搜索

[12102] 2017-12-08_ProcessDoppelgnging：绕过杀软检测的新技术

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2017-12-08_ProcessDoppelgnging：绕过杀软检测的新技术 P r o c e s s   D o p p e l g ä n g i n g ： 绕 过 杀 软 检 测 的 新 技 术 S p h i n x   F r e e B u f   2 0 1 7 - 1 2 - 0 8 今 天 在 今 天 在 B l a c k   H a t 欧 洲 欧 洲 2 0 1 7 大 会 上 ， 两 名 来 自 大 会 上 ， 两 名 来 自 e n S i l o 公 司 的 安 全 研 究 员 介 绍 了 一 种 新 的 代 码 注 入 技 术 ， 他 们 命 名 公 司 的 安 全 研 究 员 介 绍 了 一 种 新 的 代 码 注 入 技 术 ， 他 们 命 名 为 为 “ P r o c e s s   D o p p e l g ä n g i n g ” 。 。 这 种 新 的 攻 击 方 式 对 所 有 w i n d o w s 平 台 都 有 效 ， 并 且 能 够 攻 击 主 流 的 安 全 产 品 。 D o p p e l g ä n g i n g 利 用 两 种 特 性 来 掩 盖 加 载 修 改 版 可 执 行 文 件 的 过 程 。 通 过 使 用 N T F S ， 我 们 可 以 在 不 写 入 硬 盘 的 情 况 下 修 改 可 执 行 文 件 。 这 样 的 结 果 就 是 我 们 可 以 为 修 改 版 的 可 执 行 文 件 建 立 进 程 ， 而 杀 毒 软 件 的 安 全 机 制 检 测 不 到 。 攻 击 大 部 分 杀 毒 软 件 攻 击 大 部 分 杀 毒 软 件 研 究 人 员 成 功 在 卡 巴 斯 基 、 比 特 梵 德 、 E S E T 、 赛 门 铁 克 、 M c A f e e e 、 W i n d o w s   D e f e n d e r 、 A V G 、 A v a s t 、 奇 虎 3 6 0 和 P a n d a 上 测 试 通 过 。 更 加 高 级 的 取 证 工 具 比 如 V o l a t i l i t y 也 检 测 不 了 。 研 究 人 员 利 用 P r o c e s s   D o p p e l g ä n g i n g 方 法 运 行 M i m i k a t z ， 但 是 没 有 被 检 测 出 来 。 无 文 件 攻 击 无 文 件 攻 击 “ 攻 击 的 目 的 是 让 恶 意 软 件 在 正 常 软 件 的 进 程 中 执 行 任 意 代 码 。 ” “ 这 种 方 法 很 像 进 程 中 空 技 术 ， 但 是 更 加 高 级 。 我 们 可 以 在 没 有 可 以 进 程 和 内 存 操 作 （ 如 S u s p e n d P r o c e s s 和 N t U n m a p V i e w O f S e c t i o n ） 的 情 况 下 实 现 。 ”
“ 为 了 达 到 目 标 我 们 得 利 用 N T F S   t r a n s a c t i o n s ， 然 后 覆 盖 正 规 的 文 件 。 然 后 从 修 改 后 的 文 件 中 创 建 进 程 。 在 N T F S   t r a n s a c t i o n 的 过 程 中 好 像 不 能 扫 描 文 件 ， 这 就 解 释 了 那 些 杀 毒 软 件 为 什 么 检 测 不 到 ， 之 后 我 们 再 回 滚 t r a n s a c t i o n ， 也 就 没 有 痕 迹 了 。 ” 对 于 安 全 产 品 来 说 ， 好 像 没 什 么 问 题 ， 因 为 恶 意 进 程 看 起 来 是 合 法 的 ， 并 且 会 正 确 地 映 射 到 磁 盘 上 的 映 像 文 件 ， 就 像 任 何 正 常 进 程 一 样 。 过 程 中 不 会 有 “ 未 映 射 的 代 码 ” ， 这 往 往 是 安 全 产 品 寻 找 的 。 好 消 息 和 坏 消 息 好 消 息 和 坏 消 息 好 消 息 是 ， 在 使 用 技 术 时 “ 存 在 很 多 技 术 挑 战 ” ， 攻 击 者 需 要 知 道 很 多 细 节 。 坏 消 息 是 ， 攻 击 “ 由 于 利 用 W i n d o w s 的 进 程 加 载 机 制 的 基 本 特 征 和 核 心 设 计 ， 所 以 不 能 修 复 ” 。 P r o c e s s   D o p p e l g i e n g i n g 现 在 加 入 了 去 年 发 现 的 新 攻 击 方 法 列 表 （ 如 A t o m   B o m b i n g ， G h o s t H o o k 和 P r o p a g a t e ） ， 这 些 攻 击 方 法 很 难 被 杀 毒 软 件 中 检 测 和 修 复 。 关 于 P r o c e s s D o p p e l g ä n g i n g 的 研 究 材 料 将 在 接 下 来 的 几 天 内 在 B l a c k   H a t 网 站 上 发 布 。 * 参 考 来 源 ： B l e e p i n g C o m p u t e r s ， 转 载 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理