如何检测并清除WMI持久化后门

41yf1sh 技术 2019年1月8日发布
Favorite收藏

导语:WMI事件订阅是一种非常流行的终端持久化技术。我们针对Empire的WMI模块进行了尝试,并对其模块进行分析,同时还汇总了可用于查看和删除WMI事件订阅的PowerShell命令。本文将主要阐述如何检测WMI持久化后门并进行移除。

概述

WMI(Windows Management Instrumentation)事件订阅(Event Subscription)是一种非常流行的终端持久化技术。我们针对Empire的WMI模块( https://github.com/EmpireProject/Empire )进行了尝试,并对其模块进行分析,同时还汇总了可用于查看和删除WMI事件订阅的PowerShell命令。本文将主要阐述如何检测WMI持久化后门并进行移除。

“WMI事件订阅”在MITRE ATT&CK技术中的编号为T1084,详情请参见: https://attack.mitre.org/wiki/Technique/T1084

攻击者可以利用WMI的事件订阅功能,在特定事件发生时执行任意代码,从而保证其恶意软件的持久性。

关于WMI

WMI是微软实施的WBEM(基于Web的企业管理,Web-Based Enterprise Management),WBEM是一项行业计划,旨在开发用于访问企业环境中管理信息的标准技术。WMI使用通用信息模型(Common Information Model)行业标准来表示系统、应用程序、设备和其他可管理的组件。

事件过滤器是一个WMI类,用于描述WMI向事件使用者(Event Consumer)所传递的时间。此外,事件过滤器还描述了WMI传递事件的条件。

配置Sysmon日志记录

在Sysmon中,可以通过配置,开启对WmiEventFilter、WmiEventConsumer和WmiEventConsumerToFilter活动的记录,同时能够启用WMI滥用检测。

1.png

在Roberto Rodriguez(@Cyb3rWard0g)发布的Sysmon配置文件中,还支持捕获上述事件ID的功能。

执行以下命令,安装Sysmon并配置应用文件。

sysmon.exe -i -c .\config_file.xml

建立持久性

接下来,我们尝试使用Empire是的Invoke-WMI模块,来创建一个永久的WMI订阅,从而在目标用户的终端上建立持久性。

查看Empire中与WMI相关的模块:

1_JRCFX-PCSzIPOe76Pft5Qw.png

查看Empire中Invoke-WMI模块的选项:

1_vl8S6lxvFBdCtlfWWZrHYA.png

运行模块:

1_9Gs6vM3l1q6ElpAOy5vTEA.png

检测方法

通过查看Sysmon日志,我们可以看到以下Empire模块:

1、已经注册的WMI事件过滤器(Event Filter)

2、已经注册的WMI事件使用者(Event Consumer)

3、将事件使用者绑定到事件过滤器

1_cfqTB5-ka63ohhgTqcu52A.png

WMI事件过滤器设置执行阶段的条件,包括对系统正常运行时间的引用。

ID为19的Sysmon事件 – WmiEvent(检测到WmiEventFilter活动):

1_EofnbAOSB1mr8odnUSg_cQ.png

在WMI事件使用者(Event Consumer)中,可以看到由Empire创建的条目,其内容进行了Base64编码。并且,使用了看似合法的名称Updater进行注册。

ID为20的Sysmon事件 – WmiEvent(检测到WmiEventConsumer活动):

1_f5j1NV-BVvQmsglYoQ3Tfw.png

WMI事件使用者CommandLineEventConsumer.Name=\”Updater\"被绑定到事件过滤器__EventFilter.Name=\”Updater\”。

ID为21的Sysmon事件 – WmiEvent(检测到WmiEventConsumerToFilter活动):

1_Ql2SRtWXie8iycEJ-AQ_Rw.png

现在,事件使用者已经被成功绑定到事件过滤器。如果满足事件过滤的条件,那么就会触发事件使用者(Stager)。

彻底清除WMI持久化后门

如果想要从WMI数据库中删除特定条目,最简单的方法就是使用Autoruns。我们以管理员身份启动Autoruns,并选择WMI选项卡,以查看与WMI相关的持久性。

使用Autoruns查看WMI数据库条目:

1_HrM52HnYVK7UH3DQGYykGg.png

使用Autoruns查看WMI数据库中内容:

1_UjaSX9LZkS1CX_OzVIoCPg.png

右键单击恶意WMI数据条目,然后选择“删除”。

或者,我们也可以从命令行中删除WMI事件订阅。

在PowerShell中,可以使用Get-WMIObject查看WMI中事件筛选器绑定的事件使用者。感谢Boe Prox(@proxb)在他的博客上详细解释了这些命令。

# Reviewing WMI Subscriptions using Get-WMIObject
# Event Filter
Get-WMIObject -Namespace root\Subscription -Class __EventFilter -Filter “Name=’Updater’”
 
# Event Consumer
Get-WMIObject -Namespace root\Subscription -Class CommandLineEventConsumer -Filter “Name=’Updater’”
 
# Binding
Get-WMIObject -Namespace root\Subscription -Class __FilterToConsumerBinding -Filter “__Path LIKE ‘%Updater%’”

使用Remove-WMIObject,删除与WMI持久性相关的所有组件。

# Removing WMI Subscriptions using Remove-WMIObject
# Event Filter
Get-WMIObject -Namespace root\Subscription -Class __EventFilter -Filter “Name=’Updater’” | Remove-WmiObject -Verbose
 
# Event Consumer
Get-WMIObject -Namespace root\Subscription -Class CommandLineEventConsumer -Filter “Name=’Updater’” | Remove-WmiObject -Verbose
 
# Binding
Get-WMIObject -Namespace root\Subscription -Class __FilterToConsumerBinding -Filter “__Path LIKE ‘%Updater%’” | Remove-WmiObject –Verbose

删除WMI事件订阅:

1_0N2vYQPq1uo83m_15djMdA.png

再次运行Autoruns,以验证WMI持久化后门是否已成功清除:

1_xux-iys417DB89mNZC7RKw.png

本文翻译自:https://medium.com/threatpunter/detecting-removing-wmi-persistence-60ccbb7dff96如若转载,请注明原文地址: https://www.4hou.com/technology/14024.html
点赞 0
WMI
  • 分享至
取消

感谢您的支持,我会继续努力的!

扫码支持

打开微信扫一扫后点击右上角即可分享哟

发表评论