搜索

[8190] 2014-08-11_隐藏在注册表的恶意软件–Poweliks

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-17
2014-08-11_隐藏在注册表的恶意软件–Poweliks 隐 藏 在 注 册 表 的 恶 意 软 件   –   P o w e l i k s H 3 l v i n   F r e e B u f   2 0 1 4 - 0 8 - 1 1 日 前 ， 国 外 安 全 公 司 日 前 ， 国 外 安 全 公 司 G D a t a 发 现 一 款 比 较 新 型 的 恶 意 软 件 ， 并 定 义 名 称 为 发 现 一 款 比 较 新 型 的 恶 意 软 件 ， 并 定 义 名 称 为 P o w e l i k s ， 该 恶 意 软 件 能 够 持 久 的 感 染 目 标 ， 该 恶 意 软 件 能 够 持 久 的 感 染 目 标 机 器 ， 比 较 新 颖 的 是 该 软 件 不 会 在 目 标 主 机 上 安 装 任 何 文 件 。 机 器 ， 比 较 新 颖 的 是 该 软 件 不 会 在 目 标 主 机 上 安 装 任 何 文 件 。 P o w e l i k s 只 在 计 算 机 的 注 册 表 里 面 存 储 它 的 组 件 ， 所 以 很 难 通 过 普 通 的 防 病 毒 软 件 进 行 检 测 。 P o w e l i k s 恶 意 软 件 传 播 方 式 一 般 是 通 过 邮 件 的 方 式 ， 在 邮 件 里 面 包 含 一 个 恶 意 的 w o r d 文 档 ， 该 文 档 里 面 包 含 了 一 些 恶 意 的 代 码 ， 一 旦 执 行 恶 意 代 码 将 在 注 册 表 里 面 加 一 个 隐 藏 的 自 启 动 项 目 。 P o w e l i k s 在 注 册 表 里 面 创 建 的 键 值 使 用 非 A S C I I 字 符 作 为 键 名 ， 防 止 使 用 W i n d o w s 注 册 表 编 辑 器 直 接 读 取 。 如 下 图 1 ： 我 们 使 用 注 册 表 编 辑 器 打 开 之 后 如 下 图 ：
可 以 看 到 注 册 表 编 辑 器 无 法 读 取 非 A S C I I 的 键 名 。 G D a t a 公 司 发 布 的 文 章 提 到 ， P o w e l i k s 所 有 的 活 动 都 存 储 在 注 册 表 中 ， 没 有 任 何 文 件 被 创 建 过 ， 所 以 能 够 绕 过 传 统 的 恶 意 软 件 文 件 扫 描 技 术 ， 并 且 能 够 执 行 任 意 操 作 。 如 果 要 防 止 这 样 的 攻 击 ， 防 病 毒 解 决 方 案 必 须 在 P o w e l i k s 执 行 之 前 检 测 载 体 W o r d 文 档 。 G D a t a 举 例 子 说 明 ， P o w e l i k s 执 行 原 理 如 同 俄 罗 斯 套 娃 一 样 ， 一 层 套 着 一 层 ， 最 初 执 行 J S c r i p t 代 码 ， 一 系 列 判 断 之 后 最 终 执 行 包 含 恶 意 代 码 的 P o w e r S h e l l 脚 本 。 并 且 P o w e l i k s 会 查 询 机 器 的 硬 编 码 I P 地 址 ， 攻 击 者 可 以 执 行 任 意 命 令 ， 如 下 载 一 些 攻 击 的 p a y l o a d 等 。 P o w e l i k s 行 为 特 征 ： 行 为 特 征 ： 1 、 利 用 M i c r o s o f t   W o r d 中 的 漏 洞 制 作 W o r d 文 件 ， 然 后 通 过 电 子 邮 件 方 式 传 播 2 、 创 建 一 个 隐 藏 的 自 启 动 注 册 表 项 3 、 解 码 该 启 动 项 之 后 发 现 : 代 码 中 一 部 分 会 判 断 系 统 是 否 安 装 了 P o w e r S h e l l ， 另 外 一 部 分 是 经 过 B a s e 6 4 编 码 的 P o w e r S h e l l 脚 本 ， 该 脚 本 调 用 并 执 行 攻 击 者 定 义 的 s h e l l c o d e 4 、 s h e l l c o d e 会 执 行 W i n d o w s 二 进 制 文 件 的 p a y l o a d ， 该 p a y l o a d 会 查 询 机 器 硬 编 码 的 I P 地 址 ， 以 接 受 攻 击 者 的 进 一 步 指 令 5 、 以 上 所 有 的 执 行 过 程 全 部 存 储 在 注 册 表 中 ， 没 有 任 何 文 件 被 创 建 P o w e l i k s 是 一 个 功 能 非 常 复 杂 的 软 件 软 件 ， 它 使 用 多 个 代 码 来 隐 藏 自 身 ， 能 够 不 创 建 任 何 文 件 的 情 况 下 完 成 操 作 ， 能 够 执 行 注 册 表 中 任 何 一 项 操 作 ， F B 小 编 未 找 到 P o w e l i k s 的 源 代 码 ， 如 有 同 学 找 到 了 P o w e l i k s 的 源 码 ， 欢 迎 发 到 F B 一 起 研 究 。
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理