当前位置：文档之家 › 7-359732265-资料-360本地提权后门详细分析报告

7-359732265-资料-360本地提权后门详细分析报告

  • 格式：doc
  • 大小：470.50 KB
  • 文档页数：9

360本地提权后门详细分析报告
摘要：360安全卫士全部版本会在安装过程中在用户系统上安装一个注册表操
作后门程序，该后门可以绕过操作系统的安全检查机制任意操作（设置、删除
等）用户的注册表。
360安全卫士全部版本会在安装过程中在用户系统上安装一个注册表操作后
门程序，该后门可以绕过操作系统的安全检查机制任意操作（设置、删除等）
用户的注册表。由于该程序没有对调用者进行检查，导致任意程序（如各种木
马程序等）可以通过该后门任意操作（设置、删除等）用户的注册表系统。
该后门包括两个文件：
1. bregdrv.sys：内核模式驱动，该驱动程序通过调用操作系统的未公开CmXxx
系列函数来操作注册表，另外由于操作系统内部本身维护了很多同步数据、缓
存数据，直接调用CmXxx系列函数操作注册表极有可能造成系统内部数据不
同步，严重影响系统安全性，甚至可能导致用户正常数据丢失；
2. bregdll.dll：用户态动态库，该动态库封装了对bregdrv.sys的调用，为用户
态程序提供注册表操作后门的接口；
1、bregdrv.sys
处理 IoControl ：
通过CmDeleteKey实现注册表键值的删除操作：

2、bregdll.dll
BRegDeleteKeyW函数中调用驱动的0x7be2058号IoControl实现删除注册表键
值操作：
第一：时刻监视用户访问网站，上传至奇虎360网站
（用户访问搜狐网站时，抓包分析如上图）

当用户使用360浏览器访问某个网址时，该网址就会被发送到
360-s.qihoo.com,，而且没有加密。也就是说，凡是用户通过奇虎360浏览器浏
览任何网址，都会被奇虎记录下来。用户毫无隐私可言。

第二：悄悄盗取用户电脑隐私信息
360安全卫士具有“举报可疑文件功能”，通过技术分析可以看到，在360
安全卫士上传的数据中，不但包括了用户系统的信息，还包括用户安装补丁和
用户所安装的软件信息，甚至包含了“招商银行专业版”等软件信息。截图如下：

U1 - SOFTE:Adobe Flash Player 10 ActiveX 10.0.22.87 Adobe Systems
Incorporated
U1 - SOFTE:Adobe Photoshop 7.0.1 7.0.1 Adobe Systems, Inc.
U1 - SOFTE:BCWipe 3.0
U1 - SOFTE:Dell Wireless WLAN Card 4.10.47.3 Dell Inc.
U1 - SOFTE:招行专业版
U1 - SOFTE:Conexant HDA D110 MDC V.92 Modem
U1 - SOFTE:Ethereal 0.99.0 0.99.0 The Ethereal developer community,
http://www.ethereal.com
U1 - SOFTE:HyperSnap 6.21.02 免注册汉化版 HyperSnap 6.21.02 免注
册汉化版 雅诗（Kaci）
U1 - SOFTE:OZ776 SCR CardBus Windows Driver 0.0.0.1 O2Micro
International LTD.
U1 - SOFTE:Iris - The Network Traffic Analyzer 4.0 eEye Digital Security
U1 - SOFTE:High Definition Audio Driver Package - KB835221
20040219.000000 Microsoft Corporation
U1 - SOFTE:Windows Genuine Advantage Validation Tool （KB892130）
Microsoft Corporation
U1 - SOFTE:Windows XP 安全更新 （KB923561） 1 Microsoft
Corporation

360安全卫士后门程序涉及的主要文件是：在安装进入系统时自带的驱动文件bregdrv.sys、bfsdrv.sys，
以及对这两个驱动文件调用的动态链接库bregdll.dll、bfsdll.dll。
bregdrv.sys：360内核模式驱动，该驱动程序通过调用操作系统的未公开CmXxx系列函数来操作注
册表，另外由于操作系统内部本身维护了很多同步数据、缓存数据，直接调用CmXxx系列函数操作注
册表极有可能造成系统内部数据不同步，严重影响系统安全性，甚至可能导致用户正常数据丢失；

bregdll.dll：用户态动态库，该动态库封装了对bregdrv.sys的调用，为用户态程序提供注册表操作后
门的接口；该动态库仿照Windows操作系统API接口（加B作为前缀）导出了如下注册表操作函数，
但与Windows API不同的是，bregdll.dll导出的函数在实现上绕过了操作系统的所有安全检查，直接调
用极为低层的未公开CmXxx系列函数实现：

