روتكيت r77

روتكيت بلا ملفات في الحلقة 3

r77 هو روتكيت حلقة 3 يخفي كل شيء:

الملفات، المجلدات
العمليات واستخدام وحدة المعالجة المركزية/وحدة معالجة الرسوميات
مفاتيح وقيم التسجيل
الخدمات
اتصالات TCP و UDP
النقاط المرتبطة، الأنابيب المسماة، المهام المجدولة

الإخفاء بواسطة البادئة

كل ما يبدأ بـ "$77" يكون مخفيًا.

نظام التهيئة

يسمح نظام التهيئة الديناميكي بإخفاء العمليات حسب PID والاسم، وعناصر نظام الملفات حسب المسار الكامل، واتصالات TCP و UDP لمنافذ محددة، إلخ.

توجد التهيئة في HKEY_LOCAL_MACHINE\SOFTWARE\$77config ويمكن لأي عملية الكتابة إليها دون صلاحيات مرتفعة. تم تعيين DACL لهذا المفتاح لمنح وصول كامل لأي مستخدم.

بالإضافة إلى ذلك، يتم إخفاء المفتاح $77config بواسطة الروتكيت.

المثبت

يتطلب نشر r77 ملفًا واحدًا فقط: Install.exe. يؤدي التنفيذ إلى تثبيت r77 بشكل دائم على النظام وحقن جميع العمليات الجارية.

يزيل Uninstall.exe r77 من النظام بشكل كامل وسلس.

Install.shellcode هو مكافئ الشيلكود للمثبت. بهذه الطريقة، يمكن دمج التثبيت دون إنزال Install.exe. يمكن ببساطة تحميل الشيلكود في الذاكرة، تحويله إلى مؤشر دالة، وتنفيذه:

int main()
{
	// 1. Load Install.shellcode from resources or from a BYTE[]
	// Ideally, encrypt the file and decrypt it here to avoid scantime detection.
	LPBYTE shellCode = ...

	// 2. Make the shellcode RWX.
	DWORD oldProtect;
	VirtualProtect(shellCode, shellCodeSize, PAGE_EXECUTE_READWRITE, &oldProtect);

	// 3. Cast the buffer to a function pointer and execute it.
	((void(*)())shellCode)();

	// This is the fileless equivalent to executing Install.exe.

	return 0;
}

تدفق التنفيذ

يقيم الروتكيت في ذاكرة النظام ولا يكتب أي ملفات على القرص. يتم تحقيق ذلك عبر مراحل متعددة.

يوضح هذا الرسم البياني كل مرحلة من تنفيذ المثبت وصولاً إلى تشغيل DLL الروتكيت في كل عملية. تحتوي الوثائق على فصل بتفاصيل شاملة حول تنفيذ كل مرحلة.

التهرب من برامج مكافحة الفيروسات/EDR

تُستخدم عدة تقنيات للتهرب من برامج مكافحة الفيروسات وEDR:

تجاوز AMSI: يقوم النص البرمجي المضمن في PowerShell بتعطيل AMSI عن طريق تصحيح amsi.dll!AmsiScanBuffer لإرجاع AMSI_RESULT_CLEAN دائمًا. يُستخدم تعدد الأشكال للتهرب من اكتشاف التوقيعات لتجاوز AMSI.
إزالة تعليق DLL: نظرًا لأن حلول EDR تراقب استدعاءات API عن طريق تعليق ntdll.dll، يجب إزالة هذه التعليقات عن طريق تحميل نسخة جديدة من ntdll.dll من القرص واستعادة القسم الأصلي. وإلا سيتم اكتشاف حقن العملية.