Proofpoint研究人员正在跟踪地下市场上的远程访问木马(RAT),到目前为止,这只是一个小型的恶意电子邮件活动,发现者命名为“ParasiteHTTP”。然而,研究人员发现它的功能列表复杂而令人印象深刻,这引发了人们对它潜在攻击性的担忧。
暗网上恶意软件ParasiteHTTP的广告中写道:“ParasiteHTTP是一种专业编码的模块化远程管理工具,用于以C语言编写的Windows,除了操作系统本身之外没有依赖关系。存根大小约为49kb,支持插件,是远程控制大量计算机的完美解决方案。”广告宣传它可以绕过防火墙,可选的系统范围持久性和注入系统进程白名单等功能。而且,与合法软件一样,ParasiteHTTP包含用户管理方面,比如C2通信、备份、分析视图和活动统计信息的特色加密、带有验证码的安全登录页面、高级任务管理系统和密码恢复。它真正的亮点是沙箱检测、反调试、反仿真和其他保护,以逃避检测和分析。
研究者指出,威胁行为者和恶意软件作者不断创新,以逃避防御并提高感染率。ParasiteHTTP提供了许多用于避免沙箱检测和通过自动反恶意软件系统检测的最新技术示例。恶意软件在本质上也是模块化的,允许参与者在可用时添加新的功能,或者在感染后下载其他模块。
根据Proofpoint的说法,“RAT聚集”的垃圾邮件活动相当直接。它针对IT、医疗保健和零售行业,使用人力资源分发列表和Word文档附件,声称是简历和简历。打开后,文档使用武器化宏从远程站点获取ParasiteHTTP。研究人员认为,虽然攻击媒介很常见,但是安全社区应该注意ParasiteHTTP。他们写道:“对于消费者,组织和维护者来说,这代表持续恶意软件军备竞赛的最新升级,甚至延伸到了商品恶意软件。虽然我们目前只在一个小型广告系列中观察过ParasiteHTTP,但我们希望看到Parasite中使用的功能继续传播到其他恶意软件变体中。”
最先进的逃避技术
研究人员详细介绍了几种ParasiteHTTP最有趣的逃避属性:混淆的字符串、通过睡眠操纵的沙箱逃避、使用Github的研究员代码进行沙箱检测等。
当提到到混淆的代码字符串时,ParasiteHTTP包含四个例程,前面是一个6字节的标头。每种类型的字符串,ASCII或Unicode,一个变体留下混淆的字符串,并返回一个动态分配,去混淆的字符串版本。另一个变体使用VirtualProtect对字符串进行混淆处理,在执行反混淆后将XOR键设置为0,这有效地在将来访问字符串时跳过了去混淆。
ParasiteHTTP还使用睡眠例程来延迟执行并检查沙箱或模拟。它以10毫秒的间隔睡眠,同时通过检查时间的流逝并且不干扰其自身的断点指令处理来检测沙箱环境。研究人员解释说:“沙盒检查程序……检查是否在900毫秒到两秒之间以响应该程序的一秒睡眠,并将其分为10ms增量。使用类似[Github]中可用的代码的沙箱,会与这个特殊的沙箱检查发生冲突。”
ParasiteHTTP从Github调整代码以适应其自身的沙箱检测目的。该代码逐字复制,API分辨率被自己的内部代码替换,打印文件被删除,并随机生成文件和环境变量名称。同时,当ParasiteHTTP确实检测到沙箱时,它不会产生任何可能使研究人员感到意外的举动。它不会简单地退出或抛出错误,而是让研究人员难以确定恶意软件无法正常运行和崩溃的原因。ParasiteHTTP以一种聪明的方式使用沙箱检测,试图使用跳过分配的缓冲区,从而导致以后的崩溃。
同时,ParasiteHTTP通过使用DLL重映射技术隐藏行为注入等行为来解析某些关键API。在初始过程中,ParasiteHTTP通过从磁盘读取它们并将每个导出函数的前五个字节与内存中当前映射版本中存在的函数进行比较来删除上述DLL上的挂钩。这让它的活动难以被察觉。
