Nga haerenga o te Elusive Malvari, Wahanga I

Mā tēnei tuhinga ka tīmata mātou i tētahi raupapa tuhinga mō ngā pūmanawa kino e ngaro ana. Ko ngā kaupapa hacking kāore e waiho he tohu o tētahi whakaeke, e mōhiotia ana ko te kore kōnae, ka whakamahi i te PowerShell i ngā pūnaha. Windowski te whakahaere puku i ngā whakahau hei rapu me te tango i ngā ihirangi whai hua. He mahi uaua te kimi i ngā mahi a ngā kaipahua me te kore he kōnae kino, nā te mea ka whakawhirinaki ngā ārai huaketo me te maha atu o ngā pūnaha kimi ki te tātari waitohu. Engari ko te rongo pai kei te wātea tonu taua pūmanawa. Hei tauira, Nga punaha UBA, ka taea te kite i nga mahi kino i roto i nga punaha konae.

I te wa tuatahi i timata ahau ki te rangahau i te kaupapa o nga kaiwhai kino, kaua e whakamahi tikanga tuku iho mo te mate, engari ko nga taputapu me nga rorohiko e waatea ana i runga i te rorohiko o te patunga, kaore au i te mohio ka hohoro tonu tenei hei tikanga whakaeke rongonui. Ngaio Haumarutanga e ai ta ratoukei te haere tonu tenei ahua, a nga upoko tuhinga whakamataku - te whakapumautanga o tenei. Na reira, i whakatau ahau ki te hanga i etahi panui mo tenei kaupapa.

Te PowerShell Nui me te Kaha

Kua tuhia e au etahi o enei whakaaro i mua i roto He raupapa whakamohiotanga PowerShell, engari he nui ake i runga i te kaupapa ariā. I muri mai ka tutaki ahau paetukutuku mo te tātari ranu, ka kitea e koe nga tauira o te malware "i mau" i roto i te ngahere. I whakatau ahau ki te ngana ki te whakamahi i tenei pae ki te rapu tauira o te kino kore konae. A i angitu ahau. Ae ra, mena kei te pirangi koe ki te haere i runga i taau ake haerenga ki te hopu kino, me whakamana koe e tenei pae kia mohio ai koe kei te mahi koe hei tohunga potae ma. I te mea he blogger haumarutanga, i tukuna e ahau kaore he patai. E mohio ana ahau ka taea ano e koe.

I tua atu i nga tauira ake, i runga i te pae ka taea e koe te kite he aha enei kaupapa. Ka whakahaerehia e te tātari ranu te kino i roto i tana ake pouaka kirikiri me te aro turuki i nga waea a te punaha, te whakahaere i nga tukanga me te mahi whatunga, me te tango i nga aho kuputuhi hihira. Mo te rua me etahi atu konae ka taea te whakahaere, ara. te wahi e kore e taea e koe te titiro i te waehere taumata-tiketike tūturu, tātari ranu whakatau he kino te pūmanawa he tūpato noa i runga i tona mahi wā whakahaere. A, i muri i tera kua arotakehia te tauira.

I te take o PowerShell me etahi atu tauira tauira (Visual Basic, JavaScript, etc.), I taea e au te kite i te waehere ake. Hei tauira, i kite ahau i tenei tauira PowerShell:

Ka taea hoki e koe te whakahaere PowerShell i te whakawaehere base64 kia kore e kitea. Kia mahara ki te whakamahi i nga tawhā Noninteractive me te Huna.

Mena kua panuihia e koe aku panui mo te whakamaaramatanga, ka mohio koe ko te -e e tohu ana ko te ihirangi he base64 kua whakawaeheretia. Ma te ara, ka awhina ano te tātari ranu ki tenei ma te wetewete i nga mea katoa. Mena kei te pirangi koe ki te whakamatau i te wetewete i te base64 PowerShell (i muri nei ka kiia ko PS), me whakahaere koe i tenei whakahau:

 [System.Text.Encoding]::Unicode.GetString([System.Convert]::FromBase64String($EncodedText))

Haere hohonu

I wetewete ahau i ta maatau tuhinga PS ma te whakamahi i tenei tikanga, kei raro nei te tuhinga o te kaupapa, ahakoa he paku whakarereke e au:

Kia mahara kua herea te tuhinga ki te ra o Mahuru 4, 2017 me te tuku pihikete wātū.

