포착하기 어려운 악성코드의 모험 XNUMX부

이 기사를 통해 파악하기 어려운 악성 코드에 대한 일련의 간행물을 시작합니다. 파일 없는 해킹 프로그램이라고도 하는 파일 없는 해킹 프로그램은 일반적으로 Windows 시스템에서 PowerShell을 사용하여 자동으로 명령을 실행하여 중요한 콘텐츠를 검색하고 추출합니다. 악성 파일 없이 해커 활동을 탐지하는 것은 어려운 작업입니다. 바이러스 백신 및 기타 여러 탐지 시스템은 서명 분석을 기반으로 작동합니다. 그러나 좋은 소식은 그러한 소프트웨어가 존재한다는 것입니다. 예를 들어, UBA 시스템, 파일 시스템에서 악의적인 활동을 탐지할 수 있습니다.

제가 처음으로 나쁜 해커라는 주제로 연구를 시작했을 때, 전통적인 감염 방법을 사용하지 않음, 그러나 피해자의 컴퓨터에서 사용할 수 있는 도구와 소프트웨어만 있었기 때문에 이것이 곧 대중적인 공격 방법이 될 것이라고는 전혀 몰랐습니다. 보안 전문가 говорят이것이 추세가 되고 있다는 것과 무서운 기사 헤드라인 - 이에 대한 확인. 그래서 나는 이 주제에 관한 일련의 출판물을 만들기로 결정했습니다.

위대하고 강력한 PowerShell

나는 이전에 이러한 아이디어 중 일부에 관해 글을 쓴 적이 있습니다. PowerShell 난독화 시리즈, 그러나 이론적인 개념에 더 기초를 두고 있습니다. 나중에 우연히 만났는데 하이브리드 분석을 위한 웹사이트, 여기서는 야생에서 "발견된" 악성 코드 샘플을 찾을 수 있습니다. 저는 파일리스 악성 코드 샘플을 찾기 위해 이 사이트를 사용해 보기로 결정했습니다. 그리고 나는 성공했습니다. 그건 그렇고, 당신이 자신만의 맬웨어 사냥 탐험을 하고 싶다면 이 사이트에서 확인을 받아야 당신이 화이트 해커 전문가로서 작업을 하고 있다는 것을 알 수 있습니다. 보안 블로거인 저는 이 문제를 아무런 의심 없이 통과했습니다. 나는 당신도 할 수 있다고 확신합니다.

샘플 자체 외에도 사이트에서 이러한 프로그램의 기능을 확인할 수 있습니다. 하이브리드 분석은 자체 샌드박스에서 악성코드를 실행하고 시스템 호출, 실행 프로세스 및 네트워크 활동을 모니터링하고 의심스러운 텍스트 문자열을 추출합니다. 바이너리 및 기타 실행 파일의 경우, 즉 실제 상위 수준 코드를 볼 수도 없는 경우 하이브리드 분석은 런타임 활동을 기반으로 소프트웨어가 악성인지 의심스러운지 여부를 결정합니다. 그 후에 샘플은 이미 평가되었습니다.

파워셸이나 기타 샘플 스크립트(비주얼 베이직, 자바스크립트 등)의 경우 코드 자체를 볼 수 있었다. 예를 들어 다음 PowerShell 인스턴스를 발견했습니다.

감지를 피하기 위해 base64 인코딩으로 PowerShell을 실행할 수도 있습니다. Noninteractive 및 Hidden 매개변수의 사용에 유의하세요.

난독화에 대한 내 게시물을 읽었다면 -e 옵션이 콘텐츠가 base64로 인코딩되도록 지정한다는 것을 알고 계실 것입니다. 그건 그렇고, 하이브리드 분석도 모든 것을 다시 디코딩하여 이를 수행하는 데 도움이 됩니다. base64 PowerShell(이하 PS라고 함)을 직접 디코딩하려면 다음 명령을 실행해야 합니다.

 [System.Text.Encoding]::Unicode.GetString([System.Convert]::FromBase64String($EncodedText))

더 깊이 들어가세요

나는 이 방법을 사용하여 PS 스크립트를 디코딩했습니다. 아래는 제가 약간 수정했지만 프로그램의 텍스트입니다.

