搜索

[534] 2017-07-28_无文件恶意软件（FilelessMalware）

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2017-07-28_无文件恶意软件（FilelessMalware） 无 文 件 恶 意 软 件 （ F i l e l e s s   M a l w a r e ） A r k T e a m   2 0 1 7 - 0 7 - 2 8 作 者 ： { E s i ,   A n i c e } @ A r k T e a m 主 流 恶 意 代 码 多 以 文 件 形 态 驻 留 于 计 算 机 硬 盘 上 ， 而 无 文 件 恶 意 代 码 （ F i l e l e s s   M a l w a r e ） 则 另 辟 蹊 径 ， 它 只 会 驻 留 在 内 存 或 注 册 表 中 ， 而 没 有 任 何 文 件 存 放 于 硬 盘 ， 目 的 是 提 高 系 统 级 的 生 存 性 。 那 么 ， 一 个 没 有 文 件 实 体 的 恶 意 代 码 ， 如 何 实 现 开 机 自 启 动 并 正 常 运 行 呢 ？ 我 们 先 从 无 文 件 恶 意 代 码 的 历 史 说 起 。 图 1   传 统 恶 意 代 码 无 文 件 恶 意 代 码 ， 其 根 源 可 追 溯 2 0 0 1 年 爆 发 的 C o d e   R e d 蠕 虫 和 2 0 0 3 年 爆 发 的 S l a m m e r 蠕 虫 ， 这 两 个 里 程 碑 级 别 的 蠕 虫 都 只 存 在 于 内 存 之 中 ， 关 机 即 会 消 失 ， 但 其 快 速 的 全 网 扫 描 能 力 会 使 得 新 开 机 的 节 点 很 快 被 再 次 感 染 ， 因 此 可 保 持 总 感 染 量 的 平 衡 。 内 存 型 无 文 件 恶 意 代 码 的 缺 点 是 无 法 做 到 持 久 化 。 图 2   内 存 型 无 文 件 恶 意 代 码 2 0 1 4 年 ， 持 久 化 无 文 件 恶 意 代 码 的 代 表 P o w e l i k s 会 将 自 身 文 件 体 写 入 了 注 册 表 的 某 个 键 值 里 ， 然 后 进 行 文 件 自 删 除 。 图 3   注 册 表 型 无 文 件 恶 意 代 码 为 了 实 现 攻 击 的 持 久 化 与 隐 蔽 化 ， 将 恶 意 代 码 文 件 内 容 写 入 注 册 表 多 个 键 值 里 ， 当 注 册 表 中 脚 本 （ 如 下 图 中 的 a l e r t ） 获 得 运 行 权 后 ， 会 读 取 注 册 表 其 他 键 值 还 原 恶 意 代 码 ， 这 种 方 法 可 以 绕 过 很 多 安 全 产 品 的 检 测 ， 效 果 显 著 。 下 面 ， 我 们 通 过 一 个 实 例 来 形 象 化 展 示 一 个 最 简 单 的 无 文 件 恶 意 代 码 的 工 作 机 理 。
这 样 ， 开 机 后 ， 就 会 弹 框 。 图 4   开 机 自 运 行 附 录 ： 维 基 百 科 的 定 义 附 录 ： 维 基 百 科 的 定 义 F i l e l e s s   m a l w a r e   i s   a   v a r i a n t   o f   c o m p u t e r   r e l a t e d   m a l i c i o u s   s o f t w a r e   t h a t   e x i s t s   e x c l u s i v e l y   a s   a   c o m p u t e r   m e m o r y - b a s e d   a r t i f a c t   i . e . i n   R A M .   I t   d o e s   n o t   w r i t e   a n y   p a r t   o f   i t s   a c t i v i t y   t o   t h e   c o m p u t e r ' s   h a r d   d r i v e ,   a n d   l e a v e s   v e r y   l i t t l e   b y   w a y   o f   e v i d e n c e   t h a t   c o u l d   b e u s e d   b y   d i g i t a l   f o r e n s i c   i n v e s t i g a t o r s   t o   i d e n t i f y   i l l e g i t i m a t e   a c t i v i t y .   A s   m a l w a r e   o f   t h i s   t y p e   i s   d e s i g n e d   t o   w o r k   i n - m e m o r y ,   i t s l o n g e v i t y   o n   t h e   s y s t e m   e x i s t s   o n l y   u n t i l   t h e   s y s t e m   i s   r e b o o t e d .   阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理