搜索

[14300] 2019-07-02_恶意软件加载器通过“天堂之门”技术规避安全检测

文档创建者：s7ckTeam
浏览次数：38
最后更新：2025-01-18
2019-07-02_恶意软件加载器通过“天堂之门”技术规避安全检测 恶 意 软 件 加 载 器 通 过 “ 天 堂 之 门 ” 技 术 规 避 安 全 检 测 F r e d d y   F r e e B u f   2 0 1 9 - 0 7 - 0 2 来 自 思 科 来 自 思 科 T a l o s 团 队 的 安 全 研 究 人 员 近 日 发 现 了 经 过 特 殊 设 计 的 恶 意 软 件 加 载 器 ， 可 在 受 感 染 的 设 备 上 通 过 注 入 团 队 的 安 全 研 究 人 员 近 日 发 现 了 经 过 特 殊 设 计 的 恶 意 软 件 加 载 器 ， 可 在 受 感 染 的 设 备 上 通 过 注 入 内 存 来 释 放 恶 意 负 载 ， 规 避 防 病 毒 软 件 和 其 他 安 全 工 具 的 检 测 。 内 存 来 释 放 恶 意 负 载 ， 规 避 防 病 毒 软 件 和 其 他 安 全 工 具 的 检 测 。 思 科 安 全 专 家 表 示 ， 该 恶 意 软 件 加 载 器 使 用 了 流 传 已 久 的 “ 天 堂 之 门 （ H e a v e n ’ s   G a t e ） 技 术 实 现 ， 该 技 术 能 够 让 3 2 位 应 用 运 行 于 6 4 位 系 统 上 时 隐 藏 A P I 调 用 ， 进 而 实 现 一 系 列 设 计 功 能 。 恶 意 软 件 的 开 发 人 员 将 其 作 为 对 抗 安 全 软 件 的 有 效 手 段 添 加 到 他 们 的 ” 产 品 “ 之 中 ， 可 大 幅 延 后 恶 意 软 件 被 安 全 软 件 检 测 到 的 时 间 节 点 。 这 款 恶 意 软 件 加 载 器 已 经 被 发 现 用 于 多 个 不 同 类 型 的 恶 意 软 件 攻 击 活 动 中 ， 包 括   H a w k E y e   R e b o r n 键 盘 记 录 器 、 R e m c o s 远 程 访 问 工 具 （ R A T ） 和 多 个 基 于 X M R 的 挖 矿 软 件 。 这 样 的 情 况 揭 示 了 一 种 趋 势 ， 即 网 络 犯 罪 分 子 并 不 需 要 太 高 超 的 研 发 能 力 就 能 把 类 似 ” H e a v e n ’ s   G a t e “ 的 高 级 技 术 添 加 到 恶 意 软 件 中 ， 进 而 大 幅 提 高 网 络 攻 击 的 成 功 率 。 下 图 就 是 一 个 很 好 的 例 子 。 R e g A s m 劫 持 正 如 思 科 T a l o s 研 究 人 员 所 发 现 的 那 样 ， 恶 意 软 件 负 载 隐 藏 经 过 封 装 和 混 淆 的 加 载 器 ， 该 加 载 器 将 解 压 缩 并 利 用 ” 进 程 空 洞 “ 将 其 注 入 合 法 的 R e g A s m . e x e 进 程 中 。 R e g A s m . e x e 将 由 处 于 挂 起 状 态 的 恶 意 软 件 加 载 器 创 建 ， 随 后 其 内 存 将 被 取 消 映 射 并 替 换 为 恶 意 负 载 ， 也 就 是 说 加 载 器 释 放 的 恶 意 负 载 不 会 写 入 受 感 染 设 备 的 磁 盘 ， 安 全 软 件 很 难 检 测 到 它 。
根 据 思 科 专 家 的 说 法 ， 这 种 攻 击 技 术 无 法 通 过 传 统 的 安 全 软 件 和 主 动 防 御 技 术 彻 底 防 御 ， 因 为 它 基 于 操 作 系 统 本 身 自 带 的 功 能 实 现 。 举 个 例 子 ， 如 果 通 过 技 术 手 段 减 少 特 定 A P I 调 用 可 能 会 产 生 副 作 用 ， 首 当 其 冲 的 就 是 安 全 软 件 的 正 常 运 行 无 法 得 到 保 障 。 此 外 ， 除 了 前 面 提 到 的 混 淆 技 术 之 外 ， 该 恶 意 软 件 加 载 器 还 通 过 在 3 2 位 系 统 上 使 用 s y s e n t e r 指 令 和 x 6 4 系 统 上 的 H e a v e n ’ s   G a t e 技 术 使 用 直 接 系 统 调 用 来 模 糊 一 些 A P I 调 用 。 如 此 一 来 ， 恶 意 代 码 能 够 在 3 2 位 和 6 4 位 系 统 之 间 转 换 ， 导 致 一 些 调 试 器 和 防 病 毒 软 件 完 全 ” 错 过 “ 这 些 调 用 活 动 ， 只 要 攻 击 人 员 避 免 在 提 供 W O W 6 4 支 持 的 6 4 位 系 统 上 运 行 3 2 位 应 用 并 直 接 启 动 针 对 6 4 位 应 用 的 调 用 即 可 。 3 2 位 代 码 转 换 为 6 4 位 代 码 再 举 一 个 例 子 ， 安 全 研 究 人 员 发 现 传 播 该 恶 意 加 载 器 的 广 告 软 件 系 统 使 用 ” M a l s p a m 欺 诈 邮 件 ” 作 为 分 发 渠 道 ， 该 欺 诈 邮 件 攻 击 滥 用 M i c r o s o f t 公 式 编 辑 器 的 C V E - 2 0 1 7 - 1 1 8 8 2   M i c r o s o f t   O f f i c e 内 存 损 坏 远 程 执 行 代 码 漏 洞 。 恶 意 软 件 会 伪 装 成 使 用 M i c r o s o f t   W o r d 文 档 和 M i c r o s o f t   E x c e l 生 成 的 发 票 、 银 行 对 帐 单 和 其 他 相 关 文 档 ， 附 件 被 打 开 后 积 灰 从 攻 击 者 控 制 的 服 务 器 下 载 恶 意 软 件 加 载 器 。 此 类 攻 击 活 动 的 活 跃 度 越 来 越 高 ， 每 天 都 有 新 的 受 感 染 设 备 信 息 被 上 传 到 攻 击 者 控 制 的 服 务 器 。 * 参 考 来 源 ： 参 考 来 源 ： b l e e p i n g c o m p u t e r ， ， F r e d d y 编 译 整 理 ， 转 载 请 注 明 来 自 编 译 整 理 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理