黑基网 首页 IT教程 安全攻防 查看内容

Process Doppelgänging:绕过杀软检测的新技术

2017-12-9 01:18| 投稿: lofor |来自: 互联网

摘要: 今天在Black Hat欧洲2017大会上,两名来自enSilo公司的安全研究员介绍了一种新的代码注入技术,他们命名为“Process Doppelgänging”。这种新的攻击方式对所有windows平台都有效,并且能够攻击主流的安全产品。 ...

今天在Black Hat欧洲2017大会上,两名来自enSilo公司的安全研究员介绍了一种新的代码注入技术,他们命名为“Process Doppelgänging”。

这种新的攻击方式对所有windows平台都有效,并且能够攻击主流的安全产品。

Doppelgänging利用两种特性来掩盖加载修改版可执行文件的过程。通过使用NTFS,我们可以在不写入硬盘的情况下修改可执行文件。这样的结果就是我们可以为修改版的可执行文件建立进程,而杀毒软件的安全机制检测不到。

攻击大部分杀毒软件

研究人员表示恶意代码会利用Process Doppelgänging方式

研究人员成功在卡巴斯基、比特梵德、ESET、赛门铁克、McAfeee、Windows Defender、AVG、Avast、奇虎360和Panda上测试通过。更加高级的取证工具比如Volatility也检测不了。

研究人员利用Process Doppelgänging方法运行Mimikatz,但是没有被检测出来。

无文件攻击

“攻击的目的是让恶意软件在正常软件的进程中执行任意代码。”

“这种方法很像进程中空技术,但是更加高级。我们可以在没有可以进程和内存操作(如SuspendProcess和NtUnmapViewOfSection)的情况下实现。”

“为了达到目标我们得利用NTFS transactions,然后覆盖正规的文件。然后从修改后的文件中创建进程。在NTFS transaction的过程中好像不能扫描文件,这就解释了那些杀毒软件为什么检测不到,之后我们再回滚transaction,也就没有痕迹了。”

对于安全产品来说,好像没什么问题,因为恶意进程看起来是合法的,并且会正确地映射到磁盘上的映像文件,就像任何正常进程一样。过程中不会有“未映射的代码”,这往往是安全产品寻找的。

好消息和坏消息

好消息是,在使用技术时“存在很多技术挑战”,攻击者需要知道很多细节。

坏消息是,攻击“由于利用Windows的进程加载机制的基本特征和核心设计,所以不能修复”。

Process Doppelgienging现在加入了去年发现的新攻击方法列表(如Atom Bombing,GhostHook和Propagate),这些攻击方法很难被杀毒软件中检测和修复。

关于ProcessDoppelgänging的研究材料将在接下来的几天内在Black Hat网站上发布。

*参考来源:BleepingComputers,转载注明来自FreeBuf.COM

小编推荐:欲学习电脑技术、系统维护、网络管理、编程开发和安全攻防等高端IT技术,请 点击这里 注册黑基账号,公开课频道价值万元IT培训教程免费学,让您少走弯路、事半功倍,好工作升职加薪!



免责声明:本文由投稿者转载自互联网,版权归原作者所有,文中所述不代表本站观点,若有侵权或转载等不当之处请联系我们处理,让我们一起为维护良好的互联网秩序而努力!联系方式见网站首页右下角。


鲜花

握手
1

雷人

路过

鸡蛋

刚表态过的朋友 (1 人)

