Авантурите на неостварливиот Малвари, дел I

Со оваа статија започнуваме серија публикации за неостварлив малициозен софтвер. Програмите за хакирање без датотеки, исто така познати како програми за хакирање без датотеки, обично користат PowerShell на Windows системите за тивко да извршуваат команди за пребарување и извлекување вредна содржина. Откривањето на хакерската активност без малициозни датотеки е тешка задача, бидејќи... антивирусите и многу други системи за откривање работат врз основа на анализа на потпис. Но, добрата вест е дека таков софтвер навистина постои. На пример, UBA системи, способен да открие злонамерна активност во датотечните системи.

Кога првпат почнав да ја истражувам темата за лошите хакери, некористење традиционални методи на инфекција, но само алатките и софтверот достапни на компјутерот на жртвата, немав поим дека ова наскоро ќе стане популарен метод на напад. Професионалци за безбедност велат тиедека ова станува тренд, и застрашувачки наслови на написите - потврда за ова. Затоа, решив да направам серија публикации на оваа тема.

Големата и моќна PowerShell

Сум пишувал за некои од овие идеи претходно во PowerShell серија за замаглување, но повеќе врз основа на теоретски концепт. Подоцна наидов веб-страница за хибридна анализа, каде што можете да најдете примероци од малициозен софтвер „фатен“ во дивината. Решив да се обидам да ја користам оваа страница за да најдам примероци од малициозен софтвер без датотеки. И успеав. Патем, ако сакате да одите на своја експедиција за лов на малициозен софтвер, ќе мора да ве потврди оваа страница за да знаат дека ја вршите работата како специјалист за бела капа. Како безбедносен блогер го поминав без прашање. Сигурен сум дека и вие можете.

Покрај самите примероци, на страницата можете да видите што прават овие програми. Хибридната анализа извршува малициозен софтвер во сопственото песочно поле и ги следи системските повици, извршувањето на процесите и мрежната активност и извлекува сомнителни текстуални низи. За бинарни и други извршни датотеки, т.е. каде што не можете ни да го погледнете вистинскиот код на високо ниво, хибридната анализа одлучува дали софтверот е злонамерен или само сомнителен врз основа на неговата активност за време на траење. И после тоа примерокот е веќе оценет.

Во случај на PowerShell и други примероци на скрипти (Visual Basic, JavaScript, итн.), Успеав да го видам самиот код. На пример, наидов на овој пример на PowerShell:

Можете исто така да го стартувате PowerShell во кодирање base64 за да избегнете откривање. Забележете ја употребата на неинтерактивни и скриени параметри.

Ако сте ги прочитале моите објави за замаглување, тогаш знаете дека опцијата -e одредува дека содржината е кодирана во base64. Патем, хибридната анализа исто така помага во ова со декодирање на сè назад. Ако сакате сами да се обидете да го декодирате base64 PowerShell (во понатамошниот текст PS), треба да ја извршите оваа команда:

 [System.Text.Encoding]::Unicode.GetString([System.Convert]::FromBase64String($EncodedText))

Одете подлабоко

Ја декодирав нашата PS скрипта користејќи го овој метод, подолу е текстот на програмата, иако малку изменет од мене:

Забележете дека скриптата беше поврзана со датумот 4 септември 2017 година и пренесе колачиња за сесија.

За овој стил на напад пишував во Серија за замаглување PS, во која се вчитува самата база на шифрирана скрипта исчезнати малициозен софтвер од друга локација, користејќи го објектот WebClient на библиотеката .Net Framework за да се справите со тешките работи.

Што да направам?

За безбедносен софтвер кој ги скенира дневниците за настани или заштитните ѕидови на Windows, кодирањето base64 спречува стрингот „WebClient“ да биде откриен со обичен текстуален шаблон за заштита од поднесување такво веб-барање. И бидејќи целото „зло“ на малициозниот софтвер потоа се презема и се пренесува во нашиот PowerShell, овој пристап ни овозможува целосно да избегнеме откривање. Или подобро кажано, така мислев на почетокот.

Излегува дека со овозможено Напредно логирање на Windows PowerShell (видете ја мојата статија), ќе можете да ја видите вчитаната линија во дневникот на настани. јас сум како и други ) Мислам дека Microsoft треба стандардно да го овозможи ова ниво на евиденција. Затоа, со овозможено продолжено најавување, ќе видиме во дневникот за настани на Windows завршено барање за преземање од скрипта PS според примерот што го разгледавме погоре. Затоа, има смисла да го активирате, не се согласувате?

Да додадеме дополнителни сценарија

Хакерите вешто ги кријат нападите на PowerShell во макроата на Microsoft Office напишани на Visual Basic и други јазици за скриптирање. Идејата е жртвата да добие порака, на пример од услуга за испорака, со приложен извештај во формат .doc. Го отворате овој документ што го содржи макрото и тој завршува со лансирање на самиот злонамерен PowerShell.

Честопати самата скрипта на Visual Basic е замаглена, така што слободно избегнува антивирусни и други скенери за малициозен софтвер. Во духот на горенаведеното, решив да го кодирам горенаведеното PowerShell во JavaScript како вежба. Подолу се резултатите од мојата работа:

Заматен JavaScript го крие нашиот PowerShell. Вистинските хакери го прават ова еднаш или двапати.

Ова е уште една техника што сум ја видел како лебди низ мрежата: користење на Wscript.Shell за извршување на кодираниот PowerShell. Патем, самиот JavaScript е значи испорака на малициозен софтвер. Многу верзии на Windows имаат вградено Домаќин на скрипта за Windows, кој самиот може да работи JS.
Во нашиот случај, злонамерната JS скрипта е вградена како датотека со наставката .doc.js. Windows обично ќе ја прикаже само првата наставка, па на жртвата ќе и се појави како Word документ.

Иконата JS се појавува само во иконата за лизгање. Не е изненадувачки што многу луѓе ќе го отворат овој прилог мислејќи дека е Word документ.

Во мојот пример, го изменив PowerShell погоре за да ја преземете скриптата од мојата веб-страница. Далечинскиот PS скрипта само печати „Evil Malware“. Како што можете да видите, тој воопшто не е злобен. Се разбира, вистинските хакери се заинтересирани да добијат пристап до лаптоп или сервер, да речеме, преку командна школка. Во следната статија, ќе ви покажам како да го направите ова користејќи PowerShell Empire.

Се надевам дека за првата воведна статија не навлеговме премногу длабоко во темата. Сега ќе ви дозволам да земете здив, а следниот пат ќе почнеме да гледаме вистински примери на напади со користење на малициозен софтвер без датотеки без никакви непотребни воведни зборови или подготовки.

Извор: www.habr.com