Windows虚拟技术的武器化尝试

[[379712]]

成都创新互联是一家网站设计制作、网站设计,提供网页设计,网站设计,网站制作,建网站,按需网站策划,网站开发公司,从2013年成立是互联行业建设者,服务者。以提升客户品牌价值为核心业务,全程参与项目的网站策划设计制作,前端开发,后台程序制作以及后期项目运营并提出专业建议和思路。

几周前,Microsoft Security Intelligence发现有个攻击者论坛正在讨论如何利用恶意ISO文件进行各种恶意软件活动。根据分析,恶意软件活动也开始使用ISO文件,例如Phobos勒索软件,ZLoader,LokiBot和Nanocore。其实这些攻击已经没有什么新鲜的了,因为恶意ISO文件的使用已有相当长的一段时间了。但是,据我所知,还没有任何研究者发现过任何示例代码。

准确地演示如何成功地将ISO文件武器化,而不是使用相当旧的关于ISO感染的SPTH文件。其实这也不奇怪,因为Windows操作系统直到2009年10月22日才对虚拟化本身提供支持。

如果你想研究如何以编程方式安装ISO映像,你将会非常失望。因为这个StackOverflow答案中显示的代码是错误的。函数调用是准确的,但是,它使最终需要完成的操作过于复杂。无论如何,我写这篇文章不是为了bash StackOverflow问题和答案,关键在于该代码。

目前网上关于如何安装ISO或VHD映像的方法都存在一定的误导性,因此我希望找到这个问题的真正答案。

本文将说明如何正确安装要用于恶意目的的ISO文件,我们的目标是在不建立用户可见路径或分配驱动器号的情况下安装ISO。本文还将简要回顾一下ISO与VHD/VHDX。

需要注意的是,本文将不会介绍如何以编程方式生成ISO / VHD映像。其实可以使用WINAPI以编程方式执行此操作,但这不是我的目标,我想研究的更深入一点。此外,本文不会针对不同的杀毒软件厂商对该技术进行基准测试,这仅仅是一个概念验证。

与本文相关的代码使用的是C WINAPI,如果你不熟悉C或WINAPI,则可能难以理解。另外,我选择C是因为我不喜欢C#.NET或Python来开发恶意软件。

ISO文件,VHD文件和虚拟存储API

ISO文件和VHD文件有什么区别?答案是一个ISO文件反映光盘驱动器的数字副本,例如CD / DVD,而VHD是实际的虚拟硬盘驱动器。两者都可以由Windows操作系统虚拟化和安装,都利用相似的API调用,都必须通过Windows虚拟存储API中的相同API转发。如Will Dormann在卡耐基梅隆大学(Carnegie Mellon University)的论文“VHD和VHDX文件的危险”中指出的那样,ISO文件在恶意软件活动方面处于更大的劣势。他证明了许多杀毒软件可能无法以编程方式安装VHD / VHDX文件,尽管看上去它们能够在某种程度上解析ISO映像,但是本文并不打算深入研究这个话题。

为什么使用ISO文件而不是VHD/VHDX?本文旨在专门解决攻击者使用的方法。与VHD/ VHDX文件相比,隐藏ISO映像也容易得多, VHD文件的最小大小为2MB。

尽管2MB大小的Windows报告是一个误导,指定2MB将返回ERROR_INVALID_PARAMETER或以下映像:

指定3MB结果如下:

我能够分配的最小VHD文件是5MB GUID分区表(GPT)。

相反,如果我们使用一些通用的ISO制作器,在这个特殊的情况下,我使用MagicISO制作器,可以制作出一个更小的文件:

关于隐身性及其与小型文件的相关性,与VHD文件相比,ISO文件具有很多优势。

你可能想知道ISO文件和VHD文件有什么共同点,因为本文着重于ISO文件安装。ISO文件以及VHD/VHDX文件都使用相同的虚拟存储API。此外,乍一看,在虚拟存储API文档中甚至没有提到ISO文件,直到你开始阅读通过AttachVirtualDisk安装虚拟磁盘映像时,才会看到以下内容:附加虚拟硬盘(VHD)或CD或DVD。

映像文件(ISO),方法是找到合适的VHD提供程序以完成附件,此时你就可以了解ISO文件和VHD可以在其API省略中互换使用。

OpenVirtualDisk的调用定义如下:

第一个参数VirtualStorageType,必须是指向VIRTUAL_STORAGE_TYPE结构的有效指针,该结构定义为:

成员DeviceId必须设置为VIRTUAL_STORAGE_TYPE_DEVICE_ISO。另外,VendorId必须设置为VIRTUAL_STORAGE_TYPE_VENDOR_MICROSOFT。

如果成功完成此操作,那么其他所有内容实际上都将与VHD/VHDX文件相同。

代码

我的概念验证包含很多通用编程,例如验证我们是否在Windows 10上运行,获取放置ISO文件的位置以及确保我们拥有适当的权限。以下是代码的功能概述:

1.获取PEB,确保我们的代码在Windows 10上运行。

2.使用USERPROFILE变量调用GetEnvironmentVariable以获取当前用户。

3.如果成功调用了GetEnvironmentVariable,则连接“\\Desktop\\Demo.iso”。

4.检查我们的安全令牌,如果我们没有SeManageVolumePrivilege,请提出以下请求。

5.使用正确初始化的VIRTUAL_STORAGE_TYPE结构调用OpenVirtualDisk。

 

6.调用AttachVirtualDisk,将ATTACH_VIRTUAL_DISK_FLAG设置为ATTACH_VIRTUAL_DISK_FLAG_READ_ONLY和ATTACH_VIRTUAL_DISK_FLAG_NO_DRIVE_LETTER。

7. GetVirtualDiskPhysicalPath会检索到我们已安装的ISO的物理路径。

8.如果成功调用了GetVirtualDiskPhysicalPath,请连接“\\Demo.exe”。

9.调用CreateProcess。

10.确保成功或失败后,所有句柄和堆都要关闭,然后退出。

本文翻译自:

https://vxug.fakedoma.in/papers/VXUG/Exclusive/WeaponizingWindowsVirtualization.pdf如若转载,请注明原文地址。

 

当前标题:Windows虚拟技术的武器化尝试
标题路径:http://www.gawzjz.com/qtweb/news29/209629.html

网站建设、网络推广公司-创新互联,是专注品牌与效果的网站制作,网络营销seo公司;服务项目有等

广告

声明:本网站发布的内容(图片、视频和文字)以用户投稿、用户转载内容为主,如果涉及侵权请尽快告知,我们将会在第一时间删除。文章观点不代表本网站立场,如需处理请联系客服。电话:028-86922220;邮箱:631063699@qq.com。内容未经允许不得转载,或转载时需注明来源: 创新互联