Process Doppelgänging绕过大量杀软

显示全部楼层 · 发表于 2017-12-8 13:20:09

本帖最后由 B100D1E55 于 2017-12-9 23:17 编辑

值得讨论一下？因为最近比较忙就不翻译了。估计不久后Freebuf就会出中文解说了，欢迎楼下补充

https://www.bleepingcomputer.com ... l-windows-versions/
下图中均为被绕过的杀软：

文章提到的其他一些相关的非常规攻击姿势：
AtomBombing：http://bobao.360.cn/learning/detail/3148.html
GhostHook： http://www.freebuf.com/news/138216.html
PROPagate： http://www.freebuf.com/news/153041.html

里面不少漏洞是难以修复的，至于安软怎么针对性防御……估计看内核技术吧，而且有一些估计是没法简单拦截（今次的漏洞也难以被修复）不过这里面一些手段在具体使用的时候仍有一些局限性，也不用过分担心。只希望这些对技术要求较高的洞别被封装成wannacry那种工具，否则“流氓会武术，谁也挡不住”

总之，数字世界里就算部署铜墙铁壁也没有绝对的安全，震网LNK漏洞都在随后又复活了2次，还有什么不可能的

显示全部楼层 · 发表于 2017-12-8 13:26:21

本帖最后由驭龙于 2017-12-8 13:43 编辑

看原文以后，是之前是我多想了

显示全部楼层 · 发表于 2017-12-8 13:30:01

The good news and the bad news

The good news is that "there are a lot of technical challenges" in making Process Doppelgänging work, and attackers need to know "a lot of undocumented details on process creation."
The bad news is that the attack "cannot be patched since it exploits fundamental features and the core design of the process loading mechanism in Windows."

前世咯……希望不要太快有……针对漏洞的Ransomware出来……要不然……又死一大片。

显示全部楼层 · 发表于 2017-12-8 13:32:40

驭龙发表于 2017-12-8 13:26
没想到PPL技术的WD和ESET在win10上都被注入，哎，不知注入的是用户进程还是内核进程，如果是内核进程，那真 ...

如果是内核进程……不知道HIPS能不能锁住（保护住）文件……

硬盘里xx个GB的……图图……

显示全部楼层 · 发表于 2017-12-8 13:32:53

驭龙发表于 2017-12-8 13:26
没想到PPL技术的WD和ESET在win10上都被注入，哎，不知注入的是用户进程还是内核进程，如果是内核进程，那真 ...

原文貌似没有讲到注入杀软进程？只是将一个能被查杀的payload用这种方法注入的时候能绕过监控

显示全部楼层 · 发表于 2017-12-8 13:34:34

fireherman 发表于 2017-12-8 13:32
如果是内核进程……不知道HIPS能不能锁住（保护住）文件……

硬盘里xx个GB的……图图……
...

如果PPL技术都被过，基本上不用想别的能防住了，除非DG吗？那就不清楚了，文章没有提DG

显示全部楼层 · 发表于 2017-12-8 13:40:04

本帖最后由驭龙于 2017-12-8 13:42 编辑

B100D1E55 发表于 2017-12-8 13:32
原文貌似没有讲到注入杀软进程？只是将一个能被查杀的payload用这种方法注入的时候能绕过监控

之前没看原文，看你标题，误会了。

这种注入的话，不知能不能绕过ESET的新pico进程监控模式

显示全部楼层 · 发表于 2017-12-8 13:43:57

驭龙发表于 2017-12-8 13:40
之前没看原文，看你标题，误会了。

这种注入的话，不知能不能绕过ESET的新pico进程监控模 ...

哦你说那个ver154的更新？我估计是不行的，因为这个本身是fileless attack，当然宿主进程的file ops应该会被监控到

我只是好奇当注入后病毒代码运行syscall，会不会被AMS扫描到。如果是常规进程常规虚拟内存域，新页的代码调用syscall就会被扫描，这个是注入后的防御。当然如果神不知鬼不觉注入到被缓存的内存页，那估计也是大悲剧

显示全部楼层 · 发表于 2017-12-8 13:46:26

fireherman 发表于 2017-12-8 13:32
如果是内核进程……不知道HIPS能不能锁住（保护住）文件……

硬盘里xx个GB的……图图……
...

图图难道不是存在隔离网络的环境么

显示全部楼层 · 发表于 2017-12-8 13:47:02

B100D1E55 发表于 2017-12-8 13:43
哦你说那个ver154的更新？我估计是不行的，因为这个本身是fileless attack，当然宿主进程的file ops应该 ...

虽然部分杀软能抓到工具但还是会被绕过

[讨论] Process Doppelgänging绕过大量杀软

本帖子中包含更多资源

评分