스크립트는 4년 2017월 XNUMX일 날짜와 연결되어 세션 쿠키를 전송했습니다.

나는 이 공격 스타일에 대해 다음과 같이 썼습니다. PS 난독화 시리즈, base64로 인코딩된 스크립트 자체가 로드됩니다. 없어진 .Net Framework 라이브러리의 WebClient 개체를 사용하여 다른 사이트의 악성 코드를 제거합니다.

어떤 거지?

Windows 이벤트 로그 또는 방화벽을 검색하는 보안 소프트웨어의 경우 base64 인코딩은 "WebClient" 문자열이 일반 텍스트 패턴으로 감지되지 않도록 방지하여 이러한 웹 요청을 방지합니다. 그리고 맬웨어의 모든 "악"이 다운로드되어 PowerShell로 전달되므로 이 접근 방식을 사용하면 탐지를 완전히 피할 수 있습니다. 아니면 처음에는 그렇게 생각했습니다.

Windows PowerShell 고급 로깅이 활성화되면(내 문서 참조) 이벤트 로그에서 로드된 줄을 볼 수 있습니다. 나는 ~ 같다 다른 ) 저는 Microsoft가 기본적으로 이 수준의 로깅을 활성화해야 한다고 생각합니다. 따라서 확장 로깅이 활성화되면 위에서 설명한 예에 따라 PS 스크립트에서 완료된 다운로드 요청이 Windows 이벤트 로그에 표시됩니다. 그러므로 활성화하는 것이 합리적입니다. 동의하지 않습니까?

추가 시나리오를 추가해 보겠습니다.

해커는 Visual Basic 및 기타 스크립팅 언어로 작성된 Microsoft Office 매크로에 PowerShell 공격을 교묘하게 숨깁니다. 피해자는 예를 들어 배달 서비스로부터 .doc 형식의 보고서가 첨부된 메시지를 받는다는 개념입니다. 매크로가 포함된 이 문서를 열면 악성 PowerShell 자체가 실행됩니다.

종종 Visual Basic 스크립트 자체가 난독화되어 바이러스 백신 및 기타 맬웨어 스캐너를 자유롭게 피할 수 있습니다. 위의 정신에 맞춰 위의 PowerShell을 JavaScript로 코딩해 보기로 했습니다. 내 작업 결과는 다음과 같습니다.

PowerShell을 숨기는 난독화된 JavaScript. 실제 해커는 이런 일을 한두 번 합니다.

이것은 제가 웹에서 본 또 다른 기술입니다. Wscript.Shell을 사용하여 코딩된 PowerShell을 실행하는 것입니다. 그런데 JavaScript 자체는 방법 악성코드 전달. 많은 Windows 버전에는 기본 제공되는 Windows 스크립트 호스트, 자체적으로 JS를 실행할 수 있습니다.
우리의 경우 악성 JS 스크립트가 .doc.js 확장자를 가진 파일로 포함되어 있습니다. Windows는 일반적으로 첫 번째 접미사만 표시하므로 피해자에게는 Word 문서로 표시됩니다.

JS 아이콘은 스크롤 아이콘에만 나타납니다. 많은 사람들이 이 첨부 파일을 Word 문서라고 생각하여 여는 것은 놀라운 일이 아닙니다.

내 예에서는 위의 PowerShell을 수정하여 웹 사이트에서 스크립트를 다운로드했습니다. 원격 PS 스크립트는 "Evil Malware"만 인쇄합니다. 보시다시피 그는 전혀 악하지 않습니다. 물론 실제 해커는 명령 셸 등을 통해 랩톱이나 서버에 액세스하는 데 관심이 있습니다. 다음 기사에서는 PowerShell Empire를 사용하여 이 작업을 수행하는 방법을 보여 드리겠습니다.

첫 번째 소개 기사에서는 주제에 대해 너무 깊이 다루지 않았기를 바랍니다. 이제 잠시 쉬시고 다음번에는 불필요한 소개나 준비 없이 파일리스 악성코드를 이용한 공격의 실제 사례를 살펴보겠습니다.

출처 : habr.com