搜索

[14097] 2019-05-12_抵御无文件型恶意软件的那些事儿

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2019-05-12_抵御无文件型恶意软件的那些事儿 抵 御 无 文 件 型 恶 意 软 件 的 那 些 事 儿 A l p h a _ h 4 c k   F r e e B u f   2 0 1 9 - 0 5 - 1 2 前 言 前 言 目 前 ， 针 对 企 业 环 境 的 无 文 件 型 恶 意 软 件 威 胁 正 在 日 趋 增 长 。 无 文 件 型 恶 意 软 件 所 使 用 的 代 码 不 需 要 驻 留 在 目 目 前 ， 针 对 企 业 环 境 的 无 文 件 型 恶 意 软 件 威 胁 正 在 日 趋 增 长 。 无 文 件 型 恶 意 软 件 所 使 用 的 代 码 不 需 要 驻 留 在 目 标 标 W i n d o w s 设 备 上 ， 而 普 通 的 设 备 上 ， 而 普 通 的 W i n d o w s 安 装 程 序 涉 及 到 很 多 的 东 西 ： 安 装 程 序 涉 及 到 很 多 的 东 西 ： P o w e r S h e l l 、 、 W M I 、 、 V B 、 注 册 表 键 、 注 册 表 键 和 和 . N E T 框 架 等 等 ， 但 对 于 无 文 件 型 恶 意 软 件 来 说 ， 它 们 在 实 现 目 标 主 机 感 染 时 ， 并 不 需 要 通 过 文 件 来 调 用 上 述 框 架 等 等 ， 但 对 于 无 文 件 型 恶 意 软 件 来 说 ， 它 们 在 实 现 目 标 主 机 感 染 时 ， 并 不 需 要 通 过 文 件 来 调 用 上 述 组 件 。 组 件 。 这 个 过 程 通 常 被 称 之 为 P r o c e s s   H o l l o w i n g ， 在 这 种 机 制 下 ， 恶 意 软 件 可 以 使 用 一 个 特 定 进 程 来 作 为 恶 意 代 码 的 存 储 容 器 以 及 分 发 机 制 。 近 期 ， F i r e E y e 的 研 究 人 员 就 发 现 有 攻 击 者 将 P o w e r S h e l l 、 V B 脚 本 和 . N E T 应 用 整 合 进 了 一 个 代 码 包 中 。 利 用 P o w e r S h e l l 来 实 现 攻 击 已 经 很 常 见 了 ， 而 且 大 家 应 该 也 清 楚 基 于 P o w e r S h e l l 的 漏 洞 攻 击 杀 伤 力 有 多 么 强 大 ， 因 为 恶 意 代 码 可 以 直 接 在 P C 内 存 中 执 行 。 此 外 ， P o w e r S h e l l 还 可 以 用 于 远 程 访 问 攻 击 或 绕 过 应 用 白 名 单 保 护 等 等 。 鉴 于 这 类 日 趋 严 重 的 安 全 威 胁 ， 安 全 团 队 可 以 做 些 什 么 来 保 护 他 们 的 组 织 抵 御 无 文 件 型 恶 意 软 件 呢 ？ 确 保 公 司 内 部 环 境 的 安 全 确 保 公 司 内 部 环 境 的 安 全 为 了 抵 御 无 文 件 型 恶 意 软 件 的 攻 击 ， 首 先 我 们 要 确 保 组 织 网 络 系 统 内 的 计 算 机 安 装 了 最 新 的 补 丁 程 序 。 很 多 攻 击 者 会 利 用 旧 版 本 系 统 中 未 修 复 或 延 迟 修 复 的 漏 洞 ， 而 “ 永 恒 之 蓝 ” 漏 洞 就 是 一 个 很 好 的 例 子 （ 该 漏 洞 的 补 丁 要 先 于 漏 洞 利 用 程 序 的 发 布 ） 。 接 下 来 ， 我 们 要 设 计 一 个 强 有 力 的 安 全 意 识 培 训 方 案 。 这 并 不 意 味 着 你 要 定 期 进 行 安 全 练 习 ， 或 偶 尔 向 员 工 发 送 钓 鱼 测 试 邮 件 。 这 里 需 要 我 们 制 定 一 套 安 全 操 作 流 程 ， 并 且 让 员 工 有 效 地 意 识 到 电 子 邮 件 附 件 的 危 险 性 ， 防 止 员 工 无 意 识 地 点 击 陌 生 链 接 。 因 为 很 多 无 文 件 型 恶 意 软 件 攻 击 都 是 通 过 一 封 简 单 的 网 络 钓 鱼 邮 件 开 始 的 ， 因 此 这 样 的 安 全 培 训 或 操 作 方 案 是 非 常 重 要 的 。 第 三 ， 安 全 团 队 需 要 了 解 W i n d o w s 内 置 代 码 的 操 作 行 为 ， 这 样 我 们 就 可 以 在 第 一 时 间 发 现 异 常 情 况 。 比 如 说 ， 如 果 你 在 / T E M P 目 录 中 发 现 了 隐 藏 的 P o w e r S h e l l 脚 本 ， 那 你 就 需 要 小 心 了 。
