这 些 方 法 都 以 这 样 或 那 样 的 方 式 操 作 C O M 对 象 ， 甚 至 那 些 没 有 正 式 公 开 的 对 象 。 我 们 演 示 了 一 种 替 代 方 法 ， 它 不 依 赖 于 这 些 对 象 ， 而 是 模 仿 它 们 的 操 作 ， 同 时 直 接 访 问 影 子 拷 贝 设 备 。 我 们 提 出 了 不 同 的 想 法 来 检 测 和 防 止 任 何 对 所 述 方 法 的 恶 意 使 用 ， 因 为 仅 串 行 命 令 行 参 数 进 行 检 测 被 证 明 是 徒 劳 的 。 首 选 的 方 法 是 监 控 对 影 子 拷 贝 设 备 本 身 的 访 问 。 但 是 ， 即 使 如 此 ， 在 未 有 能 力 检 测 C O M 对 象 的 操 作 依 次 下 ， 进 行 命 令 行 参 数 进 行 检 测 也 是 非 常 有 效 的 一 种 手 段 。 总 而 言 之 ， 此 研 究 研 究 在 一 个 方 面 ， 道 高 一 尺 ， 魔 高 一 丈 。 即 防 御 者 必 须 随 时 与 时 俱 进 ， 不 断 更 新 采 用 新 的 检 测 方 法 和 能 力 。 参 考 ： h t t p s   :   / / w w w . f o r t i n e t . c o m / b l o g / t h r e a t - r e s e a r c h / s t o m p i n g - s h a d o w - c o p i e s - a - s e c o n d - l o o k - i n t o - d e l e t i o n - m e t h o d s 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理