I tuhituhi ahau mo tenei ahua o te whakaeke i roto Te raupapa obfuscation PS, kei te utaina te tuhinga whakawaehere base64 ngaro te kino mai i tetahi atu pae, ma te whakamahi i te ahanoa WebClient a te whare pukapuka .Net Framework ki te mahi i nga mahi taumaha.

Eaha te rave i te reira?

Mō ngā pūmanawa haumarutanga e matawai ana i ngā rangitaki huihuinga Windows he pareārai rānei, mā te whakawaehere base64 ka ārai i te aho "WebClient" kia kitea e tētahi tauira kuputuhi māmā, ā, mā reira ka tiakina mai i tētahi tono tukutuku pēnei. Ā, nā te mea ka tangohia katoatia te "kino" o te pūmanawa kino, ka tukuna ki tā mātou PowerShell, ka taea e tēnei huarahi te karo katoa i te kitenga. Heoi anō, koinei taku i whakaaro ai i te tuatahi.

Nā te whakahohenga o te takiuru takiuru matatau, kua kitea Windows PowerShell (tirohia taku tuhinga) ka taea e koe te kite i te rārangi kua utaina i roto i te rangitaki huihuinga. Ahau (pēnei i me etahi atu ) Ki taku whakaaro me whakahohe e Microsoft tēnei taumata takiuru mā te taunoa. Nō reira, me whakahohe te takiuru whānui, ka kite tātou i roto i te rangitaki huihuinga Windows I whakahaerehia te tono tango mai i te tuhinga PS e ai ki te tauira i kōrerohia i runga ake nei. Nō reira, he mea tika kia whakahohehia, tika?

Me taapiri etahi atu ahuatanga

Ka huna e nga kaiwhaiwhai nga whakaeke PowerShell ki nga tonotono Microsoft Office kua tuhia ki te Visual Basic me etahi atu reo tuhi. Ko te whakaaro ka whiwhi te kaipahua i tetahi karere, hei tauira mai i te ratonga tuku, me tetahi ripoata kua apitihia ki te whakatakotoranga .doc. Ka whakatuwhera koe i tenei tuhinga kei roto te tonotono, ka mutu ka whakarewahia te PowerShell kino.

I te nuinga o nga wa ka whakapouritia te tuhinga Visual Basic kia mawehe atu i te wheori me etahi atu matawai malware. I runga i te wairua o runga ake nei, i whakatau ahau ki te tohu i te PowerShell i runga ake nei ki JavaScript hei mahi. Kei raro nei nga hua o aku mahi:

Ko JavaScript kua huna e huna ana i to tatou PowerShell. Ko nga kaiwhaiwhai pono ka mahi kotahi, e rua ranei.

Ko tetahi atu tikanga tenei kua kite ahau e tere haere ana i te ipurangi: te whakamahi i te Wscript.Shell hei whakahaere i te PowerShell kua waehere. Ma te ara, ko JavaScript ano tikanga te tukunga o te pūmanawa kino. He maha ngā putanga Windows he mea kua whakauruhia Windows Kaihautū Hōtuhi, ka taea e ia te whakahaere JS.
I roto i tā mātou take, kua whakauruhia te tuhinga JS kino hei kōnae me te toronga .doc.js. Windows, ko te whakamutunga tuatahi anake e whakaaturia ana, nō reira ka puta mai hei tuhinga Word ki te tangata e pāngia ana.

Ko te tohu JS anake ka puta i te ata panuku. Ehara i te mea miharo he maha nga tangata ka whakatuwhera i tenei taapiri ki te whakaaro he tuhinga Word.

I taku tauira, i whakarereketia e ahau te PowerShell i runga ake nei hei tango i te tuhinga mai i taku paetukutuku. Ko te tuhinga PS mamao ka tuhi noa i "Evil Malware". Ka kite koe, ehara ia i te mea kino. Ko te tikanga, kei te pirangi nga kaiwhaiwhai pono ki te uru atu ki te pona, ki te tūmau ranei, me kii, ma te anga whakahau. I roto i te tuhinga e whai ake nei, ka whakaatu ahau ki a koe me pehea te mahi ma te whakamahi i te PowerShell Empire.

Ko taku tumanako mo te tuhinga whakataki tuatahi kaore matou i ruku hohonu ki te kaupapa. Inaianei ka tuku manawa ahau ki a koe, a ka timata tatou ki te titiro ki nga tauira pono o nga whakaeke ma te whakamahi i te malware kore konae kaore he kupu whakataki, he whakaritenga ranei.

Source: will.com