Da Shellhost a 3 DLL: Analisi di un Loader Avanzato con Iniezione di Payload, Bypass di CFG e Attacchi di Downgrade

Panoramica

Questa analisi copre un loader sofisticato multi-fase che prende di mira Shellhost.exe, amsi.dll, mstscax.dll e clbcatq.dll. Il loader utilizza module stomping, bypass di CFG, hijacking COM e attacchi di downgrade.

Shellhost – Obiettivo Primario per l'Iniezione di Payload

Il loader prende di mira Shellhost.exe come processo principale per l'iniezione del payload. Utilizza il module stomping per sovrascrivere il codice legittimo di Shellhost con il proprio payload malevolo.

Osservazioni Chiave

• Payload offuscato: Il codice iniettato contiene residui ASCII (push 70207369h = "is p") e istruzioni non valide (jb, outs, ins).
• Sezione fothk: Una sezione personalizzata riempita con trappole INT3 e un singolo jmp verso la routine di bypass di CFG.
• Manipolazione di CFG: Reindirizza l'esecuzione allo shellcode finale.

Vista WinDbg del payload offuscato in Shellhost.exe.

amsi.dll – Bypass di CFG e Trappole INT3

Il loader inietta una sezione personalizzata in amsi.dll riempita con trappole anti-disassembly INT3 (0xCC). Un singolo jmp reindirizza a una routine di bypass di Control Flow Guard (CFG), che salta allo shellcode finale tramite jmp rax.

Osservazioni Chiave

• Trappole INT3: La sezione è quasi interamente riempita con istruzioni INT3.
• Singolo jmp: jmp 0x00007ffbc85060c0 conduce alla routine di bypass di CFG.
• Bypass di CFG: Utilizza una maschera di bit personalizzata per convalidare e reindirizzare l'esecuzione.

Vista WinDbg delle trappole INT3 e della singola istruzione jmp.

mstscax.dll – Module Stomping e LocalAlloc

Il loader utilizza LocalAlloc per allocare manualmente memoria per il payload. Una struttura personalizzata viene riempita con un handle di file e un'assegnazione vtable per l'hijacking COM.

Osservazioni Chiave

• LocalAlloc(0x40, 0x68): Alloca 104 byte di memoria.
• Assegnazione vtable: *puVar12 = &PTR_FUN_180699290 per l'hijacking COM.
• Utilizzo dell'handle di file: puVar12[4] = hFile suggerisce che il loader legge da un file.

Vista Ghidra dell'uso di LocalAlloc e dell'allocazione manuale della struttura.

clbcatq.dll – Manipolazione Kernel-Aware e Attacco di Downgrade

Il loader utilizza un indirizzo di memoria fisso (lRam0000000000000000) e chiamate vtable per manipolare oggetti del kernel. Questa tecnica viene utilizzata per l'escalation dei privilegi.

Osservazioni Chiave

• Indirizzo di memoria fisso: lRam0000000000000000 utilizzato per la manipolazione di oggetti del kernel.
• Chiamate vtable: +0x18, +0x40, +0x60 indicano operazioni a livello di kernel.
• Escalation dei privilegi: Utilizzato per ottenere privilegi a livello SYSTEM.
• Hijacking COM: Utilizza FUN_180031f18 e FUN_1800330c8.

Vista Ghidra dell'indirizzo di memoria fisso e delle chiamate vtable.

Indicatori di Compromissione (IOC)

• Chiave di Registro: HKLM\Software\Microsoft\COM3\RemoteAccessEnabled
• DLL Prese di Mira: amsi.dll, mstscax.dll, clbcatq.dll
• Processo Preso di Mira: Shellhost.exe
• Sezioni Personalizzate: fothk
• Anti-Disassembly: Trappole INT3 (0xCC)

Conclusione

Questo loader dimostra tecniche di evasione avanzate, tra cui module stomping, bypass di CFG, hijacking COM e attacchi di downgrade. Prende di mira molteplici componenti di sistema per garantire furtività e persistenza.

Autore

StructBreaker – Analista di Malware e Ingegnere del Reverse