搜索

[4636] 2017-12-14_脚本工具danderspritz-evtx：可恢复NSA黑客工具清除的事件日志

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-16
2017-12-14_脚本工具danderspritz-evtx：可恢复NSA黑客工具清除的事件日志 脚 本 工 具 d a n d e r s p r i t z - e v t x ： 可 恢 复 N S A 黑 客 工 具 清 除 的 事 件 日 志 原 创   E 安 全   E 安 全   2 0 1 7 - 1 2 - 1 4 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 1 2 月 1 4 日 讯   网 络 安 全 公 司 F o x - I T 上 周 发 布 了 一 个 P y t h o n 脚 本 “ d a n d e r s p r i t z - e v t x ” ， 可 恢 复 被 N S A 黑 客 工 具 D a n d e r S p r i t z 删 除 的 事 件 日 志 条 目 。 黑 客 工 具 黑 客 工 具   D a n d e r S p r i t z 工 作 原 理 工 作 原 理 D a n d e r S p r i t z   是 “ 影 子 经 纪 人 ” （ S h a d o w   B r o k e r s ） 公 开 的 N S A 远 控 工 具 ， 该 工 具 基 于 F u z z B u n c h 框 架 设 计 ， 可 以 清 除 事 件 日 志 。 N S A 通 常 将 D a n d e r S p r i t z 与 F u z z B u n c h 一 起 使 用 。 N S A 黑 客 使 用 F u z z B u n c h 在 目 标 电 脑 上 加 载 并 运 行 漏 洞 利 用 ， 之 后 部 署 D a n d e r S p r i t z 查 找 并 提 取 敏 感 数 据 ， 向 附 近 的 电 脑 传 播 ， 并 清 除 攻 击 痕 迹 。 K u d e l s k i   S e c u r i t y 今 年 5 月 曾 写 道 ，   可 以 将 D a n d e r S p r i t z 想 象 成 国 家 版 的 M e t a s p l o i t   M e t e r p r e t e r ， 但 前 者 还 带 有 自 动 化 反 病 毒 检 测 和 规 避 功 能 ， 以 及 大 量 先 前 无 法 检 测 到 的 工 具 ， 可 用 于 转 储 密 码 、 收 集 信 息 、 保 持 持 久 性 并 横 向 移 动 。 为 什 么 数 据 并 未 被 删 除 ？ 为 什 么 数 据 并 未 被 删 除 ？ D a n d e r S p r i t z 包 含 E v e n t l o g e d i t 插 件 ， 能 操 纵 W i n d o w s 的 事 件 日 志 文 件 帮 助 攻 击 者 隐 藏 行 踪 。
E v e n t l o g e d i t 插 件 存 在 漏 洞 插 件 存 在 漏 洞 F o x - I T 表 示 ， 研 究 人 员 在 E v e n t l o g e d i t 插 件 中 发 现 一 个 漏 洞 ， 即 E v e n t l o g e d i t 实 际 上 并 未 删 除 事 件 日 志 条 目 ， 而 只 是 未 加 以 引 用 ， 将 其 合 并 。 按 照 研 究 人 员 的 解 释 ， 使 用 E v e n t l o g e d i t 时 ， 将 被 删 除 的 日 志 记 录 本 身 未 被 编 辑 或 删 除 ， 只 不 过 未 被 引 用 。 它 通 过 操 纵 之 前 记 录 的 记 录 头 来 实 现 。 E v e n t l o g e d i t 将 欲 被 删 除 记 录 的 大 小 加 入 之 前 记 录 的 大 小 中 ， 从 而 合 并 这 两 条 记 录 。 包 括 记 录 头 在 内 的 被 删 记 录 目 前 仅 被 认 为 是 此 前 记 录 的 多 余 数 据 。 日 志 查 看 器 不 会 显 示 这 种 多 余 数 据 或 垃 圾 数 据 。 D a n d e r S p r i t z 会 默 认 将 一 个 或 多 个 “ 篡 改 ” 日 志 条 目 与 之 前 的 清 洁 日 志 条 目 合 并 。 当 W i n d o w s 事 件 日 志 应 用 程 序 读 取 经 过 篡 改 过 的 日 志 文 件 时 ， 它 会 读 取 清 洁 版 本 ， 查 看 结 束 标 签 ， 并 忽 略 未 引 用 “ 不 良 ” 事 件 的 所 有 内 容 。 这 种 技 俩 允 许 攻 击 者 隐 藏 恶 意 行 踪 。 借 助 F o x - I T 开 发 的 d a n d e r s p r i t z - e v t x 脚 本 ， 调 查 人 员 可 以 重 建 原 始 日 志 文 件 ， 追 踪 攻 击 者 的 活 动 。 由 于 D a n d e r S p r i t z 已 被 泄 露 超 过 半 年 ， 这 就 意 味 着 除 了 N S A 黑 客 ， 其 它 网 络 犯 罪 组 织 和 恶 意 攻 击 者 可 能 已 经 将 这 种 技 术 整 合 在 自 己 的 工 具 之 中 。 此 脚 本 是 调 查 被 入 侵 设 备 的 必 需 工 具 ， 用 户 可 在 G i t H u b 上 获 取 ， 地 址 请 戳 " 阅 读 原 文 " ！ 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 1 9 1 7 0 3 8 9 4 . s h t m l 推 荐 阅 读 ： 别 再 用 V P N 了 ！ F B I 可 获 取 部 分 V P N 服 务 商 的 用 户 日 志
N S A 监 控 计 划 “ R a g t i m e ” 更 多 细 节 曝 光 N S A 雇 员 带 工 作 回 家 致 机 密 信 息 泄 露 卡 巴 斯 基 自 证 清 白   N S A 间 谍 计 划 被 曝 光 ! N S A 女 泄 密 者 用 “ 连 裤 袜 ” 窃 取 机 密 文 件 “ 影 子 经 纪 人 ” 真 实 身 份 是 N S A 内 鬼 ？ ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理