“尽管这种技术在实现上很‘幼稚’,没有使用任何指令解码器并将其自身限制在五个硬编码字节,但它在实践中是有效的。映射NTDLL的新副本有效地为它提供了一个副本,没有放在初始NTDLL映射上的任何钩子,使得它的线程注入和注册表修改甚至连接实现对大多数用户不可见。此外,由于这种映射是通过NtOpenSection和NtMapViewOfSection完成的,因此它不会涉及对该技术的其他变体使用典型的文件系统API的调用实现相同的目标。”
最后,它使用来自GitHub的附加代码,对关键函数中的断点进行了模糊检查。此功能仅用于在一个位置检查恶意软件中调用沙箱检测的单个功能。值得注意的是,这种技术对于任意代码来说是天真和不可靠的,因为无意的0xcc字节可以通过特定的指令编码、本地堆栈帧偏移、相对引用、间接地址或直接常量来实现。
本文由黑客视界综合网络整理,图片源自网络;转载请注明“转自黑客视界”,并附上链接。
相关下载 |
《守望先锋2》将于4月27日开启PVP模式Beta测试,届时玩家将能体验新游戏模式“机动推进”、新英雄“索杰恩”以及4张全新地图。今详情>>
NaVi的二当家electroNic在IEM卡托维兹新闻发布会中讲述自己成为一名年轻父亲的感受,他表示在参加各类比赛与线下训练时需要长期离开家庭,对家人的担心与思念或多或少的会详情>>
原标题:原神:风行迷踪复杂攻略 原神:风行迷踪复杂攻略 作者:NGA-小小王制造者 一句话镇楼:三莫娜是最难的。 下面给出各地图难度排名及分析: No.1 无详情>>
《光环》游戏改编的电视剧可以说是备受期待的,此前曾有片场照曝光,场景非常还原。近日,《光环》跨媒体总监Kiki Wolfkill分享了一些处于长期制作中的《光详情>>
liquipedia的审核员hesketh2,同时也是一位游戏资讯推主,他发推示意:PGI.S是我正在Wiki上报导过的最复杂的事情(太复杂了)!PGI.S今朝也是PUBG有史以来详情>>
一、复杂现实与游戏未来 人类不断地在探索与发现中认识世界,我们都想从充满复杂性的混沌当中寻找基本的普世规律,然而我们在微观尺度上找到了个体所遵循的基本规则,却又无详情>>
*本文编译自 IGN US 相关内容。 2020 年在大多数人们的记忆中都是最具挑战性的一年。受全球疫情的影响,2020 东京奥运会推迟到明年举办。自 1996 年创办以来的东京电玩详情>>
原标题:《妙先生》没那么复杂,可以看成是环保片,没有买卖就没有丁果 《妙先生》从细节,到故事情节的发展很棒,人物塑造也很棒 这电影本来就是解决拯救详情>>
迷你世界:最后一个可能有点复杂但是我们通关啦详情>>
迷你世界跑酷:清水挑战仁者跑酷,复杂的道路绕晕了清水!详情>>
表白失败了,哎,感情啊!真复杂详情>>
随着系统规模的增长,通过量子化学方程进行建模的计算复杂度也在迅速增加,因为这会导致量子变量的数学和统计量呈指数级缩放。对于现代的经典计算机平台而言,想要在量子化详情>>
《妙先生》这部动画电影在院线上映一周之后,便选择了线上放映,相信无论是喜欢《大护法》,还是喜欢一些有深度的动漫的人都已经看过了这部称为《大护法》姐妹篇的动画电影。详情>>
创造与魔法中玩家不仅可以自由生存和抓捕宠物,在自由模式中,玩家甚至可以建造属于玩家自己的房子,当然每个房子更加建筑复杂度的不同都有不同的解锁列表,不少玩家还不清楚新版的详情>>
随着阴阳师中的式神越出越多,许多当年的热门式神都变成了无人问津的仓管式神,如果是细心的玩家就不难发现,现在的仓管式神不是伤害低、慢热就是技能详情>>
