​【Rootkit系列研究】Windows平台高隐匿、高持久化威胁（二）

从西方 APT 组织的攻击历史及已经泄露的网络攻击武器来看，高隐藏、高持久化（Low&Slow）是已经成为区分威胁等级的关键特征，而 Rookit 则是达成此目的重要的技术手段之一。

在之前的文章中，“序章：悬顶的达摩克利斯之剑”，带我们领略了 Rootkit 的前世今生，隐匿于 Rootkit 背后的影子以及针对 Rootkit 的基本检测思想。“Windows 平台高隐匿、高持久化威胁”和“Linux平台高隐匿、高持久化威胁”各自从宏观角度讲述Windows 平台和 Linux 平台下，Rootkit 技术原理、应用和发展现状以及攻防角度的总结。“Rootkit 检测技术发展现状”让我们见识到了防御方对抗 Rootkit 的技术。

本文则是在“Windows 平台高隐匿、高持久化威胁”的基础上，结合攻击者在攻击中利用到的技术手段，对 Windows 平台上的 Rootkit 的运行效果及应用方面进行介绍。

紫狐是已经持续多年的、以营利为目的的网络黑产组织，他们历来每次出现在视野中，都会变化一种攻击方式或技术。

攻击者控制大量受害终端，通过刷量、推广用户不需要的软件来获利，这会拖慢设备性能，严重影响受害者的正常使用。

其恶意程序使用了 Rootkit 技术，以至于具有很高的隐蔽性，很难被受害者发掘和清除。在紫狐病毒释放器下载最终 Purple Fox Rootkit 载荷之前，我们注意到释放程序会安装一个名为 “Driver.sys” 的驱动程序，用于注销名为 “360FsFlt”的Minifilter，并关闭名为 “ZhuDongFangYu.exe” 的进程，来规避安全软件检测。

“ZhuDongFangYu.exe” 的进程是从驱动启动的，用常规手段是无法关闭的。

驱动服务运行后，通过一个独立的命令行工具进行调用，通过 IO 通讯传递指令，具有四种命令，对应四种功能。

实际运行效果如下：

关闭指定文件过滤器

拷贝文件

删除文件

结束进程

在分析过程中我们发现，该驱动程序为了避免被检测，在文件拷贝和删除文件的过程中没有使用常规的 API 函数，而是通过 IofCallDriver 函数向文件设备发送带有操作的 IRP 数据，以此达到文件操作的目的。

而在关闭进程功能上，更是提供了两种结束进程的方法，来规避检测。而且我们发现，该驱动目前仍是半成品的状态，也就是说，攻击者仍在进行功能的迭代升级。

在完成安全软件进程关闭后，释放文件才会继续下载最后的 Purple Fox Rootkit，经分析，该 Rookit 是基于开源 Rookit 项目“Hidden”修改，具有隐藏注册表项和值、隐藏文件和目录、隐藏进程、保护指定进程等功能。

文件隐藏运行效果：

注册表隐藏运行效果：

进程保护运行效果：

由此可见，学习开源项目也是攻击者提升攻击能力的有效方式，他们也在不断吸取新的技术，应用与攻击活动之中。

业界对反 Rootkit 软件使用的技术进行了分类。签名的检测（Signature-based detection）、文件完整性监测（File integrity monitoring）、Rootkit Hook 检测（Rootkit hooking detection）、交叉视图分析（Cross-view analysis）以及基于网络的检测（Network-based detection）。

基于签名的检测就是匹配 Rootkit 软件字节特征，缺点是无法匹配新的 Rootkit，而且特征容易更改，对于已安装 Rootkit 的系统再实施检测不理想。

文件完整性监测，该方法计算关键的、不变的操作系统文件的哈希，并将其与存储在数据库中的已知值进行比较。这项技术对于在磁盘上修改系统二进制文件的 Rootkit 很有效，但 Rootkit 的作者很快使用 hooking 或 DKOM 技术，以此篡改执行结果，使得检测效果不理想。

Rootkit Hook 检测，SSDT、IAT 和 IDT 都有一组用于每个服务或中断的函数指针，它们都在内存中的特定范围内。当rootkit修改Hook指向恶意服务或中断例程时，函数指针所指向的位置几乎总是位于特定内存地址范围之外。在这期间还发展了 Inline Hook形式，来规避这些关键表的检测，后来发展了 FSD Hook、FSD Inline Hook。

交叉视图分析，交叉视图分析涉及从“用户”或“API”视图查看系统，并将其与低级视图进行比较，交叉视图方法可以检测基于 DKOM 和系统例程补丁的 Rootkit，不能检测基于HOOK 的 Rootkit。

基于网络的检测，理论上，Rootkit 可能会试图隐藏其网络通信，以逃避操作系统或用户的检测，但是从系统外部还是能看到流量的，这方面成了C2隐藏通信和网络检测的较量。

Windows 也引进了一些防御技术，PatchGuard 和 DSE。PatchGuard 用于内核完整性检测，守护容易被 HOOK 的地方。DSE 用于检测驱动签名，限制未签名驱动加载。上文提到的 Turla 则绕过了这种限制，通过引入 VulnDriver 间接绕过。通过修改内存中的特殊变量就能关闭DSE功能，此时，加载第二个未签名的恶意驱动，直接 HOOK PatchGuard 告警的关键函数，在下一个内核完整性校验过程中不让异常表现出来，从而完成了 PatchGuard 功能的绕过。