AhnLab安全月刊

Size: px

Start display at page:

Download "AhnLab安全月刊"

埋法
4 years ago
Views:

1 Vol. 48 PowerShell 恶意软件

基于 PowerShell 的恶意软件分析解密传播勒索软件的 PowerShell 恶意软件今年出现了大量的利用 PowerShell 传播勒索软件的恶意软件 PowerShell 是一个强大的命令行工具, 是微软公司为 Windows 环境开发的脚本语言技术,Windows Vista 以后版本默认内置 PowerShell PowerShell 的强大功能给用户方便的同时,

2 基于 PowerShell 的恶意软件分析解密传播勒索软件的 PowerShell 恶意软件今年出现了大量的利用 PowerShell 传播勒索软件的恶意软件 PowerShell 是一个强大的命令行工具, 是微软公司为 Windows 环境开发的脚本语言技术,Windows Vista 以后版本默认内置 PowerShell PowerShell 的强大功能给用户方便的同时, 也成为了企业的安全隐患攻击者开始转向利用 PowerShell 制作恶意软件目前, 利用 PowerShell 制作的恶意软件主要用在下载恶意代码到用户系统但是仅利用 PowerShell 也可以制作任何功能的恶意软件这种利用 PowerShell 的恶意软件不仅数量在增加, 而且还会出现多样攻击方式的恶意软件, 加重了用户面临的安全威胁本文将仔细介绍恶意软件制作者如何利用 PowerShell 制作恶意软件并传播 Windows PowerShell 是一种命令行外壳程序和脚本环境, 使命令行用户和脚本编写者可以利用.NET Framework 的强大功能 PowerShell 以.NET Framework 为平台, 接收和返回.NET 对象, 此举为管理和配置微软系统带来了新的方法和工具年正式公开, 并默认内置在 Windows Vista 以后的版本另外,PowerShell 与 Windows 管理规范 WMI(Windows Management Instrumentation) 运作很好图 1 PowerShell 运行界面 1 来自百度百科 gjn7igjx8gc4dyputw1viqiwcebjzqx9dsoqx7kd4bfwynpf8p-5m0cprx-lto2ekn75c_ 2

3 利用 PowerShell 的恶意软件的出现有关利用 PowerShell 的主要恶意软件的时间轴如图 2 所示 [ 图 2] 利用 PowerShell 的恶意软件时间轴在了解 PowerShell 恶意软件之前, 先来看一下类似 PowerShell 恶意软件的 Batch 病毒宏病毒和脚本形式的恶意软件 1993 年出现了升级的 Batch 病毒 1994 年宏病毒出现以后,1995 年开始扩散真正的 VB 脚本 (Visual Basic Script) 最初出现于 1998 年 2000 年 5 月,Loveletter 病毒袭击全世界以后, 类似的脚本恶意软件大量出现但是, 微软公司从 Office 2000 以后基本限制了宏功能, 此后宏病毒迅速消失, 脚本恶意软件也呈现缓和状态微软公司以新的脚本语言开发为目标,2004 年发表了项目名为 Monad 的 Microsoft Shell(MSH) 当时, 有些安全研究员对于新的脚本的出现表示忧虑, 恶意软件制作者则制作了证明其概念的恶意软件 2006 年, 微软公司将 Microsoft Shell 更名为 PowerShell, 发表了正式版本 Windows 7 以上版本的 Windows 默认内置了 PowerShell, 但是 Windows XP 的用户改安装为 Windows 7 或 Windows 10 以后, 内置 PowerShell 的 Windows 也随之增加攻击者也开始转向 PowerShell, 不久他们成功制作利用 PowerShell 的既强大又容易制作的恶意软件 2013 年俄罗斯出现过利用 PowerShell 制作的勒索软件, 但是真正的 PowerShell 恶意软件的出现是在几年后 PowerShell 在感染后, 也可以利用在制作不存在文件的无文件 (Fileless) 恶意软件 2014 年发现的 Powerliks 和 Phase,2015 年发现的 Bedep 和 Kolver 为主要的无文件恶意软件 2015 年后期开始出现了在 office 文档宏中运行 PowerShell 后, 下载恶意软件的恶意软件 2016 年则大局出现利用 PowerShell 下载勒索软件的恶意软件 PowerShell 恶意软件的传播方式 PowerShell 恶意软件与其他一般的恶意软件传播方式相同, 主要通过邮件传播带有病毒的附件, 文档中带有宏代码, 宏代码的功能是调用 PowerShell 命令还通过攻击具有漏洞的网站传播恶意软件 3

