远程控制木马的探讨

安全 黑客攻防
传统意义上的远程控制木马由于适用面不广,使用比较单一,只注重功能不注重一些安全上的问题,出现过的事故就有: 控制者被反查、控制者机器被利用文件下载上传文件反控、相关黑客被杀、抓鸡黑客被网警追捕、主要成员被国际通缉等等。

传统意义上的远程控制木马由于适用面不广,使用比较单一,只注重功能不注重一些安全上的问题,出现过的事故就有:

1.控制者被反查;

2.控制者机器被利用文件下载上传文件反控;

3.相关黑客被杀;

4.抓鸡黑客被网警追捕;

5.主要成员被国际通缉等。

下一代远程控制木马的思路探讨

传统的远程控制木马

最初

1. 大多使用tcp协议作为其主要通信协议,没有采用对应的加密措施。

2. 木马文件经过加壳或者没有加壳,可轻易被分析出特征码。

3. 相关功能都被整合到了一起,免杀时间短。

4. 不稳定性,遇到复杂的网络环境可能存在上线难的问题。

5. 上线采用动态域名,经过不可靠第三方中转信息可被轻易拦截或者伪造。

6. 大多采用注册表启动或者注册服务启动,少有修改文件方式。

7. 存在可执行文件,dll,sys,启动方式大多采用独立启动,没有或者少有文件感染,进程注入。

8. 种马感染方式单一,大多采用网络传输方式感染。

9. 驻留方式单一,大多是驻留在系统。不存在反沙盒分析功能。

10. 大多是c/s结构,即client/server。木马文件普遍较大。

后来

1. 除了tcp木马之外出现了udp木马,但依然没有采取加密措施。

2. 木马在原有加壳基础之上,开始出现了自写壳,反调试等反分析措施。

3. 由原来的整合到一起开始出现了生成器/控制端的模式,免杀时间稍微变长。

4. 上线开始出现了多种上线模式,出现了网站空间上线、FTP上线、数据库上线。

5. 稳定性变强。出现了反弹上线木马。

6. 开始出现修改系统文件,修改服务启动方式隐藏自身。

7. 开始出现了迷你版本木马,出现了无进程,文件感染,进程注入技术应用。

8. 出现了多种感染方式,木马本身在感染母体后出现了感染移动设备的情况。

9. 开始出现了驻留bios,感染映像文件木马。依然不存在反沙盒分析能力。

10. 出现了b/s,即浏览器/服务器模式交互通信木马。稳定性变强。文件比起上一代变小了一些。

现在

1. 除了tcp,udp木马之外,开始出现了https,ssl木马,但本身还是会被抓到木马原型。

2. 木马在原有加壳,自写壳,反调试基础之上,出现了shellcode木马,dll木马,纯进制文件靠其他文件加载木马。

3. 由原来的生成器/控制端模式开始出现了模块化木马,抗分析,免杀能力变强。

4. 上线由原来的单一上线模式出现了支持混合协议上线模式木马,一个服务器被封,可保持被控者依然不掉。

5. 稳定性在原有基础之上变得更强,除了反弹上线之外,出现了依靠其他服务上线木马。

6. 除了原来的修改、感染文件方式之外,出现了感染声卡,感染网卡方式。

7. 除了无进程之外,出现了无文件,无端口端口木马技术应用。

8. 除了感染移动设备外,出现了跨平台感染木马,内网感染木马,会感染比如智能交易终端之类的设备。

9. 出现了反内存分析、文件定时自动变异木马,会给分析带来一定难度。

10.出现了混合控制方式木马,可以b/s也可以c/s。

11.由原来的从vc/delphi/vb之类的语言编写的远控木马开始出现了脚本编写的远控木马程序。体积更小,方式更加隐蔽。

责任编辑:蓝雨泪 来源: FreeBuf
相关推荐

2011-06-08 13:16:48

2010-04-15 10:48:29

2014-01-17 17:33:32

远程开机

2011-09-19 13:43:19

2014-10-14 18:03:11

远程监控

2013-12-20 16:43:33

远程开机关机

2013-12-10 18:16:31

2014-01-15 15:01:54

远程控制

2014-01-07 17:21:27

远程控制

2013-11-06 09:56:58

2023-09-18 14:41:56

2010-09-26 10:41:31

2011-08-08 15:57:43

2013-09-09 11:12:06

网络人远程控制软件

2010-03-17 15:54:42

Java线程控制权

2009-04-27 15:53:40

局域网远程控制接入

2010-01-08 14:35:58

2012-04-10 14:57:30

Windows桌面远程控制Linux

2013-11-07 14:12:36

远程控制IT管理

2013-09-29 10:37:32

点赞
收藏

51CTO技术栈公众号