正文
CIA泄露资料分析（黑客工具&技术）—Windows篇
提示：扫一扫查出行【扫一扫了解最新限行尾号】
复制提示
背景
近期，维基解密曝光了一系列据称来自美国中央情报局(CIA)网络攻击活动的秘密文件，代号为“Vault 7”，被泄露文件的第一部分名为“Year Zero”，共有8761个文件，包含7818个网页和943份附件。
一、情报简介
Year Zero暴露了CIA全球窃听计划的方向和规模，还包括一个庞大的黑客工具库，该库包含的代码量过亿，赶超大型软件开发公司。这些黑客工具既有CIA自行开发的软件，也有据称是得到英国MI5（军情五处）协助开发的间谍程序，其中包括恶意软件、病毒、特洛伊木马、武器化的‘0day漏洞’、恶意软件远程控制系统及其相关文件等。网络攻击入侵活动对象包括微软、安卓、苹果iOS、OS X和Linux等操作系统和三星智能电视，甚至还包括车载智能系统和路由器等网络节点单元和智能设备。
本文重点剖析Windows平台下的攻击行为。
二、Windows平台下黑客技术与工具分析
Windows平台下的攻击技术与工具主要分为8种，分别为数据搜集、数据销毁、服务劫持、权限升级、内存隐藏、对抗分析、取证搜查以及其他杂项，架构如下：
（请右键另存上图，放大查看。）
它们借鉴当前比较流行的木马样本，旨在提供可以快速组合各种功能的解决方案，致力于开发简单且有效的攻击组合。
1.数据搜集（Data Collection Component）
a) Internet Explorer Password（浏览器密码）
通过直接读取用户注册表项下的关键值，获取IE密码相关信息。
b) 基于MicroSoft DirectX接口的键盘记录
通过调用包含DirectInput接口的dxd9.dll，用于获取键盘状态。
c) 基于MicroSoft API接口的键盘记录
通过SetWindowsHookEx函数注册一个关于WH_KEYBOARD&WH_KEYBOARD_LL的回调，并使用函数GetRawInputData、GetKeyboardState、GetAsynckeyboardState，获取用户输入的键盘指纹。
d) 摄像头监控
采用COM接口下DirectShow 和VFW(video for Windows)组件，获取设备数据流信息。
2.数据销毁（Data Destruction Component）
a) 木马采用来自一家叫Eldos的公司的正规适用程式签名驱动，产品名称为RawDisk，该产品的签名驱动允许激活分区的磁盘可写，使磁盘文件在锁定状态下也可以被删除，从而造成一定的恶劣影响。
3. 服务劫持（Persistent Component）
a) Image File Execution Optio（映像劫持），通过建立或者改写注册表键位Image File Execution Options有关执行文件的键值，从而导致程序在执行时发生异常行为。
b) OCI.DLL Service Persistence（OCI.dll服务），通过替换系统同名dll，使得系统在启动时加载恶意dll，并启动OCI网络服务，得到系统权限，但此服务停留于NetWork Service权限，可以访问网络资源。
c) Windows FAXdll注入，系统启动后，explorer主动加载此系统目录fxsst.dll，同名替换并使用LoadLibrary增加引用计数后，可以防止有效卸载，并以此可以过掉UAC。
d) TLS表，修改Windows PE文件，添加TLS表，在回调表中加载其他DLL代码，可以有效实施其他恶意行为。
4. 权限升级（Privilege Escalation Component）
a) Elevated COM Object UAC ByPass，采用COM对象接口获取高权限的Explorer进程，编写DLL代码，实现创建com对象接口执行文件删除操作，并注入到所有explorer进程中，判断删除操作是否成功，由此判定当前进程是否为高权限。
b) Sticky Key Process Launch（劫持粘连键），使用映像劫持的方法，替换启动粘连键的热键程序。
c) Sysprep UAC，基于白名单的方式，复制恶意DLL至sysprep目录中，并启动sysprep程序，加载恶意DLL获得高权限。
d) Windows File Protection ByPass Using SFC，使用SFC组件过掉Windows文件保护机制，通用系统目录下的sfc_oc.dll的函数接口暂时禁用文件保护系统，允许直接替换系统文件，从而实施恶意操作。
5.内存隐藏（Stealth Component）
