DLL 侧加载与持久化攻击

样本信息

  • 文件：DE_timestomp_and_dll_sideloading_and_RunPersist.evtx

  • 文件 SHA256：ce94f2bd83c0adf2381afee0f3714b41aef4ae0997350b3aa039d7947865164c

  • 解析出有效事件 30 条，其中 Microsoft-Windows-Sysmon 23 条、Microsoft-Windows-Diagnostics-Performance 7 条

  • Sysmon 主要时间范围：2019-04-27 15:57:25.868～15:57:54.165 UTC

  • 主机：IEWIN7；主要用户：IEWIN7\IEUser

攻击链

文件时间戳篡改

Sysmon Event ID 2 记录了实际的修改前后时间：

Record ID 目标文件 PreviousCreationUtcTime CreationUtcTime（修改后）
6 NvSmart.exe 2019-04-27 15:57:53.634 2013-09-04 16:29:27.000
8 NvSmartMax.dll 2019-04-27 15:57:53.634 2013-09-04 16:29:27.000
9 NvSmartMax.dll.url 2019-04-27 15:57:53.650 2013-09-05 17:50:28.000

这三条事件的 Image 都是 C:\Users\IEUser\Downloads\Flash_update.exe，对应 ProcessGuid {365abb72-7c01-5cc4-0000-00102b3e0c00}。这是直接证实的 Timestomp 行为

pasted_1791907110139_y9o3b5.png

DLL 侧加载

程序在加载 DLL 时，会按固定顺序搜索目录（通常是自身所在目录优先）

攻击者把恶意 DLL 放到合法程序旁边，程序启动时就会优先加载这个恶意 DLL，从而在 “合法进程” 的掩护下执行恶意代码

关键证据 Record ID 10（Sysmon ID 1）：

1
2
3
4
5
6
7
# NVIDIA 的合法组件绝不会从用户的 AppData\Roaming 目录运行
# 这是典型的用户可写目录落地，攻击者无需管理员权限即可写入
Image:       C:\Users\IEUser\AppData\Roaming\NvSmart.exe
# 父进程从 Downloads 目录运行
ParentImage: C:\Users\IEUser\Downloads\Flash_update.exe
ProcessId:   2992
IntegrityLevel: High
1
2
3
4
5
6
钓鱼/下载  →  C:\Users\IEUser\Downloads\Flash_update.exe  (诱饵)
                        │ 启动
                        ▼
              C:\Users\IEUser\AppData\Roaming\NvSmart.exe  (伪装成 NVIDIA 组件)
                        │
                  以 IEUser 权限常驻

pasted_1791908180829_2zmefj.png

关键证据 Record ID 14（Sysmon ID 7）：

1
2
3
4
5
6
7
8
Image:           C:\Users\IEUser\AppData\Roaming\NvSmart.exe
# 被加载的 DLL 同样位于用户可写目录 AppData\Roaming，与宿主程序同目录
ImageLoaded:     C:\Users\IEUser\AppData\Roaming\NvSmartMax.dll
# 签名状态为空 —— 未签名或签名信息缺失，恶意 DLL 的强特征
Signed: 
# 签名不可用
SignatureStatus: Unavailable
SHA256:          ECE29E4AF4B33C02DAFAC24748A9C125B057E39455ACF3C45464DB36BFE74881

pasted_1791908222662_6wzich.png

其它 ID 7 记录的 NvSmart.exe 映像具有 NVIDIA Corporation 签名，状态 Valid

结合上一条 Process Create 日志，攻击链已清晰：

1
2
3
4
5
6
7
8
9
10
C:\Users\IEUser\Downloads\Flash_update.exe      ← 诱饵（钓鱼下载）
            │ 启动
            ▼
C:\Users\IEUser\AppData\Roaming\NvSmart.exe     ← 伪装成 NVIDIA 组件（T1036）
            │ 同目录优先加载
            ▼
C:\Users\IEUser\AppData\Roaming\NvSmartMax.dll  ← 恶意 DLL（T1574.002 侧加载）
            │
            ▼
       恶意代码在“合法进程”上下文中执行

Run 注册表持久化

Run 注册表持久化是指攻击者在 Windows 的 HKCU\...\Run、HKLM\...\Run（及 RunOnce）等键值中写入恶意程序路径，使其在用户登录或系统启动时自动执行，从而实现对主机的长期控制

关键证据 Record ID 19（Sysmon ID 13）：

1
2
3
4
5
6
7
8
Image: C:\Users\IEUser\AppData\Roaming\NvSmart.exe
# 事件类型为"设置键值"
EventType: SetValue
TargetObject:
HKU\S-1-5-21-3583694148-1414552638-2922671848-1000\Software\Microsoft\Windows\CurrentVersion\Run\360v
# 落地载荷路径
# svchost.exe 本应位于 C:\Windows\System32\，这里却在 AppData\Roaming——典型的系统进程名伪装
Details: C:\Users\IEUser\AppData\Roaming\svchost.exe

HKU\<SID>\…\CurrentVersion\Run 是用户级登录自启动位置