搜索

[16905] 2021-06-14_r77-Rootkit：一款功能强大的Ring3Rootkit

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-18
2021-06-14_r77-Rootkit：一款功能强大的Ring3Rootkit r 7 7 - R o o t k i t ： 一 款 功 能 强 大 的 R i n g   3   R o o t k i t A l p h a _ h 4 c k   F r e e B u f   2 0 2 1 - 0 6 - 1 4 关 于 关 于 r 7 7 - R o o t k i t r 7 7 - R o o t k i t 是 一 款 功 能 强 大 的 无 文 件 R i n g   3   R o o t k i t ， 并 且 带 有 完 整 的 安 全 工 具 和 持 久 化 机 制 ， 可 以 实 现 进 程 、 文 件 和 网 络 连 接 等 操 作 及 任 务 的 隐 藏 。 r 7 7 能 够 在 所 有 进 程 中 隐 藏 下 列 实 体 ： 文 件 、 目 录 、 连 接 、 命 名 管 道 、 计 划 任 务 ； 进 程 ； C P U 用 量 ； 注 册 表 键 & 值 ； 服 务 ； T C P & U D P 连 接 ； 该 工 具 兼 容 3 2 位 和 6 4 位 版 本 的 W i n d o w s   7 以 及 W i n d o w s   1 0 。 通 过 前 缀 隐 藏 通 过 前 缀 隐 藏 所 有 以 “ $ 7 7 ” 为 前 缀 命 名 的 实 体 都 将 被 隐 藏 ： 配 置 系 统 配 置 系 统 动 态 配 置 系 统 允 许 广 大 研 究 人 员 通 过 P I D 或 抿 成 来 隐 藏 进 程 ， 通 过 完 整 路 径 来 隐 藏 文 件 系 统 ， 或 通 过 指 定 端 口 隐 藏 T C P & U D P 连 接 ：
配 置 信 息 存 储 在 “ H K E Y _ L O C A L _ M A C H I N E S O F T W A R E $ 7 7 c o n f i g ” 中 ， 并 且 可 以 在 未 提 权 状 态 下 由 任 何 进 程 写 入 。 这 个 键 的 D A C L 被 设 置 为 可 以 给 任 意 用 户 授 予 完 整 访 问 权 。 “ $ 7 7 c o n f i g ” 键 在 注 册 表 编 辑 器 被 注 入 了 R o o t k i t 之 后 会 自 动 隐 藏 。 安 装 工 具 安 装 工 具 r 7 7 可 以 直 接 使 用 单 独 的 “ I n s t a l l . e x e ” 进 行 安 装 ， 安 装 工 具 会 将 r 7 7 服 务 在 用 户 登 录 之 前 开 启 ， 后 台 进 程 会 向 所 有 当 前 正 在 运 行 以 及 后 续 生 成 的 进 程 中 注 入 命 令 。 这 里 需 要 使 用 两 个 进 程 来 分 别 注 入 3 2 位 和 6 4 位 进 程 ， 这 两 个 进 程 都 可 以 使 用 配 置 系 统 和 P I D 来 进 行 隐 藏 。 “ U n i n s t a l l . e x e ” 程 序 负 责 将 r 7 7 从 系 统 中 卸 载 掉 ， 并 解 除 R o o t k i t 跟 所 有 进 程 的 绑 定 关 系 。 无 文 件 持 久 化 无 文 件 持 久 化 R o o t k i t 将 驻 留 在 系 统 内 存 中 ， 不 会 将 任 何 文 件 写 入 磁 ， 这 种 机 制 是 分 多 个 阶 段 实 现 的 。 阶 段 一 阶 段 一 安 装 程 序 为 3 2 位 和 6 4 位 r 7 7 服 务 创 建 两 个 计 划 任 务 。 计 划 任 务 确 实 需 要 存 储 名 为 7 7 s v c 6 4 . j o b 的 文 件 ， 这 是 无 文 件 概 念 的 唯 一 例 外 。 但 是 ， 一 旦 R o o t k i t 运 行 ， 计 划 任 务 也 会 通 过 前 缀 隐 藏 。 计 划 任 务 将 使 用 下 列 命 令 开 启 “ p o w e r s h e l l . e x e ” ： 该 命 令 是 内 联 的 ， 不 需 要 . p s 1 脚 本 。 这 里 ， 使 用 P o w e r S h e l l 的 . N E T   F r a m e w o r k 功 能 从 注 册 表 加 载 C # 可 执 行 文 件 并 在 内 存 中 执 行 。 由 于 命 令 行 的 最 大 长 度 为 2 6 0 （ M A X _ P A T H ） ， 因 此 只 有 足 够 的 空 间 执 行 简 单 的 A s s e m b l y . L o a d ( ) . E n t r y P o i n t . I n v o k e ( ) 。 阶 段 二 阶 段 二 [ R e f l e c t i o n . A s s e m b l y ] : : L o a d ( [ M i c r o s o f t . W i n 3 2 . R e g i s t r y ] : : L o c a l M a c h i n e . O p e n S u b k e y ( ' S O F T W A R E ' ) . G e t V a l u e ( ' $ 7 7 s t a g e r ' ) ) . E n t r y P o i n t . I n v o k e ( $ N u l l , $ N u l l )
执 行 的 C # 代 码 为 s t a g e r ， 它 将 会 使 用 P r o c e s s   H o l l o w i n g 技 术 创 建 r 7 7 服 务 进 程 。 r 7 7 服 务 是 一 个 本 地 可 执 行 文 件 ， 分 别 以 3 2 位 和 6 4 位 架 构 继 续 编 译 。 父 进 程 被 设 置 为 了 w i n l o g o n . e x e 以 增 加 欺 骗 性 （ 模 糊 性 ） 。 另 外 ， 这 两 个 进 程 被 I D 隐 藏 ， 在 任 务 管 理 器 中 不 可 见 。 磁 盘 上 从 未 存 储 可 执 行 文 件 或 D L L 。 s t a g e r 存 储 在 注 册 表 中 ， 并 从 其 资 源 加 载 r 7 7 服 务 可 执 行 文 件 。 测 试 环 境 测 试 环 境 测 试 控 制 台 可 以 用 来 向 单 独 进 程 注 入 r 7 7 ， 或 接 触 进 程 跟 R o o t k i t 的 绑 定 关 系 ： 工 具 下 载 工 具 下 载 r 7 7   R o o t k i t   1 . 2 . 0 . z i p ： ： 【 点 击 阅 读 原 文 】 （ 解 压 密 码 ： b y t e c o d e 7 7 ） 项 目 地 址 项 目 地 址 r 7 7 - R o o t k i t ： ： 【 点 击 阅 读 原 文 】 参 考 资 料 参 考 资 料 h t t p s : / / b y t e c o d e 7 7 . c o m / d o w n l o a d s / r 7 7 % 2 0 R o o t k i t % 2 0 T e c h n i c a l % 2 0 D o c u m e n t a t i o n . p d f h t t p s : / / b y t e c o d e 7 7 . c o m / r 7 7 - r o o t k i t 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理