更 新 访 问 权 限 和 特 权 账 号 更 新 访 问 权 限 和 特 权 账 号 组 织 应 该 了 解 无 文 件 型 恶 意 软 件 的 攻 击 机 制 ， 因 为 就 算 你 点 击 了 一 封 邮 件 中 的 恶 意 附 件 ， 也 并 不 意 味 着 你 的 电 脑 就 会 立 即 感 染 恶 意 软 件 。 因 为 很 多 恶 意 软 件 会 在 目 标 系 统 所 处 的 网 络 环 境 中 进 行 横 向 渗 透 ， 并 寻 找 更 加 有 价 值 的 攻 击 目 标 ， 比 如 说 域 控 制 器 或 W e b 服 务 器 等 等 。 为 了 防 止 这 种 情 况 的 发 生 ， 我 们 应 该 对 组 织 内 的 网 络 系 统 以 及 相 应 访 问 权 限 进 行 仔 细 划 分 ， 尤 其 是 针 对 第 三 方 应 用 程 序 和 用 户 进 行 划 分 。 当 恶 意 软 件 成 功 渗 透 目 标 组 织 的 网 络 系 统 后 ， 随 着 恶 意 软 件 的 横 向 渗 透 ， 攻 击 者 可 以 利 用 P o w e r S h e l l 来 实 现 提 权 。 比 如 说 ， 攻 击 者 可 以 发 送 反 向 D N S 请 求 ， 枚 举 出 网 络 共 享 的 访 问 控 制 列 表 ， 并 查 找 出 特 定 域 组 的 成 员 。 因 此 ， 安 全 团 队 应 当 遵 循 “ 最 少 权 限 ” 的 原 则 ， 及 时 检 查 已 过 期 账 户 的 访 问 权 限 ， 并 根 据 需 要 限 制 某 些 账 号 的 特 权 。 除 此 之 外 ， 组 织 还 要 禁 用 那 些 不 需 要 的 W i n d o w s 程 序 ， 因 为 并 不 是 每 个 员 工 都 需 要 在 自 己 的 计 算 机 上 运 行 P o w e r S h e l l 或 . N E T 框 架 的 。 当 然 了 ， 你 也 可 以 移 除 像 S M B v 1 这 样 的 遗 留 协 议 ， 而 这 类 协 议 也 是 W a n n a C r y 能 够 为 非 作 歹 的 主 要 原 因 。 最 后 ， 为 了 确 保 不 被 攻 击 者 利 用 M S   O f f i c e 恶 意 宏 来 实 现 攻 击 ， 我 们 也 应 该 尽 可 能 地 禁 用 宏 功 能 ， 不 过 这 并 不 是 一 种 通 用 解 决 方 案 ， 因 为 很 多 用 户 仍 然 需 要 宏 功 能 来 完 成 他 们 的 工 作 。 抗 争 到 底 ！ 抗 争 到 底 ！ 虽 然 无 文 件 攻 击 日 益 猖 獗 ， 但 微 软 方 面 并 没 有 停 滞 不 前 。 实 际 上 ， 他 们 已 经 开 发 出 了 一 个 名 为 “ 反 恶 意 软 件 扫 描 接 口 ” 的 开 放 接 口 ， 而 且 很 多 供 应 商 已 经 开 始 使 用 它 来 检 测 无 文 件 型 恶 意 软 件 攻 击 了 ， 尤 其 是 在 分 析 脚 本 行 为 时 ， 这 个 接 口 的 作 用 就 体 现 得 更 加 明 显 了 。 此 外 ， 任 何 想 要 深 入 了 解 无 文 件 型 攻 击 的 研 究 人 员 都 应 该 去 看 一 看 开 源 项 目 - A l t F S 。 这 是 一 个 完 整 的 无 文 件 型 虚 拟 文 件 系 统 ， 可 以 用 来 演 示 无 文 件 技 术 的 工 作 机 制 ， 而 且 该 项 目 可 以 直 接 在 W i n d o w s 或 m a c O S 平 台 上 搭 建 使 用 。
正 如 大 家 所 看 到 的 那 样 ， 对 抗 无 文 件 攻 击 需 要 我 们 扎 扎 实 实 地 做 好 很 多 细 节 工 作 ， 并 在 各 种 工 具 与 技 术 之 间 进 行 仔 细 协 调 。 随 着 越 来 越 多 不 可 预 见 的 恶 意 软 件 威 胁 出 现 ， 各 大 组 织 更 应 该 采 取 措 施 来 加 强 自 身 的 安 全 防 御 。 * 参 考 来 源 ： 参 考 来 源 ： s e c u r i t y i n t e l l i g e n c e ， ， F B 小 编 小 编 A l p h a _ h 4 c k 编 译 ， 转 载 请 注 明 来 自 编 译 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 推 荐 阅 读
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理