搜索

[4617] 2017-12-09_绕过杀软的新姿势：ProcessDoppelgnging

文档创建者：s7ckTeam
浏览次数：6
最后更新：2025-01-16
2017-12-09_绕过杀软的新姿势：ProcessDoppelgnging 绕 过 杀 软 的 新 姿 势 ： P r o c e s s   D o p p e l g ä n g i n g 原 创   E 安 全   E 安 全   2 0 1 7 - 1 2 - 0 9 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 1 2 月 9 日 讯 ， 本 周 ， 2 0 1 7 欧 洲 黑 帽 大 会 （ B l a c k   H a t   E u r o p e   2 0 1 7 ） 在 伦 敦 如 火 如 荼 地 举 行 。 伦 敦 当 地 时 间 1 2 月 7 日 ， 网 络 安 全 公 司 e n S i l o 两 名 研 究 人 员 介 绍 了 一 种 名 为 “ P r o c e s s   D o p p e l g ä n g i n g ” 的 新 型 代 码 注 入 技 术 。 这 种 新 型 技 术 可 针 对 所 有 W i n d o w s 版 本 发 起 攻 击 。 研 究 人 员 表 示 ， 这 种 技 术 可 以 帮 助 病 毒 散 播 者 绕 过 大 部 分 现 今 的 反 病 毒 方 案 和 取 证 工 具 。 P r o c e s s   D o p p e l g ä n g i n g 与 P r o c e s s   H o l l o w i n g 技 术 类 似 ， 不 同 之 处 在 于 前 者 通 过 攻 击 W i n d o w s   N T F S 运 作 机 制 和 一 个 来 自 W i n d o w s 进 程 载 入 器 中 的 过 时 的 应 用 。 P r o c e s s   H o l l o w i n g 是 现 代 恶 意 软 件 常 用 的 一 种 进 程 创 建 技 术 ， 虽 然 使 用 任 务 管 理 器 之 类 的 工 具 查 看 时 ， 这 些 进 程 看 起 来 合 法 ， 但 该 进 程 的 代 码 实 际 上 已 被 恶 意 内 容 替 代 。 P r o c e s s   D o p p e l g ä n g i n g 同 时 利 用 两 种 不 同 的 关 键 功 能 ， 以 此 掩 盖 已 修 改 可 执 行 文 件 的 加 载 进 程 。 研 究 人 员 使 用 N T F S 事 务 修 改 实 际 上 不 会 写 入 到 磁 盘 的 可 执 行 文 件 ， 之 后 使 用 未 公 开 的 进 程 加 载 机 制 实 现 详 情 来 加 载 已 修 改 的 可 执 行 文 件 ， 但 不 会 在 回 滚 已 修 改 可 执 行 文 件 前 执 行 该 操 作 ， 其 结 果 是 从 已 修 改 的 可 执 行 文 件 创 建 进 程 ， 而 杀 毒 软 件 的 安 全 机 制 检 测 不 到 。 “ P r o c e s s   D o p p e l g ä n g i n g ” 可 绕 过 大 多 数 防 病 毒 软 件 可 绕 过 大 多 数 防 病 毒 软 件 研 究 人 员 表 示 ， 利 用 “ P r o c e s s   D o p p e l g ä n g i n g ” 的 恶 意 代 码 不 会 保 存 到 磁 盘 （ 也 就 是 所 谓 的 无 文 件 攻 击 ） ， 因 此 大 多 数 主 流 安 全 产 品 无 法 检 测 到 。
研 究 人 员 成 功 在 卡 巴 斯 基 、 比 特 梵 德 、 E S E T 、 赛 门 铁 克 、 迈 克 菲 、 诺 顿 、 W i n d o w s   D e f e n d e r 、 A V G 、 S o p h o s 、 趋 势 科 技 、 A v a s t 和 熊 猫 产 品 上 测 试 了 这 种 攻 击 技 术 ， 甚 至 高 级 取 证 工 具 （ 例 如 V o l a t i l i t y ） 也 检 测 不 到 它 。 研 究 人 员 在 测 试 中 使 用 “ P r o c e s s   D o p p e l g ä n g i n g ” 秘 密 运 行 知 名 密 码 获 取 工 具 M i m i k a t z 来 躲 避 检 测 。   “ P r o c e s s   D o p p e l g ä n g i n g ” 属 于 无 文 件 攻 击 属 于 无 文 件 攻 击 e n S i l o 研 究 人 员 塔 尔 · 利 博 曼 和 尤 金 · 科 根 表 示 ， 这 项 技 术 旨 在 允 许 恶 意 软 件 通 过 看 似 合 法 的 进 程 在 目 标 设 备 上 运 行 任 意 代 码 （ 包 括 恶 意 代 码 ） 。 虽 然 与 “ P r o c e s s   H o l l o w i n g ” 非 常 类 似 ， 但 也 存 在 不 同 之 处 。 为 了 避 免 使 用 可 疑 进 程 和 内 存 操 作 （ 例 如 S u s p e n d P r o c e s s 和 N t U n m a p V i e w O f S e c t i o n ） ， 研 究 人 员 利 用 了 N T F S 事 务 ， 重 写 了 事 务 （ T r a n s a c t i o n ） 上 下 文 中 的 合 法 文 件 ， 之 后 从 修 改 的 文 件 （ 事 务 上 下 文 中 ） 创 建 S e c t i o n ， 并 从 中 创 建 了 一 个 进 程 。 研 究 人 员 发 现 ， 当 文 件 在 事 务 中 时 ， 这 些 安 全 厂 商 不 太 可 能 扫 描 到 文 件 。 由 于 研 究 人 员 回 滚 了 事 务 ， 因 此 未 留 下 任 何 活 动 踪 迹 。 安 全 产 品 检 测 不 到 其 中 的 异 常 ， 是 因 为 恶 意 进 程 看 起 来 合 法 ， 会 正 确 映 射 到 磁 盘 上 的 镜 像 文 件 ， 与 任 何 合 法 进 程 没 有 区 别 ， 不 存 在 安 全 产 品 通 常 会 寻 找 的 “ 未 映 射 的 代 码 ” （   U n m a p p e d   C o d e ） 。 喜 忧 参 半 喜 忧 参 半 值 得 庆 幸 的 是 ， 实 现 “ P r o c e s s   D o p p e l g ä n g i n g ” 面 临 着 大 量 技 术 挑 战 ， 攻 击 者 需 要 了 解 进 程 创 建 的 大 量 未 公 开 细 节 。 然 而 ， 令 人 悲 观 的 是 ， 这 种 攻 击 无 法 通 过 打 补 丁 修 复 解 决 ， 因 为 它 利 用 的 是 基 本 功 能 和 W i n d o w s 进 程 加 载 机 制 的 核 心 设 计 。 “ P r o c e s s   D o p p e l g ä n g i n g “ 加 入 了 过 去 一 年 被 发 现 的 新 攻 击 方 法 ， 这 些 方 法 难 以 被 现 代 反 病 毒 产 品 检 测 和 缓 解 ， 例 如 A t o m B o m b i n g 和 G h o s t H o o k 。 有 关 该 技 术 的 研 究 资 料 将 会 在 接 下 来 几 天 发 布 在 2 0 1 7 欧 洲 黑 帽 大 会 的 官 网 上 。 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址
h t t p s : / / w w w . e a s y a q . c o m / n e w s / 1 4 2 0 2 9 2 6 3 1 . s h t m l 推 荐 阅 读 ： 新 型 代 码 注 入 技 术 P R O P a g a t e 影 响 主 流 版 本 W i n d o w s B o u n d H o o k ： 利 用 C P U 攻 击 W i n d o w s 的 新 技 术 I l l u s i o n   G a p 攻 击 可 绕 过 W i n d o w s 内 置 安 全 防 御 微 软 最 新 内 核 漏 洞 ： 所 有 W i n d o w s 版 本 受 影 响 C I A   A n g e l f i r e ： 专 门 感 染 W i n d o w s 的 恶 意 软 件 框 架 C o w e l S n a i l ： 针 对 W i n d o w s 系 统 的 新 后 门 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理