Приключенията на неуловимия Малвари, част I

С тази статия започваме поредица от публикации за неуловим зловреден софтуер. Хакерските програми, които не оставят следа от атака, известни също като безфайлови („безплътни“, невидими, безфайлови), обикновено използват PowerShell на Windows системи, за да изпълняват тайно команди за търсене и извличане на ценно съдържание. Откриването на хакерска активност без злонамерени файлове е трудна задача. антивирусите и много други системи за откриване работят на базата на сигнатурен анализ. Но добрата новина е, че такъв софтуер съществува. Например, САБ системи, способен да открива злонамерена дейност във файловите системи.

Когато за първи път започнах да научавам за готини хакери, неизползване на традиционни методи за заразяване, а само инструментите и софтуера, налични на компютъра на жертвата, нямах представа, че това скоро ще стане популярен метод за атака. Професионалисти по сигурността говорятче това се превръща в тенденция и зловещи заглавия на статии - потвърждение на това. Затова реших да направя поредица от публикации по тази тема.

Великият и ужасен PowerShell

Писал съм за някои от тези идеи преди в Серия обфускация на PowerShell, но повече от теоретична гледна точка. По-късно се натъкнах сайт за хибриден анализ, където можете да намерите проби от зловреден софтуер, „уловен“ в дивата природа. Реших да опитам да използвам този сайт, за да намеря примери за зловреден софтуер без файлове. И успях. Между другото, ако искате да отидете на своя собствена експедиция за надушване на злонамерен софтуер, ще трябва да се консултирате с този сайт, за да ги уведомите, че вършите бяла шапка. Като блогър, който пише за сигурност, го преминах без въпроси. Сигурен съм, че и ти можеш.

Освен самите мостри, на сайта можете да видите какво правят тези програми. Хибридният анализ изпълнява злонамерен софтуер в собствената си пясъчна среда и следи системните повиквания, изпълняваните процеси и мрежовите дейности и извлича подозрителни текстови низове. За двоични файлове и други изпълними файлове, т.е. когато дори не можете да погледнете действителния код на високо ниво, хибридният анализ решава дали софтуерът е злонамерен или просто подозрителен въз основа на неговата активност по време на изпълнение. И след това пробата вече е оценена.

В случай на PowerShell и други примерни скриптове (Visual Basic, JavaScript и т.н.), успях да видя самия код. Например попаднах на този екземпляр на PowerShell:

Можете също да стартирате base64 кодиран PowerShell, за да избегнете откриване. Забележете използването на опциите Неинтерактивен и Скрит.

Ако сте чели моите публикации за обфускация, тогава знаете, че опцията -e показва, че съдържанието е кодирано base64. Между другото, хибридният анализ също помага за това, декодира всичко обратно. Ако искате да опитате сами да декодирате base64 PowerShell (наричан по-долу - PS), трябва да изпълните тази команда:

 [System.Text.Encoding]::Unicode.GetString([System.Convert]::FromBase64String($EncodedText))

задълбочи се

Декодирах нашия PS скрипт, използвайки този метод, по-долу е текстът на програмата, макар и леко модифициран от мен:

Обърнете внимание, че скриптът беше настроен на 4 септември 2017 г. и предаваше сесийни бисквитки.

Писах за този стил на атака в обфускация серия PS, в който се зарежда самият кодиран с base64 скрипт липсва зловреден софтуер от друг сайт, като използва обекта WebClient от библиотеката .Net Framework, за да свърши цялата тежка работа.

Какво прави той?

За софтуер за сигурност, който сканира регистрационни файлове на събития на Windows или защитна стена, кодирането base64 предотвратява откриването на низа „WebClient“ от обикновен текстов модел, за да се предпази от отправяне на такава уеб заявка. И тъй като целият „зъл“ злонамерен софтуер след това се изтегля и предава на нашия PowerShell, този подход ни позволява напълно да избегнем откриването. Всъщност това си помислих в началото.

Оказва се, че с активирано разширено регистриране на Windows PowerShell (вижте моята статия), ще можете да видите заредения низ в регистъра на събитията. аз съм като друг ) Мисля, че Microsoft трябва да активира това ниво на регистриране по подразбиране. Следователно, с активирано разширено регистриране, ще видим в регистъра на събитията на Windows завършената заявка за изтегляне от PS скрипта според примера, който анализирахме по-горе. Следователно има смисъл да го активирате, съгласни ли сте?

Добавяне на още скриптове

Хакерите умело скриват атака на PowerShell в макроси на Microsoft Office, написани на Visual Basic и други скриптови езици. Идеята е жертвата да получи съобщение, например от служба за доставка, с прикачен доклад във формат .doc. Отваряте този документ, който съдържа макроса, и в крайна сметка той изпълнява самия злонамерен PowerShell.

Често самият скрипт на Visual Basic е обфускиран, така че свободно да избягва антивируси и други скенери за зловреден софтуер. В духа на горното, реших като упражнение да кодирам горния PowerShell в JavaScript. По-долу са резултатите от моята работа:

Объркан JavaScript, скриващ нашия PowerShell. Истинските хакери го правят веднъж или два пъти.

Това е друга техника, която срещнах в мрежата: използване на Wscript.Shell за стартиране на кодиран PowerShell. Между другото, самият JavaScript е такъв средства доставка на зловреден софтуер. Много версии на Windows имат вграден Windows Script домакин, който сам по себе си може да изпълнява JS.
В нашия случай злонамереният JS скрипт е вложен като .doc.js файл. Windows обикновено показва само първия суфикс, така че той ще се показва като Word документ на жертвата.

Иконата JS се показва само в иконата за превъртане. Не е изненадващо, че много хора ще отворят този прикачен файл, мислейки, че е документ на Word.

В моя пример модифицирах PowerShell по-горе, за да изтегля скрипта от моя уебсайт. Премахнатият PS скрипт просто отпечатва "Evil Malware". Както можете да видите, той изобщо не е зъл. Разбира се, истинските хакери се интересуват от получаване на достъп до лаптоп или сървър, да речем, чрез командна обвивка. В следващата статия ще ви покажа как да направите това с помощта на PowerShell Empire.

Надявам се, че за първата уводна статия не сме се гмурнали твърде дълбоко в темата. Сега ще ви оставя да си поемете въздух и следващия път ще започнем да анализираме реални примери за атаки, използващи злонамерен софтуер без файлове, без излишни въведения и подготовка.

Източник: www.habr.com