搜索

[15500] 2020-06-16_狩猎二进制重命名

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-06-16_狩猎二进制重命名 狩 猎 二 进 制 重 命 名 A v e n g e r   F r e e B u f   2 0 2 0 - 0 6 - 1 6 A T T & C K   技 术 项 编 号 为 技 术 项 编 号 为   T 1 0 3 6   的 二 进 制 重 命 名 技 术 ， 正 在 被 越 来 越 多 的 恶 意 软 件 所 采 用 ， 本 文 介 绍 如 何 使 用 的 二 进 制 重 命 名 技 术 ， 正 在 被 越 来 越 多 的 恶 意 软 件 所 采 用 ， 本 文 介 绍 如 何 使 用 多 种 方 法 对 该 技 术 进 行 监 控 与 检 测 。 多 种 方 法 对 该 技 术 进 行 监 控 与 检 测 。 背 景 背 景 二 进 制 重 命 名 是 一 种 逃 避 检 测 的 技 术 ， 用 于 绕 过 基 于 进 程 名 与 路 径 的 检 测 方 案 。 二 进 制 重 命 名 是   M I T R E   A T T & C K 框 架 中   T 1 0 3 6   M a s q u e r a d i n g   技 术 的 子 类 。 在 攻 击 生 命 周 期 的 各 个 阶 段 都 可 以 观 察 到 这 项 技 术 的 应 用 ， 无 论 是 商 业 恶 意 软 件 开 发 者 还 是   A P T   都 有 广 泛 的 使 用 。 二 进 制 重 命 名 最 有 名 的 应 用 就 是   N o t P e t y a ， N o t P e t y a   重 命 名 了   p s e x e c   程 序 实 现 自 动 化 、 破 坏 性 的 横 向 感 染 。 通 过 检 查 已 执 行 进 程 的 二 进 制 程 序 属 性 、 对 比 预 期 外 进 程 的 名 称 与 路 径 的 方 式 可 以 发 现 这 种 威 胁 。 这 是 在 对 抗 基 于 J a v a S c r i p t   的 垃 圾 软 件 时 总 结 的 方 法 ， 它 们 利 用 渗 透 工 具 、 横 向 平 移 与   A P T   级 的 检 测 逃 避 。 对 于 在 攻 击 生 命 周 期 早 期 发 生 的 攻 击 ， 通 常 涉 及 到 寻 找 立 足 点 ， 想 要 将 受 监 控 的 二 进 制 程 序 拷 贝 到 不 显 眼 的 路 径 中 。 对 于 交 互 式 攻 击 或 攻 击 生 命 周 期 后 期 ， 攻 击 者 往 往 需 要 利 用 自 己 的 黑 客 工 具 或 者 管 理 工 具 ， 而 非 本 地 环 境 中 的 程 序 ， 这 些 工 具 仅 仅 是 看 似 “ 合 法 的 ” 。 要 了 解 所 使 用 的 二 进 制 程 序 的 类 型 ， 例 如   P E   文 件 的 属 性 可 以 和 很 多 检 测 的 锚 点 相 关 ， 便 于 后 续 搜 索 。 考 虑 到 并 不 是 所 有 团 队 都 有 功 能 强 大 的   E D R   能 力 ， 可 以 实 现 大 规 模 的 二 进 制 程 序 属 性 的 可 见 性 。 据 此 ， 我 想 创 造 一 个 开 源 的 解 决 方 案 解 决 这 个 问 题 。 解 决 方 案 解 决 方 案 在 没 有 完 善 的 日 志 记 录   /   E D R   的 情 况 下 ， W M I   事 件 可 以 为 我 们 提 供 可 见 性 。 W M I   事 件 订 阅 是 通 过 触 发 器 和 （ E v e n t F i l t e r ） 和 处 理 器 （ E v e n t C o n s u m e r ） 处 理 某 些 系 统 事 件 的 方 法 。 W M I   事 件 几 乎 可 以 对 所 有 操 作 系 统 事 件 进 行 操 作 ， 例 如 ： 登 录 事 件 、 进 程 活 动 、 注 册 表 或 者 文 件 更 改 情 况 。
W M I   提 供 的 能 力 可 以 认 为 是   E D R   用 户 空 间 事 件 跟 踪 的 有 限 子 集 ， 但 又 无 需 安 装 服 务 或 者 程 序 。 W M I   事 件 并 不 是 新 鲜 事 物 ， 早 在   2 0 1 6   年   F i r e e y e   就 讨 论 了   W M I   作 为 端 点 入 侵 检 测 系 统 的 可 行 性 。 此 前 我 已 经 构 建 了 基 于   W M I   事 件 的 解 决 方 案 用 于 应 急 响 应 事 件 当 中 ， 弥 补 可 见 性 的 差 距 。 W M I   与   W M I   事 件 的 完 整 描 述 超 出 了 本 文 所 讨 论 的 范 围 ， 若 要 详 细 了 解 更 多 的 知 识 可 以 查 看 扩 展 阅 读 。 