1.BRegCloseKey 2.BRegCreateKey 3.BRegCreateKeyEx 4.BRegCreateKeyExW
5.BRegCreateKeyW 6.BRegDeleteKey 7.BRegDeleteKeyW 8.BRegDeleteValue
9.BRegDeleteValueW 10.BRegEnumKey 11.BRegEnumKeyEx 12.BRegEnumKeyExW
13.BRegEnumKeyW 14.BRegEnumValue 15.BRegEnumValueW 16.BRegOpenKey
17.BRegOpenKeyEx 18.BRegOpenKeyExW 19.BRegOpenKeyW 20.BRegQueryValueEx
21.BRegQueryValueExW 22.BRegSetValueEx 23.BRegSetValueExW

360后门部分功能代码截图一
bfsdrv.sys，该驱动程序通过直接向文件系统发送I/O请求包（IRP）来实现文件操作，这种方式可以
绕过基于过滤驱动的文件监控（包括卡巴斯基、诺顿等安全软件）。由于该程序没有对调用者进行检查，
导致可以被任意程序（如各种木马程序等）利用达到修改、删除用户正常文件的目的。
bfsdll.dll：用户态动态库，该动态库封装了对bfsdrv.sys的调用，为用户态程序提供文件操作后门的
接口；该动态库仿照Windows操作系统API接口（加FS或Bfs作为前缀）导出了如下文件操作函数，
但与Windows API不同的是，bfsdll.dll导出的函数在实现上绕过了所有文件系统上层的过滤驱动，直接
向文件系统发送I/O请求包实现：

1.BfsMoveFileExW 2.FSCloseHandle 3.FSCopyFile 4.FSCopyFileW
5.FSCreateFile 6.FSCreateFileW 7.FSDeleteFile 8.FSDeleteFileW
9.FSFindClose 10.FSFindFirstFile 11.FSFindFirstFileW 12.FSFindNextFile
13.FSFindNextFileW 14.FSGetFileAttributes 15.FSGetFileAttributesEx
16.FSGetFileAttributesExW 17.FSGetFileAttributesW 18.FSGetFileSize
19.FSGetFileSizeEx 20.FSGetLongPathName 21.FSGetLongPathNameW
22.FSGetShortPathName 23.FSGetShortPathNameW 24.FSPathFileExists
25.FSPathFileExistsW 26.FSPathIsDirectory 27.FSPathIsDirectoryW
28.FSReadFile 29.FSSearchPath 30.FSSearchPathW 31.FSSetFileAttributes
32.FSSetFileAttributesW 33.FSSetFilePointer 34.FSSetFilePointerEx 35.FSWriteFile

上述API均通过DeviceIoControl/NtDeviceIoControlFile来调用驱动提供的不同文件操作功能，这些
操作均会绕过基于过滤驱动的文件监控。
360后门部分功能代码截图二
360安全卫士没有遵循正常的操作系统安全机制，却直接绕开了系统安全检查机制。其不仅具有“后
门”功能，而且该程序存在重大安全隐患，利用此程序不需要任何身份认证，可轻易被黑客利用窥视用
户隐私、读取、修改或删除用户电脑中的所有文件和注册表信息。

例如，任意普通用户可以在低权限的情况下实现删除系统安装的安全软件，隐藏自己的恶意程序。
而通过bregdrv.sys对注册表的操作，可以利用其在系统底层任意操作注册表的权限，达到更多的目的，
如：
通过修改注册表存储的用户信息，将guest用户激活并克隆成管理员，但是在系统表面看来，guest
用户仍然是被禁用的。
通过修改注册表实现映像劫持，将sethc.exe（系统粘滞键功能）替换成cmd.exe，这样就可以实现
在登录界面上按5下shift键直接呼出一个系统权限的cmdshell窗口，执行任意指令。

合集下载

手工杀毒报告分析详细解释又一力作(实战教程一)

手工杀毒报告分析详细解释又一力作(实战教程一)