原标题:迷你世界开发者日志:对于新手来讲,游戏最重要的是可玩性而不是复杂性 或许每个玩家心中都有着一个想要与人分享的世界,都有着把这个世界用游戏详情>>
在《The art of unix programming》中,复杂度的控制被看的非常的重,里面一句话提到编程项目的核心就是对于复杂度的控制,以及simple原则其实也在讲这个事情详情>>
开发者介绍ATGM的复杂性 Q “弹药超荷”这个装备能增加30%的炮弹飞行速度的是否能对ATGM弹种适用? 是的。 Q 能不能解释一下ATGM的导弹加速原详情>>
兄弟姐妹 反目成仇与并肩作战兄弟→我们一直都知道,内瑟斯和雷克顿是兄弟,但是剧情的情况直到塔莉垭推出以及恕瑞玛背景故事放出我们才知道了为何两个亲兄弟会不同种族并且反详情>>
根据最近GameInformer对FromSoftware工作室负责人宫崎英高的采访,他似乎对《恶魔之魂》重制没有太大兴趣,不过如果有合适的工作室有意重制他也不会反对。 “这种情况有点详情>>
每个MMO游戏都少不了有各种各样复杂的培养线,看着自己的能力一点点提升也是游戏中非常大的乐趣之一。蜀门手游中也少不了有各类培养线,如何合理分配有限的... 详情>>
新手表示无所适从。由网友游戏风轻扬提供的观点:对于LOL目前的符文系统而言,无疑是加强了许多。然而却有人在网络上发声,强烈要求LOL回调,太复杂不想玩什么什么的。不过却忽视了LOL的成长史,一个游详情>>
在远古DOTA1时代,就有很多玩家喜欢将英雄按照属性分类,比如冰系的冰女、冰魂、巫妖、冰龙等,电系的宙斯详情>>
小编为您搜罗的答案:战棋类游戏操作简单但系统庞大而又复杂追问系统里面主要有些什么东西?太复杂的话,我不考虑了详情>>
CF手游 跳跳乐将推出最复杂的地图详情>>
小编为您搜罗的答案:剩下2年合同就应该签合同了!!详情>>
星挖宝,结果遇到了5个男鬼,心情复杂详情>>
小编为您搜罗的答案:当然没有复杂,按键大多没有改变,详情>>
小编为您搜罗的答案:在现今社会是环境改变了人而不是人去改变环境.详情>>
荒野行动:地形最复杂的决赛圈,有比这还复杂的算我输详情>>
小编为您搜罗的答案:王者荣耀和英雄联盟不是一种类型的游戏,操作手法一样吗?其实需要你自己去人机里面练习,练习个100盘左右,我就不相信你掌握不了,除非你真的是不想玩这个游戏。小编为您搜罗的答案:多玩辅详情>>
不会再复杂了 就这样游戏详情>>
小编为您搜罗的答案:其实,很明确的讲,我也不清楚为什么有的人那么复杂,他们说我是个长不大的孩子,我的哥哥曾经说过任何人对你好都是有目的的,我原来的时候不相信,或许是不想相信吧,如果真的是这个样子的话,详情>>
小编为您搜罗的答案:深藏不露、大智若愚、内秀于心、胸有城府;自己的主张想法不轻易流露,属于有城府、有注意能成大事的那种人。小编为您搜罗的答案:就是内心很纠结很矛盾,到底要不要做这件事呢还是不做呢小编为详情>>
最近,一个国外的调查报告显示,27%的玩家在购买游戏时都因为支付过程太冗长而直接放弃购买了!没想到支付过程的快慢居然对游戏的销量也有这样的影响,速度详情>>
根据Trigger原创动画《斩服少女》改变的动作游戏《斩服少女异布》近期又有更多操作细节流出。本作操作简单,无特殊指令技能,即使动作苦手的玩家也能通过滑动摇杆与按键操作使出组合技。冲刺、走步、详情>>
我发现有些dotaer连基本的语言理解能力都没有,就会杠,那我给你解释好,碾碎了喂。用两个例子举例。对于详情>>
对于毒奶粉这个游戏来讲,会有很多的玩家去吐槽这个游戏,毕竟这个游戏确实比较坑,但是还是有很多玩家喜欢这样详情>>