A c t i v e S c r i p t   事 件 处 理 器 可 以 通 过 功 能 强 大 的   W i n d o w s   S c r i p t i n g   H o s t   为   W M I   事 件 触 发 器 添 加 、 丰 富 事 件 处 理 逻 辑 。 在 此 示 例 中 ， 利 用 实 时 “ 外 部 ”   W M I   事 件 触 发 器 进 行 进 程 执 行 监 控 ， 从 所 有 执 行 的 进 程 中 收 集 进 程   I D 。 W i n 3 2 _ P r o c e s s   的 查 询 可 以 进 一 步 提 供 有 关 进 程 的 元 数 据 ， 收 集   P E   属 性 便 于 检 测 。 此 示 例 中 使 用 的   P E   属 性 是 原 始 名 称 ， 查 询 高 优 先 级 原 始 名 称 列 表 并 检 测 报 警 。 在 条 件 匹 配 时 ， 示 例 程 序 支 持 写 入 应 用 程 序 事 件 日 志 。 事 件   I D   为   4 ， 包 含 相 关 告 警 的 详 细 信 息 。 出 于 性 能 考 虑 ， 进 程 路 径 和 原 始 名 称 都 实 时 记 录 在 告 警 中 ， 并 没 有 进 行 哈 希 计 算 。
类 似 的 也 可 以 输 出 到 日 志 中 。 值 得 注 意 的 是 ， 可 以 方 便 地 修 改 示 例 程 序 中 关 于 写 入 日 志 文 件 、 事 件 记 录 函 数 与 函 数 调 用 的 部 分 。 局 限 局 限 使 用 W M I 事 件 作 为 事 件 来 源 的 一 个 局 限 是 通 常 不 能 得 到 成 熟 的 检 测 用 例 需 要 的 所 有 数 据 。 为 了 丰 富 数 据 ， 需 要 查 询 W i n 3 2 _ P r o c e s s 类 。 获 取 进 程 元 数 据 会 存 在 一 些 延 迟 ， 因 此 非 常 短 暂 的 进 程 （ 几 分 之 一 秒 ） 可 能 会 存 在 获 取 不 到 的 情 况 。 在 我 自 己 的 测 试 中 ， 非 常 短 暂 的 命 令 （ 如 重 命 名 命 令   ） 无 法 生 成 W M I 数 据 ， 在 本 地 p i n g 事 件 记 录 中 稍 有 延 迟 。 对 于 下 载 、 访 问   S h e l l 、 或 者 其 他 常 见 的 交 互 式 命 令 没 有 见 到 问 题 ， 但 请 记 住 这 个 局 限 。 第 二 个 局 限 是 性 能 ， 虽 然 我 自 己 构 建 的 测 试 中 没 有 资 源 密 集 的 用 例 ， 但 生 产 中 可 能 存 在 其 他 限 制 。 我 过 滤 了 进 程 事 件 ， 但 希 望 你 在 部 署 的 时 候 进 行 针 对 性 的 测 试 。 考 虑 到 性 能 ， 程 序 属 性 匹 配 用 例 尽 可 能 地 保 持 简 单 ， 这 意 味 着 准 确 度 的 降 低 。 但 是 由 于 逻 辑 尽 可 能 的 简 单 ， 修 改 、 添 加 功 能 是 很 容 易 的 。 另 外 ， 在 某 些 环 境 中 ， 某 些 目 标 的 原 始 名 称 可 能 存 在 合 法 的 二 进 制 重 命 名 行 为 。 列 出 的 程 序 列 表 可 能 需 要 对 匹 配 逻 辑 进 行 一 些 调 整 来 兼 容 不 同 的 主 机 环 境 。 最 后 ， 众 所 周 知 ， W M I 事 件 处 理 器 是 难 以 管 理 的 。 我 提 供 了 一 个 带 有 卸 载 说 明 的   P o w e r s h e l l   安 装 脚 本 ， 支 持 P o w e r s h e l l   2 . 0   及 以 上 。 c d m   / c   e c h o   < s t r i n g >
关 于 项 目 关 于 项 目 这 是 一 个 有 趣 的 开 源 项 目 ， 当 我 发 现 v b s c r i p t 具 有 查 询 P E 属 性 的 功 能 时 ， 希 望 其 他 人 也 可 以 更 好 地 利 用 这 个 功 能 。 示 例 程 序 的 模 板 可 以 在 这 里 找 到   W M I E v e n t - B i n a r y R e n a m e . p s 1 。 Y a r a   检 测 检 测 Y a r a   是 一 个 主 要 用 于 恶 意 软 件 检 测 的 模 式 匹 配 工 具 。 基 于 字 符 串 或 者 二 进 制 模 式 的 规 则 ， 利 用 布 尔 、 计 数 或 者 正 则 表 达 式 之 类 的 匹 配 逻 辑 。 虽 然 传 统 上 仍 然 是 基 于 模 式 的 匹 配 ， 但 是   Y a r a   是 模 块 化 、 可 扩 展 的 。 例 如   P E   模 块 可 用 于 查 询 常 见 的 二 进 制 程 序 属 性 ， P E   模 块 可 以 支 持 创 建 针 对   P E   文 件 格 式 和 文 件 头 的 规 则 ， 提 供 了 为   P E   文 件 编 写 更 有 效 规 则 的 函 数 。 