《安全研究》利用微软自带Certutil命令ByPassAV上传C2

「已注销」

已于 2023-11-05 00:08:34 修改

阅读量245

点赞数

分类专栏：安全研究文章标签：安全

于 2023-11-03 22:03:16 首次发布

本文链接：https://blog.csdn.net/qq_45170890/article/details/134211585

版权

本文介绍了攻击者如何利用Windows系统内置的Certutil工具，通过加密exe木马为txt格式，绕过杀软和文件类型限制，再通过文件切割与拼接，最终解密恢复C2木马的详细步骤。这一过程展示了Certutil在恶意活动中可能被滥用的手段。

摘要由CSDN通过智能技术生成

Certutil是什么

Certutil.exe是Windows操作系统中的合法程序，主要用于管理证书相关操作。它提供了转储和显示证书颁发机构（CA）的配置信息、配置证书服务、备份和还原CA组件，以及验证证书、密钥对和证书链等功能，然而，由于其功能强大，很多攻击者滥用Certutil.exe程序将其用于攻击辅助，常用于远程下载，但不知道它还能加密解密本地文件（不会报毒，可以用来ByPassAV）

PS C:\Users\Administrator> Certutil -?

动词:
  -dump             -- 转储配置信息或文件
  -dumpPFX          -- 转储 PFX 结构
  -asn              -- 分析 ASN.1 文件

  -decodehex        -- 解码十六进制编码的文件
  -decode           -- 解码 Base64 编码的文件
  -encode           -- 将文件编码为 Base64

  -deny             -- 拒绝挂起的申请
  -resubmit         -- 重新提交挂起的申请
  -setattributes    -- 为挂起申请设置属性
  -setextension     -- 为挂起申请设置扩展
  -revoke           -- 吊销证书
  -isvalid          -- 显示当前证书部署

  -getconfig        -- 获取默认配置字符串
  -ping             -- Ping Active Directory 证书服务申请接口
  -pingadmin        -- Ping Active Directory 证书服务管理接口
  -CAInfo           -- 显示 CA 信息
  -ca.cert          -- 检索 CA 的证书
  -ca.chain         -- 检索 CA 的证书链
  -GetCRL           -- 获取 CRL
  -CRL              -- 发布新的 CRL [或仅增量 CRL]
  -shutdown         -- 关闭 Active Directory 证书服务

  -installCert      -- 安装证书颁发机构证书
  -renewCert        -- 续订证书颁发机构证书

  -schema           -- 转储证书架构
  -view             -- 转储证书视图
  -db