相关阅读

发表评论

最新评论

引用 游客 2018-4-13 21:35
<a href="http://www.japansocietyofboston.org/merry_en/nike-air-max-95-ns-dallas-cowboys">nike air max 95 ns dallas cowboys</a>,<a href="http://www.floridasanta.org/merry_en/nike-total-air-foamposite-max-tim-duncan">nike total air foamposite max tim duncan</a>
[url=http://www.acoffeeforadream.org/merry_en/nike-air-force-1-07-lv8-kaufen]nike air force 1 07 lv8 kaufen[/url]
引用 游客 2018-4-12 04:54
<a href="http://www.venusbluejeans.com/merry_en/adidas-nmd-runner-pink-grey">adidas nmd runner pink grey</a>,<a href="http://www.theclearmindcenterofbouldercolorado.com/merry_en/nike-lebron-soldier-9-oregon-ducks">nike lebron soldier 9 oregon ducks</a>
[url=http://www.trcservers.com/merry_en/adidas-stan-smith-brown]adidas stan smith brown[/url]
引用 游客 2018-4-3 21:48
<a href="http://www.vahomesforsalebyowner.com/merry_en/nike-kaishi-coral-park">nike kaishi coral park</a>,<a href="http://www.unityofannarbor.com/merry_en/nike-air-max-90-womens-gold-black">nike air max 90 womens gold black</a>
[url=http://www.yummysmiles.com/merry_en/nike-free-rn-yellow]nike free rn yellow[/url]
引用 游客 2018-2-10 05:48
<a href="http://www.terraplanagemitapeva.com/merry_en/womens-nike-air-force-1-orange-green">womens nike air force 1 orange green</a>,<a href="http://www.thebusinessjoyologist.com/merry_en/nike-air-max-black-leather-sneakers">nike air max black leather sneakers</a>
[url=http://www.theideasweb.com/merry_en/air-jordan-eclipse-grey]air jordan eclipse grey[/url]
引用 游客 2018-1-31 03:17
<a href="http://www.mamyyo.com/">mamyyo</a>, <a href="http://www.sanremese.com/">sanremese</a>,
[url=http://www.whenwewereyoungandunafraid.com/]whenwewereyoungandunafraid[/url]
引用 游客 2018-1-29 22:57
<a href="http://www.uraniumail.com/merry_en/nike-air-max-2013-camo">nike air max 2013 camo</a>,<a href="http://www.zephandeal.com/merry_en/nike-flyknit-roshe-run-black-midnight-ride">nike flyknit roshe run black midnight ride</a>
[url=http://www.webaudioconference.com/merry_en/air-max-90-olive]air max 90 olive[/url]
引用 游客 2018-1-6 17:34
<a href="http://www.shepvill.com/">shepvill</a>, <a href="http://www.mcswealth.com/">mcswealth</a>,
[url=http://www.samzakharoff.com/]samzakharoff[/url]
引用 游客 2018-1-6 14:59
<a href="http://www.inspiredorganizationalcultures.com/merry_en/nike-air-max-90-red-hyperfuse">nike air max 90 red hyperfuse</a>,<a href="http://www.energystarloghomes.org/merry_en/reebok-jetfuse-black-blue">reebok jetfuse black blue</a>
[url=http://www.braincancercoach.org/merry_en/womens-nike-kyrie-2-gold-red]womens nike kyrie 2 gold red[/url]
引用 游客 2018-1-5 04:17
<a href="http://www.justjammerz.com/">justjammerz</a>, <a href="http://www.personalized-kids-books.com/">personalized-kids-books</a>,
[url=http://www.gatess.net/]gatess[/url]
引用 游客 2018-1-4 11:43
<a href="http://www.laguegolfgazon.com/">laguegolfgazon</a>, <a href="http://www.next-itsolutions.com/">next-itsolutions</a>,
[url=http://www.romacounsellingservices.com/]romacounsellingservices[/url]
引用 游客 2018-1-3 13:20
<a href="http://www.walesbandb.com/merry_en/salomon-fellraiser-noir-bright-rouge-autobahn-quebec">salomon fellraiser noir bright rouge autobahn quebec</a>,<a href="http://www.woodycreekcaucus.com/merry_en/nike-cortez-grey">nike cortez grey</a>
[url=http://www.veterinariansmd.com/merry_en/kobe-10-volleyball-shoes]kobe 10 volleyball shoes[/url]
引用 游客 2018-1-3 08:37
<a href="http://www.usdish.net/nike-hyperdunk-2015-pink-merry_en">nike hyperdunk 2015 pink</a>,<a href="http://www.guaraniacu.net/nike-dunk-high-black-merry_en">nike dunk high black</a>
nike lunarglide 5 dynamic support http://www.acrylland.net/nike-lunarglide-5-dynamic-support-merry_en
引用 游客 2018-1-3 04:50
<a href="http://www.lavylites-france.com/">lavylites-france</a>, <a href="http://www.kilthire-nz.com/">kilthire-nz</a>,
[url=http://www.qconmedia.com/]qconmedia[/url]
引用 游客 2018-1-3 02:21
<a href="http://www.somanoetics.com/nike-air-max-ltd-3-mens-athletic-sneaker-merry_en">nike air max ltd 3 mens athletic sneaker</a>,<a href="http://www.scskydiving.com/nike-sb-blazer-mid-lr-black-dark-grey-merry_en">nike sb blazer mid lr black dark grey</a>
[url=http://www.mbadealdesk.com/nike-kobe-womens-basketball-shoes-merry_en]nike kobe womens basketball shoes[/url]
引用 游客 2018-1-3 01:58
<a href="http://www.kbnihouston.com/">kbnihouston</a>, <a href="http://www.johnmilleratcruisesinc.com/">johnmilleratcruisesinc</a>,
[url=http://www.mattchboxmedia.com/]mattchboxmedia[/url]
引用 游客 2018-1-2 06:55
<a href="http://www.scanninginvoices.com/">scanninginvoices</a>, <a href="http://www.socialsecurityattorneywaycross.com/">socialsecurityattorneywaycross</a>,
[url=http://www.mysleepphysician.com/]mysleepphysician[/url]
引用 游客 2018-1-2 02:06
<a href="http://www.ky-ba-lion.com/">ky-ba-lion</a>, <a href="http://www.smoquebbc.com/">smoquebbc</a>,
[url=http://www.sideprojectapp.com/]sideprojectapp[/url]
引用 游客 2018-1-1 22:13
<a href="http://www.windowcleansouthern.com/merry_en/nike-flyknit-racer-black-white-on-feet">nike flyknit racer black white on feet</a>,<a href="http://www.thepeterlorimergroup.com/merry_en/supra-skytop-red">supra skytop red</a>
[url=http://www.urbanpaelladubai.com/merry_en/womens-nike-kyrie-2-grey-gold]womens nike kyrie 2 grey gold[/url]
引用 游客 2018-1-1 03:38
<a href="http://www.boulderinsightsangha.org/merry_en/nike-air-max-blue-jeans">nike air max blue jeans</a>,<a href="http://www.iconhoteljacksonville.com/merry_en/nike-hypershift-red-white">nike hypershift red white</a>
[url=http://www.walkforalifetime.org/merry_en/nike-air-max-tn-white]nike air max tn white[/url]
引用 游客 2017-12-31 20:51
<a href="http://www.vureetech.com/merry_en/nike-internationalist-mid-dark-ash">nike internationalist mid dark ash</a>,<a href="http://www.ultimate-design-brief.com/merry_en/nike-free-run-2-black-green">nike free run 2 black green</a>
[url=http://www.townaides.com/merry_en/nike-cortez-basic-nylon-blue]nike cortez basic nylon blue[/url]

查看全部评论(56)


新出炉

返回顶部