记录黑客技术中优秀的内容, 传播黑客文化,分享黑客技术精华

来自BlackHat的新姿势:Process Doppelgänging攻击技术与贴身防护

2018-01-09 03:05

0x00简述

2017欧洲黑帽大会(BlackhatEUROPE 2017)上,网络安全公司enSilo两名研究人员介绍了一种名为“Process Doppelgänging”的新型攻击。该攻击技术可以针对windows vista以上所有版本平台发起攻击,甚至可绕过大多数现代主流安全软件的检查,执行恶意程序。

此攻击技术披露后,360安全卫士主动防御体系进行了紧急升级,对Process Doppelgänging的诸如和进程创建等攻击行为进行了多维度拦截,完美破解了攻击的“反侦察”技术,为用户实现了贴身保护。

0x01攻击原理

微软从Windows Vista开始支持NTFS Transaction(TxF),最初的目的是用于文件升级和分布协同(Distributed Transaction Coordinator,DTC)等场景,可以回滚修改操作。Process Doppelgänging攻击利用TxF的可以回滚的特性,(1)先用恶意程序写覆盖白程序,(2)然后将覆盖后的文件加载到内存,(3)加载完成后回滚磁盘上的文件为写覆盖之前的文件,(4)最后利用(2)加载到内存中的Section创建进程,最终达到执行恶意程序并绕过杀软检查的目的。

0x02攻击过程

首先创建一个事务:

将白程序文件添加到这个事务:

用恶意程序覆盖:

加载到内存:

回滚事务:

最后利用内存中的Section创建进程:

0x03攻击效果

该攻击方式可以绕过国外主流防护软件。

0x04360安全卫士防御升级

360安全卫士针对此攻击方式,进行了防护强化,增加了多维度的保护,对攻击的注入和进程创建行为均进行拦截,保护用户电脑安全。

知识来源: www.mottoin.com/108559.html

阅读:96716 | 评论:0 | 标签:技术控

想收藏或者和大家分享这篇好文章→复制链接地址

“来自BlackHat的新姿势:Process Doppelgänging攻击技术与贴身防护”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

公告

关注公众号hackdig,学习最新黑客技术

推广

工具

标签云