为节省篇幅，不提供扫描报告，而且这里有：扫描报告贴子地址：/thread-17644-1-1.html2楼是详细解决方案。

我们从进程和模块列表开始看起。

来到了winlogon.exe这个进程。

然后我们来看这个进程的路径：\??\C:\WINDOWS\system32\winlogon.exe这是正常的。

以前不知道的话现在记一下。

在它下面有4个模块，前三个，如果你不知道是什么，那么请百度一下google一下。

我们来到最后一个模块处：[C:\WINDOWS\system32\fvldkps.dll] [Microsoft Corporation,8.90.1101.0]首先，当我看到这个文件名的时候，就觉得奇怪。

我分析过很多报告，注入winlogon.exe 进程的模块几乎很少，这个更是从没见过。

于是我开始对它关注。

看其出品公司及版本：Microsoft Corporation，这个正常。

8.90.1101.0 这个版本号就不正常了。

我们来看一下其它的进程及模块文件的版本号大都是：5.1.2600或者6.00.2900.3300。

也许说这些还没有多大的说服力，那么我们再往下看一些进程及模块，你会发现C:\WINDOWS\system32\fvldkps.dll它还注入了其它的一些模块，象敏感进程svchost.exe，explorer.exe等。

这时，我们就可以基本判定此文件是病毒了。

那么我们百度一下，结果是：抱歉，没有找到与“fvldkps.dll” 相关的网页。

试想一下，如果此文件真的是Microsoft Corporation（微软公司）的文件，百度一下的话会搜索不到结果吗？？？绝对不可能吧？除非百度抽风了。

那么我们再来google一下，结果是：找不到和您的查询"fvldkps.dll" 相符的网页。

如果百度抽风了，google也抽风了吗？概率极少甚至不可能吧？好了，此文件是病毒了。

瘦男孩木马分析报告

瘦男孩木马分析报告

一、木马简介网购木马“瘦男孩”（Lanker-Boy）通过篡改支付订单数据，以达到劫持受害网友交易资金的目的。

该木马家族最早出现在2014年9月，360QVM组追踪分析Lanker-Boy传播路径估算，国内已有约百万台电脑受到该木马家族的威胁，一些游戏外{过}{滤}挂网站和兼职刷单聊天群是Lanker-Boy木马传播的主要阵地。

网购木马最早在2010年前后出现，与早期的网购木马相比，Lanker-Boy具有更高明的免杀手段，其解密运行恶意代码的机制使传统特征码杀毒引擎不能很好应对，而且该木马作者以Lanker-Boy的账号在各大杀毒软件论坛“主动反馈误报”，通过社工欺骗手段蒙混过关，木马也因此具有更强的传播力和更多的存活空间。

