powershell攻击方法研究（翻译版）

powershell攻击方法研究

执行摘要

在创建恶意软件时，攻击者越来越多地利用已存在于target上的工具来攻击计算机，因为Microsoft PowerShell默认安装在Windows计算机上，它是一个理想的攻击工具链的候选项， 由于powershell使用较为灵活，并且检测更困难，因此被很多攻击者所喜爱。

PowerShell是一种功能强大的脚本语言和shell框架，主要用于管理Windows计算机。它已经存在了10多年，被许多系统管理员所使用，并且将来可能替换Windows上的默认命令提示符。PowerShell脚本经常用于合法的管理工作，然而，攻击者也会用它来开展攻击活动。在所有通过Blue Coat沙盒分析的PowerShell脚本中，有95.4%是恶意的。我们看到了许多最近使用PowerShell脚本的有针对性的攻击活动。例如，Odinaf集团在攻击全球金融机构时使用了恶意的PowerShell脚本。普通网络罪犯也在利用PowerShell，比如特洛伊木马攻击者使用框架来创建完全包含在注册表中的无文件感染。恶意PowerShell脚本主要用作下载程序，如Office宏入侵阶段。第二个最常见的用途是在横向运动阶段，允许在网络中传播时，在远程计算机上执行代码的威胁。PowerShell 可以直接在内存中下载和执行命令，这使得取证专家很难做到追踪感染情况。由于PowerShell的特性，此类恶意脚本很容易混淆，因此不可靠使用静态签名或共享文件哈希检测。我们的分析显示，目前许多攻击者混淆了他们的PowerShell威胁；只有8%的活跃威胁家族使用PowerShell时使用了模糊处理。有人可以说，他们不需要混淆他们的威胁

然而，太多的默默无闻可能会引起怀疑。超过55%的PowerShell脚本是从命令行执行的。Windows提供试图阻止恶意PowerShell