记录一次紫狐Rootkit应急响应过程-CSDN博客

本文链接：https://blog.csdn.net/weixin_48421613/article/details/126367520

本文详细介绍了紫狐Rootkit的攻击过程，从网络钓鱼和漏洞利用开始，通过SMB协议进行内网传播，使用伪装的MSI安装文件进行恶意程序植入。Rootkit在系统中隐藏关键文件和登录凭据，实现持久化控制。通过对服务器日志的分析，揭示了攻击者如何通过NTLM爆破快速获取权限，并横向移动。最终，作者建议采取备份数据、重装系统和加强网络监控等措施应对此类威胁。

摘要由CSDN通过智能技术生成

前言：

受保密协议影响，此次仅介绍发现过程、思路、以及该Rootkit行为，以便大家后续的参考，此文章篇幅较长，建议大家穿好纸尿裤观看！

紫狐（Purple Fox）Rootkit概述

紫狐（Purple Fox）恶意软件，主要是通过网络钓鱼和漏洞利用工具包进行攻击，其攻击带有蠕虫特性，可在内网通过SMB协议，进行帐号、密码的暴力破解(体现于大量的NTLMSSP爆破)，之后将恶意程序植入这些电脑(远程下载恶意文件，已随机命名为结尾的png格式，实际为MSI安装文件)；

紧接着，这个恶意的MSI安装文件在安装的过程中，可以看到它会伪装成微软更新套件，并会显示为含有随机字母及简体中文介面的视窗，由于hash不同，很难进行关联排查，有较好的隐蔽性。

 而紫狐部署的最后一步，是载入MSI档里面的rootkit，执行目的是要隐藏多个登录秘钥、数值及文件等(会更改大量的DLL文件，用于后续的权限维持)，因此具有良好的隐蔽性和达到长期权限维持的一个效果。

一旦系统载入MSI档中的rootkit，安装程序随即就会命令受害者电脑进行重新开机的程序，目的是将恶意软件提供的DLL改为Windows操作系统的提供的DLL，然后在系统开机的过程中执行这些DLL，恶意软件也将跟着启动，随后开始散播，在此同时，恶意软件也会自动产生IP位址范围，并开始针对这些IP位址的445端口进行扫描，恶意软件会通过SMB暴力破解使用者的身份验证。一旦身份验证成功，将会建立新服务，就如同受害者电脑初期感染的状况(即安装恶意的MSI文件、重启电脑、继续向其他内网机器进行蔓延)。

标题紫狐Rootkit分析过程

某天，客户现场反馈，某服务器出现异常用户登录行为，由于该客户现场地处偏远地区不方便现场排查，便先以访谈的形式进行信息收集，主要收集了服务器的系统日志、开放的端口、正在运行的进程、用户组策略表、一些包括启动项、用户在内的注册表信息等等，当然了必不可少的就是网络拓扑图、服务器提供了哪些服务，但是客户不方便给，于是笔者在两眼一抹黑，也不知道这个服务器是干啥的，不知道有哪些安全设备的情况下就干了~

首先客户反馈了一张截图，该用户名为"qianye"，首先需要我们去看的其实就是在找这个用户的创建时间、他在这个时间段做了什么，但是不幸的是，运维人员第一时间就将该用户所有的相关信息全部删除了，包括用户文件夹~我只能说做得漂亮！

下图为客户反馈的截图，时间节点打厚码了，别问我为什么这么糊，因为我怀疑他们是用座机拍的
在这里插入图片描述