来自BlackHat的新姿势：Process Doppelgänging攻击技术与贴身防护

2018-01-09 16:14:27 来源：互联网抢沙发

2018-01-09 16:14:27 来源：互联网

摘要：2017欧洲黑帽大会(Blackhat EUROPE 2017)上，网络安全公司enSilo两名研究人员介绍了一种名为“Process Doppelg?nging”的新型攻击。
关键词： BlackHa

　　0x00简述

　　2017欧洲黑帽大会(Blackhat EUROPE 2017)上，网络安全公司enSilo两名研究人员介绍了一种名为“Process Doppelg?nging”的新型攻击。该攻击技术可以针对windows vista以上所有版本平台发起攻击，甚至可绕过大多数现代主流安全软件的检查，执行恶意程序。

　　此攻击技术披露后，360安全卫士主动防御体系进行了紧急升级，对Process Doppelg?nging的诸如和进程创建等攻击行为进行了多维度拦截，完美破解了攻击的“反侦察”技术，为用户实现了贴身保护。

　　0x01攻击原理

　　微软从Windows Vista开始支持NTFS Transaction(TxF)，最初的目的是用于文件升级和分布协同(Distributed Transaction Coordinator，DTC)等场景，可以回滚修改操作。Process Doppelg?nging攻击利用TxF的可以回滚的特性，(1)先用恶意程序写覆盖白程序，(2)然后将覆盖后的文件加载到内存，(3)加载完成后回滚磁盘上的文件为写覆盖之前的文件，(4)最后利用(2)加载到内存中的Section创建进程，最终达到执行恶意程序并绕过杀软检查的目的。

　　0x02攻击过程

　　首先创建一个事务：

　　将白程序文件添加到这个事务：

　　用恶意程序覆盖：

　　加载到内存：

　　回滚事务：

　　最后利用内存中的Section创建进程：

　　0x03攻击效果

　　该攻击方式可以绕过国外主流防护软件。

　　0x04 360安全卫士防御升级

　　360安全卫士针对此攻击方式，进行了防护强化，增加了多维度的保护，对攻击的注入和进程创建行为均进行拦截，保护用户电脑安全。

第四十一届CIO班招生
国际CIO认证培训
首席数据官（CDO）认证培训

责编：chenjian

免责声明：本网站（http://www.ciotimes.com/）内容主要来自原创、合作媒体供稿和第三方投稿，凡在本网站出现的信息，均仅供参考。本网站将尽力确保所提供信息的准确性及可靠性，但不保证有关资料的准确性及可靠性，读者在使用前请进一步核实，并对任何自主决定的行为负责。本网站对有关资料所引致的错误、不确或遗漏，概不负任何法律责任。
本网站刊载的所有内容（包括但不仅限文字、图片、LOGO、音频、视频、软件、程序等）版权归原作者所有。任何单位或个人认为本网站中的内容可能涉嫌侵犯其知识产权或存在不实内容时，请及时通知本站，予以删除。