搜索

[17152] 2021-08-15_新型检测逃避技术分析，以一个Shell脚本文件为例

文档创建者：s7ckTeam
浏览次数：26
最后更新：2025-01-18
2021-08-15_新型检测逃避技术分析，以一个Shell脚本文件为例 新 型 检 测 逃 避 技 术 分 析 ， 以 一 个   S h e l l   脚 本 文 件 为 例 A v e n g e r   F r e e B u f   2 0 2 1 - 0 8 - 1 5 背 景 背 景 L i n u x   平 台 上 的 攻 击 者 通 常 使 用 恶 意   S h e l l   脚 本 作 为 初 始 的 攻 击 向 量 ， 拉 取 恶 意   P a y l o a d   到 失 陷 主 机 执 行 。 最 初 ， 攻 击 者 只 使 用   b a s e 6 4   等 编 码 方 案 来 进 行 检 测 逃 避 。 目 前 ， 攻 击 者 正 在 采 用 更 新 的 技 术 ， 包 括 禁 用 防 火 墙 、 监 控 代 理 等 方 式 进 行 检 测 逃 避 。 本 文 将 以 一 个   S h e l l   脚 本 文 件 （ 5 0 5 0 5 0 6 a d 2 c c e a 3 5 f e 3 b 7 a b a 6 3 c 4 f 4 1 3 ） 为 例 ， 进 行 分 析 。 卸 载 监 控 卸 载 监 控   A g e n t 监 控   A g e n t   是 监 控 系 统 中 进 程 和 网 络 相 关 活 动 的 安 全 软 件 。 监 控   A g e n t   会 记 录 各 种 日 志 ， 这 可 以 在 进 行 事 件 调 查 分 析 时 提 供 帮 助 。 恶 意   S h e l l   脚 本 试 图 ： 卸 载 阿 里 云 的   A e g i s 卸 载 腾 讯 云 的   Y u n J i n g 禁 用 防 火 墙 禁 用 防 火 墙 大 多 数 服 务 器 都 会 部 署 防 火 墙 作 为 防 御 机 制 ， 所 以 攻 击 者 会 在 恶 意   S h e l l   脚 本 试 图 禁 用 防 火 墙 （ u f w ） 。 与 此 同 时 ， 攻 击 者 还 会 清 除   i p t a b l e s   的 规 则 。
攻 击 者 还 会 禁 用 基 于 不 可 屏 蔽 中 断 （ n m i ） 实 现 的   w a t c h d o g 。 w a t c h d o g   是 一 种 可 配 置 的 定 时 器 机 制 ， 会 在 给 定 的 条 件 和 时 间 产 生 中 断 。 为 了 规 避 这 种 防 御 机 制 ， 攻 击 者 会 使 用   s y s c t l   禁 用   w a t c h d o g   功 能 。 禁 用 安 全 模 块 禁 用 安 全 模 块 恶 意   S h e l l   脚 本 通 常 会 禁 用   S E l i n u x 、 A p p a r m o r   等   L i n u x   安 全 模 块 。 这 些 安 全 模 块 都 实 施 强 制 访 问 控 制 （ M A C ） 策 略 ， 管 理 员 可 以 通 过 模 块 控 制 应 用 程 序 的 安 装 / 访 问 权 限 。 A p p A r m o u r A p p A r m o u r   是   L i n u x   中 的 一 项 安 全 功 能 ， 用 于 锁 定   F i r e f o x   等 应 用 程 序 提 高 系 统 安 全 性 。 用 户 可 以 通 过 向 某 个 应 用 程 序 授 予 有 限 的 权 限 来 限 制 应 用 程 序 的 访 问 。 S E l i n u x S E l i n u x   也 是   L i n u x   的 一 项 安 全 功 能 ， 安 全 管 理 员 可 以 通 过 配 置 应 用 程 序 限 定 安 全 上 下 文 。 在 某 些   W e b   服 务 器 上 ， S h e l l   功 能 会 被 禁 用 或 被 限 制 ， 攻 击 者 通 常 会 绕 过 / 禁 用 此 功 能 。 修 改 修 改   A C L 访 问 控 制 列 表 （ A C L ） 包 含 文 件 和 程 序 的 权 限 规 则 。 文 件 系 统   A C L   控 制 那 些 用 户 可 以 访 问 那 些 文 件 ， 用 户 拥 有 哪 些 权 限 。 L i n u x   中 的   s e t f a c l   可 用 于 修 改 、 删 除   A C L 。
更 改 属 性 更 改 属 性 L i n u x   中 的   c h a t t r   可 用 于 设 置 / 取 消 设 置 文 件 属 性 ， 攻 击 者 会 将 恶 意 软 件 设 置 为 不 可 变 ， 使 用 户 不 能 删 除 恶 意 软 件 。 重 命 名 常 用 程 序 重 命 名 常 用 程 序 实 用 程 序   w g e t 、 c u r l   通 常 用 于 下 载 恶 意 文 件 ， 如 果 能 够 修 改 程 序 名 称 ， 监 控 特 定 程 序 名 称 的 安 全 程 序 有 可 能 就 不 会 产 生 告 警 。 结 论 结 论 攻 击 者 不 断 使 用 更 复 杂 、 更 新 颖 的 方 法 进 行 检 测 规 避 ， 更 完 整 、 全 面 地 监 控 和 记 录 系 统 的 活 动 正 变 得 越 来 越 重 要 。 建 议 所 有 人 都 应 该 定 期 监 控 不 受 信 任 的 二 进 制 执 行 产 生 的 可 疑 进 程 、 可 疑 事 件 和 可 疑 流 量 。 一 定 要 定 期 更 新 系 统 和 固 件 ， 进 行 安 全 升 级 。 I O C 3 9 a c 0 1 9 5 2 0 a 2 7 8 e 3 5 0 0 6 5 d 1 2 e b c 0 c 2 4 2 0 1 5 8 4 3 9 0 7 2 4 f 3 d 8 e 0 d c 8 2 8 6 6 4 f e e 6 c a e 1 a d 0 1 0 4 4 7 8 3 0 1 e 7 3 e 3 f 4 9 c d e b 1 0 f 8 c 1 a 1 d 5 4 b c c f 9 2 4 8 e 3 4 f f 8 1 3 5 2 5 9 8 f 1 1 2 e 6 b
b 6 0 f f c c 7 1 5 3 6 5 0 d 6 a 2 3 2 b 1 c b 2 4 9 9 2 4 b 0 c 6 3 8 4 c 2 7 6 8 1 8 6 0 e b 1 3 b 1 2 f 4 7 0 5 b c 0 a 0 5 3 b 2 8 0 a 4 0 1 7 e f 2 c 2 a e f 4 b 3 e d 8 b b 4 7 5 1 6 b 8 1 6 1 6 6 9 9 8 4 6 2 8 9 9 9 3 5 a f b 3 9 b 5 3 3 8 9 0 a d 7 b 6 f 7 c 4 8 2 5 6 a 8 d f 2 0 4 1 e 8 7 2 6 c 3 4 9 0 c c b 6 9 8 7 e 1 a 7 6 f e e 9 4 7 e 1 4 8 e a 6 8 e e e 0 3 6 8 8 9 d 7 c 4 6 9 3 f 4 c 3 6 d 8 c 0 6 a 5 2 d 8 9 8 1 8 2 7 2 4 5 b 9 a b 4 f 6 3 2 8 3 9 0 7 e f 8 c 3 9 4 7 4 9 9 a 3 7 e e d c 8 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理