图：“Lanker-Boy”的运作机制二、“Lanker-Boy”名称由来1.为了防止木马重复感染，木马作者在样本中编写了互斥标记，名为“Lanker”。

2.木马加密的DLL文件名为Lanker.dll。

3.从2014年11月至2015年1月，木马作者使用域名传播木马。

4.从2015年1月至2015年3月，木马作者使用http://43.252.231.52/lanker.txt云控木马支付账户配置。

5.从2015年1月至今，木马作者使用Lanker-boy账号在多家国内杀软论坛反馈“误报”，并成功骗取一些杀毒厂商信任，使其去除了原本可以查杀的病毒特征。

三、木马特点1）主动上报传统情况下，木马作者会躲避和杀毒软件的接触，从而避免木马被查杀。

而“Lanker-Boy”的木马作者在编写完木马后，第一时间将木马上传给杀毒厂商，伪装“游戏大厅”的程序被误报，要求杀毒厂商删除病毒特征。

而国内某些厂商收到木马后，不但没能及时发现，反而去除了原本可以查杀的特征。

根据VirusTotal扫描显示，截止2015年4月7日，全球安全厂商中仅有360可以查杀“Lanker-Boy”的重要组件Lanker.dll。

木马行为分析报告

木马行为分析报告

“木马行为分析”报告一、木马程序概述在计算机领域中，木马是一类恶意程序。

一个完整的木马系统由硬件部分，软件部分和具体连接部分组成。

(1)硬件部分：建立木马连接所必须的硬件实体。

控制端：对服务端进行远程控制的一方。

服务端：被控制端远程控制的一方。

INTERNET：控制端对服务端进行远程控制，数据传输的网络载体。

(2)软件部分：实现远程控制所必须的软件程序。

控制端程序：控制端用以远程控制服务端的程序。

木马程序：潜入服务端内部，获取其操作权限的程序。

木马配置程序：设置木马程序的端口号，触发条件，木马名称等，使其在服务端藏得更隐蔽的程序。

(3)具体连接部分：通过INTERNET在服务端和控制端之间建立一条木马通道所必须的元素。

控制端IP，服务端IP：即控制端，服务端的网络地址，也是木马进行数据传输的目的地。

控制端端口，木马端口：即控制端，服务端的数据入口，通过这个入口，数据可直达控制端程序或木马程序。

1、木马的定义木马是隐藏在合法程序中的未授权程序，这个隐藏的程序完成用户不知道的功能。

当合法的程序被植入了非授权代码后就认为是木马。

木马是一个用以远程控制的c／s程序，其目的是不需要管理员的准许就可获得系统使用权。

木马种类很多，但它的基本构成却是一样的，由服务器程序和控制器程序两部分组成。

它表面上能提供一些有用的，或是仅仅令人感兴趣的功能，但在内部还有不为人所知的其他功能，如拷贝文件或窃取你的密码等。

严格意义上来说，木马不能算是一种病毒，但它又和病毒一样，具有隐蔽性、非授权性以及危害性等特点，因此也有不少人称木马为黑客病毒。

2、木马的分类木马的种类很多，主要有以下几种：其一，远程控制型，如冰河。

远程控制型木马是现今最广泛的特洛伊木马，这种木马起着远程监控的功能，使用简单，只要被控制主机联入网络，并与控制端客户程序建立网络连接，控制者就能任意访问被控制的计算机。

其二，键盘记录型。

键盘记录型木马非常简单，它们只做一种事情，就是记录受害者的键盘敲击，并且在LOG文件里进行完整的记录，然后通过邮件或其他方式发送给控制者。

网络安全漏洞整改报告

网络安全漏洞整改报告

XX单位关于“网络安全漏洞扫描”情况的整改报告按照《XX通知》相关要求，我院积极开展网络安全风险漏洞整改工作，现将整改情况汇报如下：一、整体情况通过对全院内、外网主机进行扫描，发现非常危险主机数12个、比较危险主机数6个、比较安全主机数54个、非常安全主机数170个。

其中高风险漏洞占比为7.54%，中风险漏洞占比为40.97%，低风险漏洞占比19.82%，信息安全漏洞为31.67%。

我院针对以上漏洞进行详细梳理分类，采取不同的处理方式进行了安全漏洞整改措施。

二、服务器端安全漏洞整改情况（一）以Windows远程桌面协议代码执行漏洞(CVE-2012-0002)为主的远程访问类漏洞。

由于大部分服务器涉及医院业务，我院采取以下修复措施：1.将服务器默认的远程端口3389修改为其他非常规端口；2.在受影响的服务器上启用网络级别身份验证。

（二）以服务目录遍历漏洞(CVE-2010-1571)为主的端口触发的漏洞。

通过对业务端口进行梳理，关闭所有非业务必须端口，避免通过端口入侵。

（三）CVE-2015-1635一类有可能发生远程代码执行的漏洞。

微软官方已经发布相应补丁，但由于系统处于内网没有能够及时更新，采用离线安装的方式进行修复（KB282 9254）。

（四）Oracle、Tomcat涉及数据库、应用程序导致的漏洞。

因常规修复措施会对医院业务造成严重影响，我院采用以下措施来降低安全漏洞造成的风险：1.由不同技术人员分别掌握数据库服务器和数据库的管理权限；2.数据库服务器仅允许有业务需求的应用服务器连接，日常管理数据库采用本地管理方式，数据库不对外提供远程访问；3.对数据库进行了安全加固，设置了强密码、禁用了数据库默认用户等；4.计划部署服务器安全管理系统，基于日志分析和事件回溯技术，对服务器进行安全防护与运维，在服务器端形成事前加固、事中对抗、事后溯源的一体化防护体系。

三、客户端安全漏洞整改情况（一）工作站存在的诸如目录遍历漏洞(CVE-2010-348 7)、RDP拒绝服务漏洞(CVE-2012-0152)、RC4 加密问题漏洞(CVE-2015-2808)等windows系统漏洞，采取以下措施进行修复：1.针对Windows 7 7600版本之后的系统采用离线安装集成补丁包（UpdatePack7R2-22.8.10）的方式进行批量修补漏洞；2.对于Windows 7 7600版本之前的操作系统我院将逐步进行替换为新的操作系统。