a) Remote DLL Injection via Reflection(DLL反射注入)，通过DLL反射机制，将特制的DLL插入到远程线程中，并使其自行加载，实施恶意行为。
b) Process Hollowing Implementation(进程替换)，以挂起线程的方式启动程序，并在线程恢复前替换可执行文件的内容空间。
c) Process Injection Using SetWindowsLong，使用此函数的回调函数创建远程线程，实现DLL注入。
d) Dll Memory Loading With Exception Support，内存加载DLL，加载一个DLL到当前进程中，并将新DLL加入反转函数表以支持SHE异常处理，并在此过程中实现恶意行为。
e) Code Injection using ZwContinue, 挂钩进程中的此函数，在线程获得执行权限前实现DLL注入。
f) DLL Hide(DLL隐藏)，复制DLL数据，减少计数引用，释放DLL的内存空间，重新申请原地址空间并复制DLL数据至此，从而实现DLL隐藏。
6.对抗分析（PSP/Debugger/RE Avoidance Component）
a) Anti-Sanboxing，对抗沙盒检测，等待用户鼠标点击事件的发生
b) APIObfuscation Using Hash，使用函数名称加密字符串静态解密函数地址，匹配每一个导出函数名称。
c) Disable System Tray Popups，禁用系统托盘的重绘消息，用于阻止其他程序弹出的提示。
7.调查分析（Survey Component）
a) NetBIOS MAC Enumeration，找到每一个适配器的MAC地址。
b) File/Registry Change Notification，监控文件与注册表的修改。
8.其他杂项（Miscellaneous）
a) Blind File Handle Enumeration，文件句柄的暴力枚举，测试每一个可能的文件句柄值，判断是否为Windows 文件句柄，并标示其是否为有效映射且进程可以被注入。
三、安全建议
随着CIA数据的逐步泄露，越来越多的黑客工具和技术将被坏人利用，各种新型木马病毒将会逐步面世，IT安全建议大家：
1. 不要从小网站下载软件
小网站是黑客传播恶意软件的最大渠道，各种破解软件、注册机都是木马病毒的温床，一旦下载运行就会导致机器感染木马病毒， 最终导致数据泄露。
为防止公司和个人的敏感数据泄露，请到正规网站下载软件！
2. 不要打开来历不明的外网邮件(Internet mail)
钓鱼邮件是坏人入侵内网的常用途径，IT安全团队一直奋斗在对抗恶意邮件的第一线，每日屏蔽来自外网的恶意邮件10w+封，恶意邮件拦截率达到99.9%+。
为防止漏拦截恶意邮件进入内网，造成PC感染木马病毒，请大家不要打开来历不明的邮件，如无法确认邮件安全性，请联系8000协助。
3. 不要访问安全性不明的网站
网站挂马是黑客常用的伎俩，黑客入侵安全防护措施不足的网站系统，将各类下载链接替换为木马病毒，当用户访问网站时，会误把木马病毒下载到本地并运行。
为了保护公司和个人的信息安全，请勿访问安全性不明的网站，当出现“IT安全提醒：此网站禁止访问”或“电脑管家提醒：此网站存在风险”，请及时终止访问！
本文转载自腾云阁，已获得作者授权。
CIA泄露资料分析（黑客工具&技术）—Windows篇的更多相关文章- 你所不知道的黑客工具之 EK 篇
EK(Exploit kits)是指一套利用恶意软件感染用户电脑发起攻击的黑客工具,时下最著名的有 Angler EK.Fiesta EK.Hanjuan EK.Nuclear EK.Neutrino ...
- [转载]中情局数千份机密文档泄露：各种0day工具、恶意程序应有尽有
转载:http://www.freebuf.com/news/128802.html 维基解密最近再度获取到了数千份文件——据说这些文件是来自CIA(中央情报局),文件细数了CIA所用的网络入侵工具及 ...
- 漫谈SCA（软件成分分析）测试技术：原理、工具与准确性
摘要:本文介绍了SCA技术的基本原理.应用场景,业界TOP SCA商用工具的分析说明以及技术发展趋势:让读者对SCA技术有一个基本初步的了解,能更好的准确的应用SCA工具来发现应用软件中一些安全问题, ...
- 五、jdk工具之jmap（java memory map）、 mat之四--结合mat对内存泄露的分析、jhat之二--结合jmap生成的dump结果在浏览器上展示
目录 一.jdk工具之jps(JVM Process Status Tools)命令使用 二.jdk命令之javah命令(C Header and Stub File Generator) 三.jdk ...