4 图 3 利用电子邮件附件和带有恶意软件的网站的链接来传播的方式 PowerShell 恶意软件的感染方式 1) 运行权限 PowerShell 默认策略设置为受限的, 这个默认策略可以阻止 PowerShell 脚本的运行, 在执行 PowerShell 脚本时会出现禁止运行的提示因此, 攻击者会通过各种手段可以绕过这些安全策略图 4 阻止 PowerShell 脚本运行的提示 4

2) 包含 PowerShell 命令的文件 PowerShell 恶意软件由于权限问题, 通常不采用单独形式存在, 大部分利用其他文件来调用 PowerShell 的方式存在最多采用的是利用 Java Script(JS) 和 Office 的宏代码调用 PowerShell 的方式过去通过 Wscript.

exe 来运行脚本的事件也渐渐增加图 5 可以调用 PowerShell 脚本的文件类型 Java Script 和 Visual Basic Scirpt 目前 Java Script 最多以 JS 和 JSE 扩展名形式存在,Visual Basic Script 的扩展名为 VBS VBE 等 Java Script

5 2) 包含 PowerShell 命令的文件 PowerShell 恶意软件由于权限问题, 通常不采用单独形式存在, 大部分利用其他文件来调用 PowerShell 的方式存在最多采用的是利用 Java Script(JS) 和 Office 的宏代码调用 PowerShell 的方式过去通过 Wscript.ext 来运行 Java Script 或 Visual Basic Script(VBS) 的情况较多, 但最近通过运行 PowerShell 可执行文件 Powershell.exe 来运行脚本的事件也渐渐增加图 5 可以调用 PowerShell 脚本的文件类型 Java Script 和 Visual Basic Scirpt 目前 Java Script 最多以 JS 和 JSE 扩展名形式存在,Visual Basic Script 的扩展名为 VBS VBE 等 Java Script 的代码通常是混淆的, 在反混淆之前很难确认实际代码 Windows 脚本文件和 HTA Windows 脚本文件的扩展名为 WSF,HTML 应用程序的扩展名为 HTA 这些文件也可以包含其他的脚本代码, 但是大部分以 Java Script 编写 Office 文档利用 PowerShell 的恶意软件也出现在 Office 文档中的宏代码中宏代码的功能是调用 PowerShell 命令, 下载指定 URL 的文件到系统中运行此时, 有可能直接下载文件, 也有可能将命令用 baase64 进行编码图 6 用 base64 进行编码的主要命令 5

恶意软件制作者也有时使用 AutoOpen 或 Document_Open 函数, 当打开带有宏代码的文档时, 这些 PowerShell 脚本自动被运行快捷方式 (Shortcut) 快捷方式的一般扩展名为 *.lnk, 并包含了其他文件的路径在对象中运行 Wscript.exe 或 PowerShell.