如 正 在 使 用 的     的   I n t e r n a l N a m e   属 性 ： 我 们 的   Y a r a   规 则 很 有 趣 ， 因 为 我 们 需 要 将 预 期 的 文 件 名 与 实 际 的 文 件 名 进 行 比 较 ， 但 比 较 文 件 名 并 不 是   Y a r a   设 计 的 本 意 。 F l o r i a n   R o t h   在   2 0 1 4   年 写 了 一 篇 关 于 “ i n v e r s e ” 技 术 的 文 章 ， 文 中 阐 述 了 如 何 利 用   P o w e r s h e l l   脚 本 获 得 所 有 需 要 扫 描 的 文 件 ， 并 将 每 个 文 件 名 作 为 外 部 变 量 传 递 给   Y a r a   进 行 扫 描 。 为 每 个 文 件 都 创 建 一 个 新 的   Y a r a   实 例 ， 传 入 相 关 的 文 件 名 以 进 行 比 较 。 在 下 面 的 代 码 中 ， 扩 展 了 该 用 例 代 码 支 持   3 2   位 与   6 4   位 机 器 。 为 了 保 证 正 确 执 行 ， 执 行 路 径 下 必 须 存 在 下 列 文 件 ： i n v e r s e Y a r a . p s 1 x 8 6   或   x 6 4   的   Y a r a   程 序 r e n a m e . y a r 通 过   b a t   脚 本 或 命 令 执 行 如 下 ： p e . v e r s i o n i n f o
从 检 测 的 角 度 看 ， 这 种 技 术 非 常 有 效 ， 但 在 我 的 测 试 中 ， 由 于 为 每 个 文 件 都 要 生 成 新 的   Y a r a   进 程 ， 性 能 开 销 导 致 效 率 并 不 理 想 。 值 得 注 意 的 是 ， Y a r a   扫 描 可 以 针 对 没 有 文 件 名 匹 配 时 聚 焦 于 域 内 文 件 的 意 外 位 置 ， 但 这 并 不 符 合 二 进 制 重 命 名 的 需 要 。 P o w e r s h e l l   检 测 检 测 这 种 情 况 下 ， 首 选 的 方 式 变 成 了   P o w e r s h e l l 。 W i n d o w s   A P I   通 过   F i l e V e r s i o n I n f o   类 提 供 了 对   P E   属 性 的 访 问 ， 并 且 支 持   P o w e r s h e l l   2 . 0   / . N E T   2 。 输 出 那 些 可 以 辅 助 分 析 的 额 外 选 项 可 以 显 著 提 升 速 度 并 优 化 逻 辑 。 在 下 面 的 脚 本 输 出 中 ， 可 以 看 到 输 出 中 已 经 添 加 了   S H A 1   哈 希 。 局 限 局 限 任 何 静 态 检 测 能 力 的 最 大 局 限 就 是 请 求 整 块 磁 盘 的 性 能 。 利 用   P o w e r s h e l l   与 本 地   W i n d o w s   A P I   可 以 显 著 优 化 性 能 ，
其 他 优 化 措 施 是 将   C P U   优 先 级 设 置 为 仅 空 闲 ， 并 仔 细 设 计 逻 辑 有 效 过 滤 ， 以 最 小 化 占 用 资 源 。 作 为 目 标 检 测 的 一 部 分 ， 围 绕 性 能 的 其 他 优 化 也 可 以 是 针 对 特 定 感 兴 趣 的 位 置 的 查 询 。 要 记 住 使 用   P o w e r s h e l l   方 法 利 用   W i n d o w s   A P I 。 尽 管 不 在 磁 盘 中 的 二 进 制 重 命 名 并 不 是 一 个 很 大 的 问 题 ， 但 如 果 像 R o o k i t   一 样 ， 则 首 选   R a w   C o l l e c t i o n 。 最 后 最 后 希 望 这 篇 文 章 能 够 对 你 有 所 帮 助 ， 如 果 你 有 任 何 反 馈 、 问 题 与 改 进 措 施 ， 请 随 时 与 我 们 进 行 联 系 。 Y a r a   检 测 与 P o w e r s h e l l   检 测 的 代 码 可 以 在   G e t - B i n a r y R e n a m e   找 到 。 * 参 考 来 源 ： 参 考 来 源 ： M g r e e n 2 7 - B i n a r y R e n a m e - 1   与 与 M g r e e n 2 7 - B i n a r y R e n a m e - 2 ， ， F B   小 编 小 编   A v e n g e r   编 译 ， 转 载 请 注 明 编 译 ， 转 载 请 注 明 来 自 来 自   F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理