来自BlackHat的新姿势：Process Doppelgänging攻击技术与贴身防护
简述2017欧洲黑帽大会（Blackhat EUROPE 2017）上，网络安全公司enSilo两名研究人员介绍了一种名为“Process Doppelgänging”的新型攻击。该攻击技术可以针对windows vista以上所有版本平台发起攻击，甚至可绕过大多数现代主流安全软件的检查，执行恶意程此攻击技术披露后，360安全卫士主动防御体系进行了紧急升级，对Process Doppelgänging的诸如和进程创建等攻击行为进行了多维度拦截，完美破解了攻击的“反侦察”技术，为用户实现了贴身保护。http://ss.csdn.net/p?http://mmbiz.qpic.cn/mmbiz_png/3xxicXNlTXLicFoNTK2X7HTe8rQuZkjGBt1HILkeXW1iaSum9KI04ulianTRrhnRBpqn41IribVv7a2qmOze3cM8JwA/640?wx_fmt=png&wxfrom=5&wx_lazy=1攻击原理微软从Windows Vista开始支持NTFS Transaction（TxF），最初的目的是用于文件升级和分布协同（Distributed Transaction Coordinator，DTC)等场景，可以回滚修改操作。Process Doppelgänging攻击利用TxF的可以回滚的特性，（1）先用恶意程序写覆盖白程序，（2）然后将覆盖后的文件加载到内存，（3）加载完成后回滚磁盘上的文件为写覆盖之前的文件，（4）最后利用（2）加载到内存中的Section创建进程，最终达到执行恶意程序并绕过杀软检查的目的。
攻击过程
首先创建一个事务：
http://ss.csdn.net/p?http://mmbiz.qpic.cn/mmbiz_png/3xxicXNlTXLicFoNTK2X7HTe8rQuZkjGBtjEwmiaSTv03B6cnlG9xme4UDE5a6eTZjic96rJYUY8oRfCrRdZ5fE6nA/0?wx_fmt=png图2
将白程序文件添加到这个事务：
http://ss.csdn.net/p?http://mmbiz.qpic.cn/mmbiz_png/3xxicXNlTXLicFoNTK2X7HTe8rQuZkjGBtellF1aqHL7iaYy8999tiaLzkwD3qiamJOmEEPp6SZibv2jf0y7V7cHvlrg/0?wx_fmt=png图3
用恶意程序覆盖：
http://ss.csdn.net/p?http://mmbiz.qpic.cn/mmbiz_png/3xxicXNlTXLicFoNTK2X7HTe8rQuZkjGBtBtvWGlTkLUkic6AHmhMm7suAaNFIXribHibJOpVPb1FibGX5HgH2ibsHVGQ/0?wx_fmt=png图4
加载到内存：
http://ss.csdn.net/p?http://mmbiz.qpic.cn/mmbiz_png/3xxicXNlTXLicFoNTK2X7HTe8rQuZkjGBtcIuSiaHvbMDJZSuWow1xuJ1ZUDs3ZbtbZHkcwibicOZMic1UEcgVM85Hdg/0?wx_fmt=png图5
回滚事务：
http://ss.csdn.net/p?http://mmbiz.qpic.cn/mmbiz_png/3xxicXNlTXLicFoNTK2X7HTe8rQuZkjGBt7YfDJQJ0F9iaSzMpPR7nJ0aExicDgHLhW7j1Lf9jKxNm1DnsiaU7ccDlQ/0?wx_fmt=png图6
最后利用内存中的Section创建进程：
http://ss.csdn.net/p?http://mmbiz.qpic.cn/mmbiz_png/3xxicXNlTXLicFoNTK2X7HTe8rQuZkjGBtWw5oCrib5K3KcR8tmGr043efwJ7eGficVbV7duDkuIWplzVPhC4sHmiaA/0?wx_fmt=png图7
攻击效果
该攻击方式可以绕过国外主流防护软件。
http://ss.csdn.net/p?http://mmbiz.qpic.cn/mmbiz_png/3xxicXNlTXLicFoNTK2X7HTe8rQuZkjGBtiaGC6ViaicB0XiavaK14o42UY7VIfNwLk7FsibPTZ812dvvu364xtCbDPEQ/0?wx_fmt=png图8
360安全卫士防御升级
360安全卫士针对此攻击方式，进行了防护强化，增加了多维度的保护，对攻击的注入和进程创建行为均进行拦截，保护用户电脑安全。
http://ss.csdn.net/p?http://mmbiz.qpic.cn/mmbiz_png/3xxicXNlTXLicFoNTK2X7HTe8rQuZkjGBtdATjy43g9khVWzAAu98ibRlzdibGDmLtutQy2VHL7ibQlCWicvF825K1bQ/0?wx_fmt=png图 9
http://ss.csdn.net/p?http://mmbiz.qpic.cn/mmbiz_png/3xxicXNlTXLicFoNTK2X7HTe8rQuZkjGBtlxXs7HH8watydc8acdAiaN9wSAAhbp9b93HvhuMYSYD3PTRCJUxaMmw/0?wx_fmt=png
页:
[1]