Windows PowerShell - 資安趨勢部落格

檔案掃描程式的加強讓惡意軟體作者選擇跳脫原本傳統惡意軟體的安裝行為。惡意軟體將自己複製到惡意程式碼內所指定的位置，再利用持續性策略（像是加入自動啟動功能以確保自己持續運作）的做法已經不再足夠。檔案掃描程式可以輕易地封鎖和偵測這些威脅。

趨勢科技注意到的一個手法是利用無檔案惡意軟體。跟大多數惡意軟體不同，無檔案惡意軟體將自己隱藏在難以掃描或偵測的位置。無檔案惡意軟體只存在於記憶體中，並直接寫入記憶體而非目標電腦的硬碟上。POWELIKS是一個無檔案惡意軟體的例子，它可以將惡意程式碼隱藏在Windows註冊表中。利用一個傳統惡意軟體將惡意程式碼加入註冊表內。

在2014年8月，POWELIKS 的閃躲技術及使用Windows PowerShell 讓它被視為可能出現在未來攻擊的危險工具。

無檔案感染技術的成功（可以從2014年後期出現的POWELIKS感染高峰看出）讓其他惡意軟體作者也想要跟著仿效。在本文中，我們將討論另一個知名的惡意軟體也具備無檔案感染行為。

Phasebot，源自Solarbot

另一個無檔案惡意軟體的例子是「Phasebot」，趨勢科技發現它出現在販賣惡意軟體和其他惡意線上工具的網站上，被自稱是惡意軟體的創造者加以兜售。我們將 Phasebot偵測為TROJ_PHASE.A。Phasebot 同時具備 rootkit和無檔案執行能力。

趨勢科技注意到這個惡意軟體和Solarbot有著相同的功能，這個舊「Botnet傀儡殭屍網路」程式第一次出現是在2013年底左右。當我們比較販賣這兩個惡意軟體的網站後就可以看得更加清楚。

圖1、比較Solarbot（上）和Phasebot（下）網站

繼續閱讀

利用Windows PowerShell感染 Word和 Excel檔案

惡意軟體已經針對 Word和 Excel檔案有好一段日子了，但趨勢科技最近看到一個新的惡意軟體家族 – CRIGENT（也被稱為「Power Worm」）帶來了一些新的技術。（趨勢科技將這些檔案偵測為W97M_CRIGENT.JER和X97M_CRIGENT.A。）

最引人注意的並不是建立或包含可執行程式碼，而是 CRIGENT 利用Windows PowerShell來執行其程序。PowerShell是一個功能強大的互動式 shell/腳本工具，可用在Windows的所有現行版本上（而且從Windows 7開始內建）；該惡意軟體會透過PowerShell腳本來進行所有行為。因為IT管理員通常會找的是惡意二進位檔而可能會忽略掉它，因為使用這種技術的惡意軟體並不常見。

到達及其他組件

這種威脅會透過一個受感染的Word或Excel文件到達，可能是由其他惡意軟體所植入，或是經由使用者下載/存取。一旦打開，它會馬上從兩個著名的網路匿名專案下載另外兩個組件：Tor 網路以及Polipo，一個個人網頁快取/代理伺服器。

攻擊者會去掩飾這兩個檔案（經由變更它們的檔名），並且隱藏DNS記錄來掩蓋這些檔案的來源。這些檔案放在正常的雲端檔案儲存服務上（在此案例中是Dropbox和OneDrive）。這些檔案的網址被隱藏在DNS記錄中。這是如何做到的？

他會存取兩個不同網域的DNS記錄，並且在每個網域內建立一個子網域。不過他沒有將子網域對應到任何特定的IP地址。相反地，他儲存文字在DNS記錄中，再特別去查詢TXT記錄。（為了逃避本地端的DNS攔截，他會直接查詢Google的公共DNS伺服器），Windows內執行的命令是：