攻击技术研判 | 利用WIFI对抗虚拟机分析

admin 2022年11月7日19:49:33移动安全评论4 views1541字阅读5分8秒阅读模式
攻击技术研判 | 利用WIFI对抗虚拟机分析

情报背景

近期,Perception Point发现了一起复杂的网络钓鱼攻击事件,该钓鱼攻击中使用了Doenerium恶意软件进行数字货币窃取和信息窃取,该恶意软件中使用了一个较为罕见的反虚拟机技术:利用WIFI对抗虚拟机,本文将对此技术进行分析。


组织名称

相关工具

Doenerium

战术标签

防御规避

技术标签

反虚拟机 反分析

情报来源

https://perception-point.io/

doenerium-malware/


01 攻击技术分析

此次攻击过程如下:

1.制作主题为"重要Windows更新"的电子邮件进行钓鱼

攻击技术研判 | 利用WIFI对抗虚拟机分析


2.在用户点击邮件中的下载后,会重定向至恶意软件网址

攻击技术研判 | 利用WIFI对抗虚拟机分析


3.下载下来的zip文件中包含了使用说明readme和伪装成Windows更新的恶意软件


4.执行恶意软件,攻击者进行信息窃取,达到攻击目的


亮点 利用WIFI反虚拟机

反虚拟机

恶意代码编写者经常使用反虚拟机技术用于逃避分析,检测自己是否运行在虚拟机中。当恶意代码检测到自己在虚拟机中运行,会选择执行与正常情况下不同的行为代码,比如:停止自身运行或执行正常程序功能。


WIFI信息利用

在该恶意软件中使用如下代码实现WIFI数量检测

if (client.config.counter.wifinetworks == 0) {
    const wifi_connections = await client.requires.systeminformation.getDynamicData();
    if (wifi_connections.wifiNetworks.length == 0) {
        result = true;
    }
}


WIFI作为现在人们上网常用的网络连接方式之一,一般情况下电脑都曾使用过WiFi。


检测WIFI实现反虚拟机技术有如下优点:

Windows虚拟机将所有网络连接识别为有线连接。因此,在一般情况下虚拟机中没有WiFi连接痕迹,而作为一台真实物理机,一般都曾连接过WiFi。因此有较好的区分虚拟机和真实物理机的作用,有较好的实战效果。


执行CMD命令netsh wlan show profiles,可获取本机的所有WIFI信息,具体对比入下图:

攻击技术研判 | 利用WIFI对抗虚拟机分析
攻击技术研判 | 利用WIFI对抗虚拟机分析


2.该方式基于逻辑检测,而不是技术对抗,实现上比较简单,当虚拟机仿照真实环境配置WiFi时,也可以进一步修改逻辑,进行对抗。


同2可得,在譬如外连无线USB适配器至虚拟机的特殊情况下,虚拟机中还是会有WiFi连接痕迹存在。因此,该方式适合作为反虚拟机的条件之一使用或在攻防过程中继续改进使用。


02 总结

在如今直接的技术对抗难度不断升级的情况下,攻击者往往会通过寻找真实环境与虚拟环境下的不同,寻找逻辑漏洞,进行逻辑上的对抗。逻辑对抗上实现简单,可不断改进,是反调试、反虚拟机等对抗技术的好的着落点。


攻击技术研判 | 利用WIFI对抗虚拟机分析

绿盟科技天元实验室专注于新型实战化攻防对抗技术研究。

研究目标包括:漏洞利用技术、防御绕过技术、攻击隐匿技术、攻击持久化技术等蓝军技术,以及攻击技战术、攻击框架的研究。涵盖Web安全、终端安全、AD安全、云安全等多个技术领域的攻击技术研究,以及工业互联网、车联网等业务场景的攻击技术研究。通过研究攻击对抗技术,从攻击视角提供识别风险的方法和手段,为威胁对抗提供决策支撑。


攻击技术研判 | 利用WIFI对抗虚拟机分析

M01N Team公众号

聚焦高级攻防对抗热点技术

绿盟科技蓝军技术研究战队

攻击技术研判 | 利用WIFI对抗虚拟机分析

官方攻防交流群

网络安全一手资讯

攻防技术答疑解惑

扫码加好友即可拉群


往期推荐

攻击技术研判|使用cdb.exe规避主机安全防御

攻击技术研判 | 利用WIFI对抗虚拟机分析

攻击技术研判 | 典型BYOVD利用与Ring0防御削弱技术研判

攻击技术研判 | 利用WIFI对抗虚拟机分析

攻击技术研判 | 后宏时代:PPT鼠标悬停事件的新利用

攻击技术研判 | 利用WIFI对抗虚拟机分析


原文始发于微信公众号(M01N Team):攻击技术研判 | 利用WIFI对抗虚拟机分析

特别标注: 本站(CN-SEC.COM)所有文章仅供技术研究,若将其信息做其他用途,由用户承担全部法律及连带责任,本站不承担任何法律及连带责任,请遵守中华人民共和国安全法.
  • 我的微信
  • 微信扫一扫
  • weinxin
  • 我的微信公众号
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2022年11月7日19:49:33
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                  攻击技术研判 | 利用WIFI对抗虚拟机分析 http://cn-sec.com/archives/1396641.html

发表评论

匿名网友 填写信息

:?: :razz: :sad: :evil: :!: :smile: :oops: :grin: :eek: :shock: :???: :cool: :lol: :mad: :twisted: :roll: :wink: :idea: :arrow: :neutral: :cry: :mrgreen: