盘点RUNDLL32.EXE的多种滥用方式及检测特征
发布时间：2021-12-13 09:13:06 所属栏目：安全 来源：互联网
导读：0x00 前言 在进行威胁狩猎的过程中，如果想要找到恶意软件，首先需要对平台和操作系统具有一定的了解。如果想要甄别合法软件和恶意软件，首先必须明确哪些是合法的。 作为一个具有30多年历史之久的操作系统，由于Windows的复杂性，往往使我们很难实现上面这
|
0x00 前言 在进行威胁狩猎的过程中，如果想要找到恶意软件，首先需要对平台和操作系统具有一定的了解。如果想要甄别合法软件和恶意软件，首先必须明确哪些是合法的。 作为一个具有30多年历史之久的操作系统，由于Windows的复杂性，往往使我们很难实现上面这一点。 也正因如此，恶意软件作者通常会编写恶意软件，模仿合法的Windows进程。因此，我们可能会看到恶意软件伪装成svchost.exe、rundll32.exe或lsass.exe进程，攻击者利用的就是大多数Windows用户可能都不清楚这些系统进程在正常情况下的行为特征。 此前，我们讨论过svchost.exe进程及其命令行选项。在这篇文章中，我们将深入挖掘rundll32.exe，以期对其有所了解。 盘点RUNDLL32.EXE的多种滥用方式及检测特征 0x01 关于RUNDLL32.EXE 顾名思义，rundll32.exe可执行文件是用于运行DLL（RUN DLL），即运行动态链接库的。 在MSDN中，对DLL的定义如下： 动态链接库（DLL）是一个模块，其中包含可以由另一个模块（应用程序或DLL）使用的函数和数据。 以下是使用rundll32.exe的最基本语法： rundll32 rundll32.exe可执行文件可以是子进程，也可以是父进程，具体要取决于执行的上下文。为了确定一个rundll32.exe实例是否属于恶意，我们需要确认几件事。首先，需要确认启动它的路径，其次是命令行。 合法的RUNDLL32.EXE进程始终位于： WindowsSystem32rundll32.exe WindowsSysWOW64rundll32.exe（64位系统上的32位版本） 至于rundll32.exe实例的命令行，完全取决于要运行的内容，例如CPL文件、DLL安装等等。 接下来，我们来看几个例子。 0x02 运行DLL 在其基本形式中，rundll32.exe将仅执行一个DLL，因此，如果我们看到了rundll32.exe实例，首先要检查被调用的DLL的合法性。 我们始终要检查DLL的调用位置。例如，如果是从%temp%调用kernel32.dll，这种情况显然是恶意的。此外，我们还需要在VirusTotal这样的站点上检查其哈希值。 0x03 SHELL32.DLL – “OpenAs_RunDLL” Rundll32.exe还可以执行DLL中的特定函数。例如，当选择一个文件并右键单击时，将会显示出一个上下文菜单，其中包含多个选项。这里的一个选项是“OpenWith”（打开方式）。在点击后，将会出现一个弹出窗口，可以从系统上安装的应用程序中进行选择。 实际上，在此过程的背后，是使用shell32.dll和OpenAs_RunDL函数启动rundll32.exe实用程序。 C:WindowsSystem32rundll32.exe C:WindowsSystem32shell32.dll,OpenAs_RunDLL < file_path > 这种在DLL中调用特定函数的行为非常普遍，因此我们恐怕无法将所有函数都了解全面。下面的两篇文章详细介绍了一系列rundll32.exe调用和对应的作用。 https://www.tenforums.com/tutorials/77458-rundll32-commands-list-windows-10-a.html http://chagdali.free.fr/dcs/RunDll.htm 0x04 SHELL32.DLL – “Control_RunDLL”、“Control_RunDLLAsUser”和控制面板程序 盘点RUNDLL32.EXE的多种滥用方式及检测特征 我们发现与shell32.dll一起使用的另一个常见函数是Control_RunDLL或Control_RunDLLAsUser。这两个函数用于运行.CPL文件或控制面板选项。 例如，如果我们要更改计算机的日期和时间，可以从控制面板启动对应的applet。 盘点RUNDLL32.EXE的多种滥用方式及检测特征 在后台，Windows实际上是使用以下命令行启动了rundll32.exe实例。 C:WINDOWSSystem32rundll32.exe C:WINDOWSSystem32shell32.dll,Control_RunDLL C:WINDOWSSystem32timedate.cpl 除了验证DLL的合法性。在使用Control_RunDLL或Control_RunDLLAsUser函数时，应该始终检查.CPL文件的合法性。 0x05 控制面板选项（.CPL） CPL即Control Panel Items（控制面板选项），是控制面板所提供功能对应的程序，或者换而言之，它们是导出CPIApplet函数的DLL。 .CPL文件可以包含一个applet索引可以引用的多个applet，每个applet可以包含一个选项卡索引可以引用的多个选项卡。 我们可以通过rundll32.exe实用程序访问和请求此信息，如下所示。 盘点RUNDLL32.EXE的多种滥用方式及检测特征 例如，System32文件夹中的main.cpl文件包含两个applet，分别是鼠标和键盘属性。如果我们要在鼠标属性中更改指针，实际的操作如下。 C:WINDOWSSystem32rundll32.exe C:WINDOWSSystem32shell32.dll,Control_RunDLL C:WINDOWSSystem32main.cpl,@0,1 如我们所见，我们可以轻松使用恶意版本来替换原始的main.cpl文件，不了解这方面知识的用户很容易注意不到这一点。实际上，这正是恶意软件作者感染计算机的方式。 在正常情况下，使用Control_RunDLL函数的rundll32.exe实例的父进程应该是explorer.exe或者control.exe。 其他进程也可以使用该函数启动rundll32.exe。例如，当运行inetcpl.cpl进行代理或网络配置时，rundll32.exe的父进程有可能是Google Chrome、MSGEDGE或IE。 如果大家想了解有关CPL以及恶意软件如何滥用的，可以阅读这篇趋势科技对CPL恶意软件的研究报告（ https://www.trendmicro.de/cloud-content/us/pdfs/security-intelligence/white-papers/wp-cpl-malware.pdf ）。 0x06 DEVCLNT.DLL – “DavSetCookie”（Web Dav客户端） Rundll32.exe实例有一个神秘的命令行，可能会大量出现在日志中，其格式如下。 C:WINDOWSSystem32rundll32.exe C:Windowssystem32davclnt.dll,DavSetCookie < Host > < Share > 当使用file://协议时，无论是在Word文件中，还是通过共享窗口，有时（如果SMB被禁用）会使用WebDav客户端来请求这些文件。在此时，会通过rundll32.exe实用程序发出请求。 这类请求的父进程是svchost.exe，其中的“-s WebClient”参数并不是必须添加的。 C:Windowssystem32svchost.exe -k LocalService -p -s WebClient 类似Emotet这样的恶意软件在此前已经利用了这种技术。因此，我们始终需要分析这类命令行中包含的主机，并确保全部都是合法的。 0x07 RUNDLL32.EXE – “-sta”或“-localserver”标志 有一个鲜为人知的命令行参数，就是“-sta”和“-localserver”。二者均可以用于加载恶意注册的COM对象。 如果我们在日志中看到以下内容，或者发现有进程使用了下面的命令行参数运行： rundll32.exe –localserver < CLSID_GUID > rundll32.exe –sta < CLSID_GUID > 我们就需要验证相应的注册表项HKEY_CLASSES_ROOTCLSID 我强烈推荐大家阅读@bohops的文章，以详细了解这种技术。在hexacorn的博客中，详细介绍了“-localserver”的变体。 https://bohops.com/2018/06/28/abusing-com-registry-structure-clsid-localserver32-inprocserver32/ 0x08 RUNDLL32.EXE – 执行HTML或JavaScript 攻击者可能会在rundll32.exe中使用的另一个命令行参数是“javascript”标志。 实际上，rundll32.exe实例可以使用mshtml.dll和javascript关键词来运行HTML或JavaScript代码。 rundll32.exe javascript:"..mshtml,RunHTMLApplication < HTML Code > 我从未见过这种方式的任何一次合法使用。因此，一旦我们在日志中发现了这类使用方法，就应该立即进行应急排查。 可以通过下面的资源，了解这种技术的更详细信息： https://pentestlab.blog/2017/05/23/applocker-bypass-rundll32/ https://oddvar.moe/2017/12/13/applocker-case-study-how-insecure-is-it-really-part-1/ https://lolbas-project.github.io/lolbas/Binaries/Rundll32/ 0x09 总结 感谢大家的阅读，希望能通过本篇文章对Rundll32有所了解。 如果大家有任何反馈或建议，欢迎通过Twitter @nas_bench与我联系。 0x0A 参考文章 [1] https://bohops.com/2018/06/28/abusing-com-registry-structure-clsid-localserver32-inprocserver32/ [2] https://threathunterplaybook.com/evals/apt29/report.html [3] https://www.hexacorn.com/blog/2020/02/13/run-lola-bin-run/ [4] https://www.trendmicro.de/cloud-content/us/pdfs/security-intelligence/white-papers/wp-cpl-malware.pdf [5] https://support.microsoft.com/en-us/help/149648/description-of-control-panel-cpl-files [6] https://isc.sans.edu/forums/diary/Lets+Trade+You+Read+My+Email+Ill+Read+Your+Password/24062/ [7] https://blog.didierstevens.com/2017/11/13/webdav-traffic-to-malicious-sites/ （编辑：大连站长网） 【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容! |
站长推荐