搜索

[475] 2016-07-01_揭秘基于注册表隐藏的无文件攻击

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-16
2016-07-01_揭秘基于注册表隐藏的无文件攻击 揭 秘 基 于 注 册 表 隐 藏 的 无 文 件 攻 击 X J   A r k T e a m   2 0 1 6 - 0 7 - 0 1 发 展 发 展 一 直 以 来 ， 文 件 是 恶 意 代 码 存 在 的 最 常 见 形 式 ， 安 全 软 件 也 通 常 把 磁 盘 上 的 文 件 作 为 重 点 检 测 对 象 。 然 而 ， 一 旦 恶 意 代 码 以 无 文 件 形 式 存 储 在 系 统 中 ， 便 难 以 对 其 追 踪 。 早 在 十 几 年 前 ， 红 色 代 码 、 S l a m m e r 蠕 虫 就 利 用 缓 冲 区 溢 出 进 行 攻 击 ， 通 过 网 络 传 播 ， 完 全 存 在 于 内 存 之 中 ， 而 不 以 文 件 作 为 载 体 。 不 过 ， 这 种 基 于 内 存 的 无 文 件 （ F i l e l e s s ） 攻 击 一 旦 进 程 或 系 统 关 闭 ， 也 就 不 复 存 在 。 为 了 实 现 攻 击 持 久 化 ， 攻 击 者 们 找 到 新 的 突 破 口 — — 将 恶 意 软 件 实 体 隐 藏 在 注 册 表 的 某 个 键 值 里 将 恶 意 软 件 实 体 隐 藏 在 注 册 表 的 某 个 键 值 里 ， 并 通 过 各 种 加 密 手 段 ， 来 逃 脱 安 全 软 件 的 查 杀 。 最 早 使 用 该 技 术 的 是 2 0 1 4 年 G D a t a 公 司 发 现 的 点 击 欺 诈 软 件 P o w e l i k s 。 随 后 ， 多 款 恶 意 程 序 甚 至 A P T 组 织 使 用 这 种 无 文 件 持 久 化 攻 击 技 术 。 攻 击 流 程 攻 击 流 程
1 、 初 始 样 本 执 行 、 初 始 样 本 执 行 当 初 始 样 本 通 过 钓 鱼 邮 件 、 漏 洞 或 其 他 方 式 感 染 系 统 后 ， 就 会 在 W i n d o w s 注 册 表 配 置 单 元 中 以 加 密 形 式 写 入 完 整 的 负 载 ， 为 无 实 体 恶 意 代 码 执 行 做 准 备 。 2 、 无 实 体 恶 意 代 码 注 册 表 执 行 、 无 实 体 恶 意 代 码 注 册 表 执 行 通 常 ， 恶 意 代 码 被 创 建 为 几 个 注 册 表 子 键 ， 每 个 键 值 中 会 分 别 存 储 脚 本 代 码 或 者 二 进 制 数 据 ， 自 启 动 后 ， 通 过 层 层 解 密 ， 最 终 执 行 核 心 代 码 。 a )   第 一 阶 段 键 值 第 一 阶 段 键 值 A u t o - S t a r t 系 统 启 动 后 会 自 动 读 取 某 些 特 殊 的 键 值 ， 这 就 为 恶 意 代 码 自 启 动 创 造 了 条 件 。 一 般 通 过 在 r u n d l l 3 2 . e x e 里 运 行 R u n H T M L A p p l i c a t i o n 来 执 行 一 段 J S 脚 本 。 引 申 来 看 ， 任 何 能 加 载 M S H T M L 模 块 都 是 潜 在 的 利 用 对 象 。 详
细 了 解 该 原 理 可 以 参 考 链 接 [ 1 ] 。 b ） 第 二 阶 段 键 值 ） 第 二 阶 段 键 值 L o a d e r 第 一 阶 段 的 代 码 会 用 来 解 密 并 执 行 第 二 阶 段 的 数 据 。 在 调 研 的 几 个 案 例 中 ， 第 二 阶 段 的 数 据 通 常 会 是 一 段 加 密 脚 本 ， 例 如 P o w e r S h e l l 、 V B S c r i p t 等 ， 这 里 主 要 是 为 了 执 行 第 三 阶 段 的 数 据 。 　 　 c ） 第 三 阶 段 键 值 ） 第 三 阶 段 键 值 B i n a r y 第 三 阶 段 的 键 值 通 常 用 来 存 储 P a y l o a d s 。 通 过 阶 段 二 的 脚 本 命 令 来 将 其 注 入 到 系 统 合 法 进 程 之 中 ， 实 现 无 进 程 S h e l l C o d e 执 行 。 