恶意软件狩猎揭示隐秘的通用Rootkit加载器

摘要

一个新发现的微软签名rootkit加载器使攻击者能够在受感染的系统上部署未签名的内核模块。该恶意软件使用第一阶段驱动程序与C2基础设施通信，并将第二阶段插件直接加载到内存中。这种隐秘的执行模型有助于绕过基于磁盘的检测，同时保持高度特权的内核级访问权。

调查

研究人员发现了一组滥用Windows硬件兼容性程序（WHCP）以获得合法微软签名的签名驱动程序。调查揭示了一种两阶段的执行模型，其中签名加载器处理定制的、未签名内核驱动程序的注入。代码和基础设施分析还显示出与先前记录的FiveSys rootkit的相似性。

缓解措施

组织应监控可疑或未经授权的内核模式驱动程序加载和影响安全服务的意外注册表修改。部署能够识别仅内存模块加载的端点检测对检测此活动至关重要。限制来自未知或不可信供应商的WHCP签名驱动程序的使用可以进一步减少曝光。

响应

检测到此活动时，隔离受影响的系统以中断C2通信并防止横向移动。执行内存取证，以识别可能从未写入磁盘的注入内核模块。检查注册表完整性，特别注意图像文件执行选项和对安全策略的未经授权的更改。

模拟执行

• 攻击叙述与命令： 对手计划部署rootkit组件，该组件通过与恶意驱动程序通信来隐藏其存在。为了绕过传统的基于文件的检测，攻击者利用“LoL”方法，使用PowerShell脚本与已被旁加载到内核中的驱动程序进行交互。脚本专门针对 IRP_MJ_DEVICE_CONTROL 处理程序，通过发送精心制作的IOCTL（I/O控制）代码，模仿已识别的Rootkit加载器的通信模式，以建立命令和控制通道并禁用安全特性。

• 回归测试脚本：

  # 模拟脚本以模仿rootkit加载器驱动程序通信
  # 注意：这需要存在可以响应这些特定模式的驱动程序
  # 或通过模拟驱动程序模拟IRP处理程序调用。
  
  $SymbolicName = "x1cx1c??x1ceae971b87"
  Write-Host "[+] 正在模拟与符号名称的驱动程序交互：$SymbolicName"
  
  # 在实际情况下，这将涉及通过P/Invoke调用DeviceIoControl
  # 为了模拟/测试目的，我们模拟遥测触发
  $signature = @{
      SymbolicName = "x1cx1c??x1ceae971b87"
      IOControlHandler = "IRP_MJ_DEVICE_CONTROL"
      ShutdownHandler = "IRP_MJ_SHUTDOWN"
  }
  
  Write-Host "[+] 发送制作的IOCTL以触发检测..."
  # 模拟特定符号名称的内核事件生成的逻辑
  # 这部分是BAS代理触发特定日志条目的概念
  New-EventLog -LogName "Microsoft-Windows-Sysmon" -Source "Sysmon" # 模拟触发

• 清理命令：

  # 删除任何临时文件或模拟的驱动程序工件
  Remove-Item -Path "$env:TEMProotkit_sim.tmp" -ErrorAction SilentlyContinue
  Write-Host "[+] 清理完成。"