- 几款抓包工具在windows,mac，linux下的支持分析
抓包工具的使用 几款抓包工具在windows,mac,linux下的支持分析 抓包工具简介 Chrome/Firefox 开发者工具: 浏览器内置,方便易用 Fiddler/Charles: 基于代理 ...
- 工具推荐：2016年最佳的15款Android黑客工具
黑客技术,曾被认为是专家的专有领域,但随着技术的崛起和移动安全领域的进步,黑客技术已经变得越来越普遍.随着人们越来越依赖于智能手机和其它的便携式设备来完成他们的日常活动,我们有必要了解一些Androi ...
- GitHub 万星推荐：黑客成长技术清单
GitHub 万星推荐:黑客成长技术清单 导语:如果你需要一些安全入门引导,“Awesome Hacking”无疑是最佳选择之一. 最近两天,在reddit安全板块和Twitter上有个GitHub项 ...
- 版本控制工具Git工具快速入门-Windows篇
版本控制工具Git工具快速入门-Windows篇 作者:尹正杰 版权声明:原创作品,谢绝转载!否则将追究法律责任. 最近在学习Golang语言,之前的开发环境在linux上开发的,后来由于办公用的是w ...
- 《黑客攻防技术宝典Web实战篇@第2版》读书笔记1：了解Web应用程序
读书笔记第一部分对应原书的第一章,主要介绍了Web应用程序的发展,功能,安全状况. Web应用程序的发展历程 早期的万维网仅由Web站点构成,只是包含静态文档的信息库,随后人们发明了Web浏览器用来检 ...
随机推荐- 044. asp.net主题之三应用或禁用主题和动态加载主题
1.为单个页面指定主题可以将@Page指令的Theme或StyleSheetTheme属性设置为要使用的主题名称, 代码如下: <%@ Page Theme ="MyTheme&quo ...
- ecshop有关real_ip()你发现的问题
我这边有一个ECSHOP后台,有一个功能,在客户下订单时自动获取客户IP,用的是ECSHOP本身的real_ip函数,但这个函数存在一个问题,十个订单得到的IP,可能会有几个与CNZZ统计得到的不一样 ...
- C++ 的多重继承
不能够从对象访问基类的公开方法,真悲剧!只能在类里面提供公共函数! void Mentor::GetInfo(){ cout<<endl<<name<<endl&l ...
- LDA-线性判别分析（三）
本来是要调研 Latent Dirichlet Allocation 的那个 LDA 的, 没想到查到很多关于 Linear Discriminant Analysis 这个 LDA 的资料.初步看了 ...
- 【PAT_Basic日记】1004 成绩排名
至今仍然存在问题,第一个测试点不过 #include <stdio.h> #include <stdlib.h> #include <string.h> typed ...
- 制作 alipay-sdk-java包到本地仓库
一.首先 搭建好maven 基础环境,本地可以运行maven 命令 从支付宝官网上下载sdk https://doc.open.alipay.com/doc2/detail?treeId=54& ...
- shell正则表达
shell正则表达 .*和.?的比较: 比如说匹配输入串A: 101000000000100 使用 1.*1 将会匹配到1010000000001,匹配方法:先匹配至输入串A的最后, 然后向前匹配,直 ...
- JAVA体系的线程的实现，线程的调度，状态的转换
java体系中线程的实现 1.使用内核线程实现 内核线程就是直接由操作系统内核支持的线程,这种线程由内核来完成线程切换,内核通过操作调度器对线程进行调度,并负责将线程的任务映射到各个处理器上,每个内核 ...
- CentOS7 安装java 环境 摘抄
转http://www.diyhi.com/hostConfig.html 服务器环境配置 下面介绍全新安装的CentOS系统服务器安装配置商城软件服务环境的方法.演示主机操作系统为CentOS 7. ...
- 转载：推荐给每个“数据分析师”看的PPT——关于开会的那点事
推荐给每个“数据分析师”看的PPT——关于开会的那点事 经常对开会“深恶痛绝”,大概的原因有两个,其一,开会之前的准备,各种指标.各种分析.各种PPT,其二,开会中的板凳.废话,尤其是走形式的会议,战 ...
EK(Exploit kits)是指一套利用恶意软件感染用户电脑发起攻击的黑客工具,时下最著名的有 Angler EK.Fiesta EK.Hanjuan EK.Nuclear EK.Neutrino ...
