“低调”的Windows Rootkit

让我们把 APT 攻击的阶段简化，在初始打点阶段攻击者可能会采用漏洞利用或钓鱼攻击，毫无疑问，近几年也是钓鱼攻击大行其道地几年。

以文档钓鱼为例，收到的钓鱼邮件可能会像这样：

当然，我们也可能收到伪装成文档的 PE 文件：

它也有可能长这样：

尽管形式还算多样，但细心的你一定已经发现了，它们或多或少都存在着一些可识别的特征，在经历过钓鱼的反复洗礼后，甚至会有部分人不管什么邮件都直接丢VT跑一圈（当然这样做不好，毕竟误传敏感文件还是比较严重的），这些特征让攻击活动变得非常容易暴露。

再假定攻击活动已经进行到权限维持之后，我们也会排查到下述类似情况：

当然，这样做会显得有些过于直接，攻击者可能会采用更为复杂的手法，比如DLL劫持，一方面避免了持久化的痕迹，另一方面在免杀上也取得了一定效果，但我们仍然可以观测到：

这样来看，发现一个异常也不算太难，对吧，毕竟攻击者在每个环节都或多或少地留下了一些痕迹，无论我们哪个环节捕获到了威胁，都可以向前和向后反溯，还原攻击链路。但由于真实环境足够复杂，也不是所有人员都具备安全知识和安全意识，导致攻击活动通常也能成功，甚至持续很长时间不被发现。但至少，当你感知到它可能存在威胁时，还是能比较容易地发现它。

那么，这样的威胁我们还是可以称之为“摆在明面上”的威胁，你只需要更加耐心和细心地将它们找出来，而随着安全体系建设地逐渐完整和全员安全意识地不断提高，此类攻击的生存期也会不断缩短。

回过头来，我们再看一看 Windows Rootkit，历史上 APT 组织 Strider 曾利用一款名为 Remsec 的恶意软件对多个国家，包括政府机构在内的系统进行了长达五年之久的监控。

其实这里少说了一个词“至少”，该 Rootkit 帮助攻击者完成了至少长达五年的攻击活动，这期间包括俄罗斯、伊朗、卢旺达、瑞典、比利时在内的多个国家的政府机构、科学研究中心、军事组织、电信提供商和金融机构都有被感染。

且该 Rootkit 的功能非常完善，具有密码窃取、键盘记录、后门控制等多种功能，试想这样一个恶意软件对上述目标进行着长达至少五年的监控，是否足够让人警惕呢？

Remsec 被发现之时，研究员们对它的评价是“一种几乎不可能被检测到的恶意软件”，而这也是一直以来大家对 Rootkit 的认识，这一点是否非常值得我们深思呢，究竟是 Windows Rootkit 慢慢销声匿迹了，还是受限于能力不足导致其检出率如此之低，而生存期又如此之长呢？

其实对于攻击者来说，打点技巧是多种多样的，并不一定要选择像钓鱼这样会留下明显痕迹的技巧，对于那些使用未知技巧，甚至是 0day 进行攻击的活动，我们想要在打点阶段捕获它们的可能性较低，这种情况下，捕获攻击者在后门植入、持久化等阶段留下的痕迹，并基于此反溯，还原攻击链路会是一个不错的选择，而 Rootkit 会把这些痕迹通通隐藏，让我们的命中难度剧增。下图显示了近年来在野 0day 数量。

换句话说，Rootkit 可以把攻击者不想让你发现的攻击痕迹进行隐藏，比如我们在进程异常排查中，会关注那些有着异常通信或是可疑模块加载的进程。

以白加黑技术为例，该技术虽然能在免杀上取得良好效果，但如果同时存在异常通信和可疑模块(未签名的 dll)，我们就还是能较为容易地定位到异常点。

而通过一些简单的技巧，就可以在一定程度上对白加黑利用中的恶意 dll 进行隐藏。

而 Rootkit 能达成的隐藏效果，会远胜于上图情况，当使用 Rootkit 从分析工具中彻底隐去这些异常点时，你还能快速地判定该进程有问题吗？

当然，此处仅是过滤了异常模块，这也只是 Rootkit 能做到的一小部分，除此以外，服务、端口、流量等也都可以通过 Rootkit 进行操作，那么你想看到什么，攻击者就可以让你看到什么，“摆在明面上”的威胁就转变成了“隐藏在暗地里”的威胁，想在主机上发现异常就会变得极其困难。

前面的内容提到，Windows 引入了两大安全机制来对抗 Rootkit，分别是签名验证和 PatchGuard，我们将针对这两个点分别展开讨论。

其实，就算你遇到一个有着合法签名的 Rootkit 也不算什么新鲜事了。

回过头来单看2021，Windows Rootkit 攻击更多地集中在游戏行业（我想，这也是它们相对而言较快暴露的一个原因，传播量变大的同时，也遭受了更多的关注），但当 Rootkit 调转*头对准更高价值的目标时，当它们的目的不再是简单地获利时，当它们的动静更小，隐藏更具针对性时，我们是否做好应对准备了呢？毕竟从技术角度而言，APT 组织又有什么理由拒绝 Rootkit 呢?

值得注意的是，当APT组织拿起 Rootkit 这个武器时，它们*头要对准的将会是包括政府、军事在内的各种重要组织机构，它们的目的将不再是简单地获利，而是对目标地长期监控和重要情报的窃取，这一点从历史APT运用 Rootkit 进行的攻击事件中不难发现。

基于社工和钓鱼结合的攻击活动虽能以较小的成本拿下目标，但留下的明显痕迹会导致其生存期骤减，很容易在打点阶段就暴露，而通过其它未知渠道打点后，借助合法进程、机制完成恶意活动(如 Lazarus 对 Get-MpPreference 的利用)，或通过白加黑(如 dll 劫持，LOLBINS)等方式进行后门安置和权限维持等，虽然在免杀层面有着不错的效果，却不能很好地隐匿攻击痕迹。

Rootkit 更多地对应在后门安置、持久化阶段，掌握这项技术的攻击者也会有着更高的技术水平，他们或许会更青睐于一些高级的打点技巧，以降低每个环节被捕获的可能性，当然，越高价值的目标越会吸引更高成本的投入，我们想要从容应对也就更加困难，而事实上，是否有 APT 组织正利用着此技术进行攻击活动也尚未可知。