木马的基本概念
通过欺骗或诱骗的方式安装,并在用户的计算机中隐藏以实现控制用户计算机的目的。
具有远程控制、信息窃取、破坏等功能的恶意代码。
木马的分类
远程控制型木马
远程控制
交互性:双向(攻击者<->被控制端)
典型案例:
卡巴斯基分类标准下的木马子类:Backdoor
冰河、网络神偷、广外女生、网络黑牛、黑洞、上兴、彩虹桥、PCShare、灰鸽子等。
信息获取型木马
信息获取
键盘输入、内存、文件数据等
交互性:单向(攻击者<-被控制端)
发送至三方空间、文件服务器、指定邮箱等,或者直接开启FTP服务程序等。
典型案例:
卡巴斯基分类标准下的Trojan-Bank、Trojan-GameThief、Trojan-IM、Trojan-Spy、Trojan-PSW、Trojan-Mailfinder等
破坏性木马
对本地或者远程主机系统进行数据破坏,资源消耗等
交互性:单向(攻击者->被控制端),或无交互
典型案例:
卡巴斯基分类标准下的Trojan-Ddos、Trojan-Dropper、Trojan-AceBomb等
木马的植入方式
网页挂马攻击
自动下载安装(MS06014,MS10002)
电子邮件植入
附件形式,打开附件被植入
电子邮件与恶意网页结合,即使不打开附件,选中就会被植入(以HTML格式发送)
文档捆绑植入
office文档、pdf文档漏洞等
伪装欺骗植入
更改后缀名、图标伪装
捆绑植入
exe捆绑、文档镶嵌、多媒体文件、电子书植入
其他
特定U盘植入
社会工程
木马的通信方式
传输通道构建信息
IP地址、端口等信息、第三方网站地址
建立通信方式的连接方式
正向链接
反向链接
正向链接
优点:
攻击者无需外部IP地址
木马样本不会泄露攻击者IP地址
缺点:
可能被防火墙阻挡
被攻击者必须具备外部IP地址
定位被攻击者相对困难
反向链接
第一种方式
优点:
通过防火墙相对容易
攻击目标随时上线、随时控制
可以控制局域网内的目标
缺点:
样本会暴露控制服务器的信息
攻击者通常具有外部IP
第二种方式
优点:
可绕过防火墙、自动连接上线,不易被发现(代理)
缺点:
RootKit的稳定性需要保障
远控木马的常见功能与意图
典型功能
文件管理
进程管理
服务管理
注册表管理
屏幕监控、屏幕截取
语音视频截获
键盘记录
窗口管理
远程Shell等
文件管理
获取目标的文件系统信息,通常包括如下功能:
浏览各磁盘文件
上传、下载文件
执行文件
删除文件
修改文件信息
进程管理
查看、结束、暂停目标系统进程
查看目标系统的环境信息
停止或者暂停目标系统的相关程序(如反病毒程序)
服务管理
查看并管理目标系统的服务(创建、启动、停止、删除服务)
木马检测思路
如何对木马进行检测?
静态文件特征
网络流量特征
系统行为特征
功能行为特征
攻击意图等