转载:http://www.freebuf.com/news/128802.html 维基解密最近再度获取到了数千份文件——据说这些文件是来自CIA(中央情报局),文件细数了CIA所用的网络入侵工具及 ...
摘要:本文介绍了SCA技术的基本原理.应用场景,业界TOP SCA商用工具的分析说明以及技术发展趋势:让读者对SCA技术有一个基本初步的了解,能更好的准确的应用SCA工具来发现应用软件中一些安全问题, ...
目录 一.jdk工具之jps(JVM Process Status Tools)命令使用 二.jdk命令之javah命令(C Header and Stub File Generator) 三.jdk ...
抓包工具的使用 几款抓包工具在windows,mac,linux下的支持分析 抓包工具简介 Chrome/Firefox 开发者工具: 浏览器内置,方便易用 Fiddler/Charles: 基于代理 ...
黑客技术,曾被认为是专家的专有领域,但随着技术的崛起和移动安全领域的进步,黑客技术已经变得越来越普遍.随着人们越来越依赖于智能手机和其它的便携式设备来完成他们的日常活动,我们有必要了解一些Androi ...
GitHub 万星推荐:黑客成长技术清单 导语:如果你需要一些安全入门引导,“Awesome Hacking”无疑是最佳选择之一. 最近两天,在reddit安全板块和Twitter上有个GitHub项 ...
版本控制工具Git工具快速入门-Windows篇 作者:尹正杰 版权声明:原创作品,谢绝转载!否则将追究法律责任. 最近在学习Golang语言,之前的开发环境在linux上开发的,后来由于办公用的是w ...
读书笔记第一部分对应原书的第一章,主要介绍了Web应用程序的发展,功能,安全状况. Web应用程序的发展历程 早期的万维网仅由Web站点构成,只是包含静态文档的信息库,随后人们发明了Web浏览器用来检 ...
- 044. asp.net主题之三应用或禁用主题和动态加载主题
1.为单个页面指定主题可以将@Page指令的Theme或StyleSheetTheme属性设置为要使用的主题名称, 代码如下: <%@ Page Theme ="MyTheme&quo ...
- ecshop有关real_ip()你发现的问题
我这边有一个ECSHOP后台,有一个功能,在客户下订单时自动获取客户IP,用的是ECSHOP本身的real_ip函数,但这个函数存在一个问题,十个订单得到的IP,可能会有几个与CNZZ统计得到的不一样 ...
- C++ 的多重继承
不能够从对象访问基类的公开方法,真悲剧!只能在类里面提供公共函数! void Mentor::GetInfo(){ cout<<endl<<name<<endl&l ...
- LDA-线性判别分析（三）
本来是要调研 Latent Dirichlet Allocation 的那个 LDA 的, 没想到查到很多关于 Linear Discriminant Analysis 这个 LDA 的资料.初步看了 ...
- 【PAT_Basic日记】1004 成绩排名
至今仍然存在问题,第一个测试点不过 #include <stdio.h> #include <stdlib.h> #include <string.h> typed ...
- 制作 alipay-sdk-java包到本地仓库
一.首先 搭建好maven 基础环境,本地可以运行maven 命令 从支付宝官网上下载sdk https://doc.open.alipay.com/doc2/detail?treeId=54& ...
- shell正则表达
shell正则表达 .*和.?的比较: 比如说匹配输入串A: 101000000000100 使用 1.*1 将会匹配到1010000000001,匹配方法:先匹配至输入串A的最后, 然后向前匹配,直 ...
- JAVA体系的线程的实现，线程的调度，状态的转换
java体系中线程的实现 1.使用内核线程实现 内核线程就是直接由操作系统内核支持的线程,这种线程由内核来完成线程切换,内核通过操作调度器对线程进行调度,并负责将线程的任务映射到各个处理器上,每个内核 ...
- CentOS7 安装java 环境 摘抄
转http://www.diyhi.com/hostConfig.html 服务器环境配置 下面介绍全新安装的CentOS系统服务器安装配置商城软件服务环境的方法.演示主机操作系统为CentOS 7. ...
- 转载：推荐给每个“数据分析师”看的PPT——关于开会的那点事
推荐给每个“数据分析师”看的PPT——关于开会的那点事 经常对开会“深恶痛绝”,大概的原因有两个,其一,开会之前的准备,各种指标.各种分析.各种PPT,其二,开会中的板凳.废话,尤其是走形式的会议,战 ...