当 然 ， 并 不 是 所 有 的 无 文 件 恶 意 软 件 都 是 按 照 三 个 阶 段 执 行 ， 像 P o w e l i k s 则 是 将 二 、 三 阶 段 的 数 据 存 放 在 一 个 子 键 中 ， 通 过 P o w e r S h e l l 脚 本 解 密 并 执 行 对 应 模 块 的 数 据 ， 其 基 本 原 理 和 目 的 是 一 致 的 。 一 旦 恶 意 代 码 被 注 入 内 存 之 中 ， 就 会 按 照 攻 击 者 最 初 的 设 计 来 实 施 恶 意 行 为 ， 比 如 连 接 控 制 服 务 器 、 收 集 主 机 信 息 、 接 受 命 令 执 行 其 他 操 作 等 。 代 码 隐 藏 代 码 隐 藏 存 储 在 注 册 表 中 的 脚 本 和 数 据 经 过 了 精 心 的 加 密 隐 藏 ， 以 达 到 让 安 全 软 件 和 用 户 不 可 见 的 目 的 。 a )   撤 销 访 问 权 限 撤 销 访 问 权 限 ： 在 访 问 控 制 列 表 （ A C L ） 中 撤 销 用 户 对 注 册 表 访 问 权 限 。 b )   添 加 无 效 字 符 ： 添 加 无 效 字 符 ： 利 用 W i n d o w s 注 册 表 编 辑 器 无 法 显 示 包 含 无 效 字 符 的 注 册 表 键 ， 在 注 册 表 键 值 中 写 入 一 个 或 多 个 无 效 字 符 ， 用 户 访 问 时 会 显 示 错 误 消 息 。 结 束 语 结 束 语 基 于 注 册 表 的 无 文 件 攻 击 利 用 操 作 系 统 特 性 来 达 到 数 据 隐 藏 的 意 图 ， 并 将 恶 意 程 序 运 行 在 合 法 进 程 之
中 ， 这 种 方 式 能 让 基 于 文 件 监 测 的 查 杀 手 段 失 效 ， 为 此 安 全 厂 商 们 也 积 极 做 出 响 应 ， 然 而 随 着 技 术 的 进 一 步 发 展 ， 恶 意 代 码 的 隐 藏 方 式 很 可 能 并 不 只 局 限 于 W i n d o w s 注 册 表 。 攻 防 对 抗 ， 永 无 止 境 。 参 考 参 考 [ 1 ] h t t p s : / / t h i s i s s e c u r i t y . n e t / 2 0 1 4 / 0 8 / 2 0 / p o w e l i k s - c o m m a n d - l i n e - c o n f u s i o n /   [ 2 ] h t t p s : / / w w w . v i r u s b u l l e t i n . c o m / u p l o a d s / p d f / c o n f e r e n c e _ s l i d e s / 2 0 1 5 / R i v e r a I n o c e n c i o - V B 2 0 1 5 . p d f [ 3 ] h t t p : / / w w w . m c a f e e . c o m / k r / r e s o u r c e s / r e p o r t s / r p - q u a r t e r l y - t h r e a t s - n o v - 2 0 1 5 . p d f [ 4 ] h t t p : / / w w w . v x j u m p . n e t / f i l e s / s e c u r i t y _ r e s e a r c h / p e r s i s t e n c e _ a t t a c k i n g . p d f 更 多 精 彩 内 容 ， 请 关 注 ： 1 .   A r k T e a m 官 方 微 信 官 方 微 信 — 公 众 账 号 名 称 ： A r k T e a m 2 .   A r k T e a m 官 方 微 博 ： 官 方 微 博 ： 昵 称 ： A r k T e a m 网 址 ： h t t p : / / w w w . w e i b o . c o m / a r k t e a m 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理