DAY34 持久化/隱匿型惡意程式/DLL

• 一. 持久化 Persistence
  • 1-1 Windows登錄檔 Registry
  • 1-2 啟動設定
• 二. 動態連結程式庫DLL
  • 2-1 DLL側載 Sideloading
• 三. 隱匿型惡意程式 Rootkit

一. 持久化 Persistence

簡單假設:
今天攻擊者成功

電腦A執行，惡意程式

但當使用者重新開機後

惡意程式不見了

這樣攻擊者下一次就必須重新再入侵一次

而持久化就是:
攻擊者必須想辦法做到

第一次成功入侵後
留下某種自動啟動或長期存取機制

這樣當使用者重新開機後

惡意程式又自動出現

這就是持久化Persistence的概念

簡單來說就是:
攻擊者在成功攻擊後，怎麼留下來
例如:設定自動啟動機制

1-1 Windows登錄檔 Registry

Windows用來保存大量系統與應用程式設定的資料庫

通常會有:

• 系統設定
• 使用者設定
• 軟體設定
• 啟動設定
• 服務設定

1-2 啟動設定

使用者登入或系統進入特定啟動階段時，自動執行某些程式

Run
是Windows登錄檔中的其中一個位置，放在裡面的程式會在使用者登入時自動啟動
但它在自動啟動時，並不會管程式是惡意程式還是合法程式

所以假設這個機制被攻擊者濫用
攻擊者取得系統存取後->
把惡意程式加入Run自動啟動設定中->
每當使用者重新開機-> 系統自動啟動惡意程式

RunOnce

與Run相同只是它只會執行一次，執行完後Windows會自動把該項目刪除

IPAS 115-1 Q21
駭客成功入侵一台 Windows 系統後，將惡意程式加入「登錄檔的啟動機制（Run/RunOnce）」中，讓惡意程式在每次系統啟動時自動執行。上述的內容主要屬於下列何種入侵手法？
B: 系統後門與持久化

二. 動態連結程式庫DLL

很多程式都需要做一些相同的事情，
例如顯示視窗、讀寫檔案、連網路
開發者把
這些程式共用功能，打包成dll檔

DLL的好處:

• 節省記憶體和硬碟空間，不用每一個程式都有相同的重複的程式碼
• 更新功能方便，改一個dll檔就好不用所有程式都改一遍

所以:
DLL可以被程式載入，並且提供它們需要的功能

2-1 DLL側載 Sideloading

程式在載入DLL來使用共用功能時有一個機制
通常會先從自己所在的資料夾開始找

這時攻擊者就可以利用這個機制

把一個惡意DLL放在合法程式所在的資料夾
檔名與原本要載入的DLL一樣
程式啟動時，合法程式先找到惡意的DLL檔案，並且執行了它

合法程式->載入惡意DLL檔案

IPAS 115-1 Q22
關於動態連結程式庫側載（DLL Sideloading）攻擊的概念，下列何項說明最為適切？
D :攻擊者透過應用程式在載入DLL時的搜尋順序漏洞，將惡意版本置於優先路徑並取代合法版本以便執行

三. 隱匿型惡意程式 Rootkit

一般的惡意程式，可能可以在工作管理員找到可疑的程序，或在資料夾找到可疑的檔案，或被防毒軟體偵測到
但Rootkit 不同，它直接修改作業系統的核心功能，讓系統看不見

案例:

2005年 SONY BMG Rootkit
它們擔心消費者用電腦把音樂CD複製成盜版
所以決定在CD裡偷偷加入防拷軟體
把CD放入電腦後，軟體會自動安裝到你的Windows電腦上
它做了:

• 限制你複製音樂的次數和裝置
• 回傳你的聽歌習慣給SonyBMG
• 用Rootkit技術隱藏自己

IPAS 115-1 Q45
在資通安全事件處理的「根除階段」，若評估受感染系統存在高隱匿性惡意程式（如 Rootkit），且無法確保能完全清除潛伏之殘留威脅時，下列何者為較安全的處置方式？
B: 採回存方式，從乾淨備份還原或全新安裝系統

DAY14的事件應變

如果懷疑高權限Rootkit感染
應該直接從乾淨的備份或全新安裝系統

因為
Rootkit已經修改了作業系統的核心，你電腦上用的工具可能都被騙了(防毒軟體，工作管理員)，你用被騙的系統去檢查自己是沒用的