6 恶意软件制作者也有时使用 AutoOpen 或 Document_Open 函数, 当打开带有宏代码的文档时, 这些 PowerShell 脚本自动被运行快捷方式 (Shortcut) 快捷方式的一般扩展名为 *.lnk, 并包含了其他文件的路径在对象中运行 Wscript.exe 或 PowerShell.exe 来运行脚本内容比如, 虽然已具有文档图片视频文件的图标, 但是如果包含了运行 wscript 或 powershell.exe 的命令的话, 有可能是一个恶意软件 PowerShell 脚本在一个典型的 Windows 环境下无法在 PowerShell 上运行脚本, 因此用 PowerShell 脚本编写的恶意软件数量不多通常用 PowerShell 编写的恶意软件主要用作下载其他恶意软件的下载器 (Downloader) 或感染其他恶意软件的病毒释放器 (Dropper) 但是仅使用 PowerShell 也可以编写任何功能的恶意软件如图 7 所示, 用 PowerShell 可以编写勒索软件图 7 用 PowerShell 编写的勒索软件 3) 无文件 (Fileless) 黑客是非常勤奋的一类人, 他们一直都在不断寻找新的方法让自己的木马逃避检测, 从 2014 年开始, 没有文件的病毒越来越多, 例如把恶意代码注入内存, 或者隐藏在注册表里面, 而不留下文件, 当访问利用漏洞的网页或者点击了垃圾邮件的附件之后, 木马就加载然后把自己保存在内存或者注册表里, 然后消失, 于是很多传统的基于文件扫描的杀软和检测工具就失效了 2 最具代表性的有 Poweliks Phase Bedep Kovter 等 2 来自 6

图 8 利用 Fileless 攻击方式的恶意软件感染流程 ( 来自 :Intel Security) 利用无文件攻击方式的一些恶意软件可能无法正常运行因此, 如果突然发生 PowerShell 错误的话, 有可能是被恶意软件感染图 9 PowerShell 停止工作提示目前大部分的 Windows

7 图 8 利用 Fileless 攻击方式的恶意软件感染流程 ( 来自 :Intel Security) 利用无文件攻击方式的一些恶意软件可能无法正常运行因此, 如果突然发生 PowerShell 错误的话, 有可能是被恶意软件感染图 9 PowerShell 停止工作提示目前大部分的 Windows 用户的系统默认内置 PowerShell 工具攻击者开始转向利用 PowerShell 的恶意软件制作另外, 微软将开放其 PowerShell 的源代码并支持 Linux 和 Mac OS X 平台上,PowerShell 恶意软件也有可能出现在 Linux 和 Mac 系统等图 10 开放 PowerShell 的源代码 7

8 利用 PowerShell 的 APT 攻击者和恶意软件制作者也越来越多, 未来会持续出现使用 PowerShell 的新的恶意软件对于 PowerShell 恶意软件, 目前尚没有有效的防范手段为了减少 PowerShell 恶意软件带来的损失, 需要记录和深层分析 PowerShell 活动来发现异常行为, 并对 PowerShell 的调用进行严密监控最好是选择一款可以控制 PowerShell 运行和阻止脚本恶意软件行为的安全产品 8

9 cn.ahnlab.com 关于 AhnLab Ahnlab 的尖端技术和服务不断满足当今世界日新月异的安全需求, 确保我们客户的业务连续性, 并致力于为所有客户打造一个安全的计算环境我们提供全方位的安全阵容, 包括经过证实的适用于桌面和服务器的世界级防病毒产品移动安全产品网上交易安全产品网络安全设备以及咨询服务 AhnLab 已经牢固地确立了其市场地位, 其销售伙伴遍布全球许多国家和地区北京市朝阳区望京阜通东大街 1 号望京 SOHO 塔 2 B 座室上海市闵行区万源路 2158 号 18 幢泓毅大厦 1201 室电话 : ( 北京 ) / ( 上海 ) cn.sales@ahnlab.com 2016 AhnLab, Inc. All rights reserved.

IQ

TRITON APX IQ TRITON APX TRITON APX TRITON TRITON APX TRITON AP-WEB Websense ACE Web DLP TRITON APX IT TRITON APX Web TRITON APX DLP TRITON APX DLP Web (DLP) TRITON AP-WEB TRITON AP-EMAIL DLP (OCR) TRITON