I cybersikkerhedens verden, Ondsindede DLL'er repræsenterer en af de mest tilbagevendende og farlige angrebsvektorer for Windows-systemer. At forstå, hvordan disse filer opstår, hvilke teknikker angribere bruger, og de metoder, der er tilgængelige for at opdage dem, er blevet en fundamental opgave for både computersikkerhedsprofessionelle og -entusiaster.
I dette indlæg fortæller vi dig Sådan kan du identificere farlige DLL'erDet vil sige, hvordan DLL-kapring forekommer, og hvad er de ideelle metoder og værktøjer til at analysere denne type trussel.
Hvad er en DLL, og hvorfor kan den være farlig?
Dynamiske linkbiblioteker, bedre kendt som DLL'er (Dynamic Link Library), er grundlæggende filer i Windows-økosystemet. De indlæses i hukommelsen efter behov af applikationer og selve operativsystemet, og de indeholder genbrugelige funktioner, rutiner og ressourcer, der letter programmernes effektive drift.
Faren ved en DLL kommer fra dens evne til at udføre kode og manipulere kritiske processer. Mange trusler udnytter den måde, Windows finder og indlæser DLL'er på, til at indsprøjte skadelig kode, omgå kontroller eller skjult bevare filer på systemet.
DLL-kapring: Hvordan fungerer DLL-kapring?
DLL-kapring (DLL-kapring) Er en teknik, der udnytter den måde, applikationer søger efter og indlæser biblioteker på Windows. Hvis et program ikke angiver den fulde sti til den DLL, det har brug for, følger Windows en foruddefineret søgerækkefølge gennem flere mapper.
Angriberen udnytter dette ved at placere en ondsindet DLL med samme navn som den legitime i en mappe, hvor programmet kan finde den før originalen. Når programmet indlæser den, udføres den skadelige kode med de samme rettigheder som den oprindelige proces.
DLL-søgekommandoer i Windows
Søgeadfærden varierer afhængigt af om sikker søgetilstand er aktiveret.
- Med sikker søgning aktiveret: Programmappe, system, 16-bit system, Windows, nuværende mappe, PATH-stier.
- Med sikker søgning deaktiveret: Programmappe, nuværende mappe, system, 16-bit system, Windows, PATH-stier.
Typer af DLL-kapringsangreb
- KnownDLL-indstilling: Ændring af registreringsdatabasenøgler for at ændre listen over kendte system-DLL'er og omdirigere indlæsningen til en skadelig DLL.
- DLL-sideindlæsning: Indsættelse af falske DLL'er i WinSxS-mappen eller manipulation af afhængighedsmanifester.
- Ghost DLL-kapring: Brug af gamle eller sjældent anvendte DLL-navne og udnyttelse af, at mange applikationer forsøger at indlæse disse filer som standard.
I alle tilfælde Målet er at placere den skadelige DLL i en privilegeret sti i søgesystemet, så den indlæses i stedet for originalen.
System-DLL'er: De mest sårbare over for angreb
Nogle DLL'er er ofte målrettede på grund af deres vigtighed og kritiske funktionalitet i Windows:
- KERNEL32.dll: Manipulation af hukommelse, filer og processer.
- Advapi32.dll: Avancerede funktioner til tjenesteregistrering og -administration.
- Bruger32.dll: Administration af den grafiske brugerflade og brugerresponser.
- Gdi32.dll: Manipulation af grafik og visuel repræsentation.
- Ntdll.dll: Nøglegrænseflade til Windows-kernen, modtagelig for misbrug for at skjule uautoriserede processer eller funktioner.
- WSock32.dll og Ws2_32.dll: Essentiel i netværkskommunikation.
- Wininet.dll: Netværksprotokoller på højt niveau, herunder HTTP, FTP og NTP.
Tilstedeværelsen eller unormal brug af disse filer kan indikere mistænkelig aktivitet eller tilstedeværelsen af malware.
Hvordan identificerer man farlige DLL'er?
Identificering af potentielt skadelige DLL'er Det kan gøres statisk eller dynamisk. Hver tilgang leverer komplementære data og er mere effektiv til at kombinere dem i en omfattende undersøgelse.
statisk analyse
Statisk analyse involverer undersøgelse af strukturen og afhængighederne af en DLL-fil uden faktisk at udføre den på systemet. Dette minimerer risikoen for infektion og giver mulighed for at indhente værdifulde data om dens sammensætning, eksporterede og importerede funktionaliteter og mulig forvirring.
Nogle anbefalede værktøjer:
- PEiD: Viser en DLL's import- og eksportoplysninger, så du kan identificere, hvilke interne biblioteker den indlæser, og hvilke funktioner den bruger. Dette er meget nyttigt til at opdage, om en tilsyneladende simpel DLL importerer mistænkelige funktioner som WriteFile.
- Dependency Walker: Det giver dig mulighed for at inspicere både eksekverbare filer og DLL'er, hvilket viser afhængighedstræet og hvilke specifikke funktioner der vil blive kaldt gennem hver importeret DLL.
- PEview: Den giver et hurtigt overblik over PE-filens interne struktur, herunder import- og eksporttabeller og data såsom oprettelsestidsstemplet, som kan give indsigt i relaterede malwarekampagner.
Denne type analyse er essentiel For at afgøre, om en DLL er legitimt obfuskeret, bruger den pakkere eller kan indlæse yderligere afhængigheder under kørsel.
Dynamisk analyse
Dynamisk analyse involverer Kør DLL'en i et kontrolleret miljø (helst en virtuel maskine eller sandkasse) og overvåg dens adfærd. Det er her, værktøjer som Process Monitor (Procmon) viser deres fulde potentiale, da de giver dig mulighed for at observere i realtid, hvilke filer og biblioteker der indlæses, ændres eller oprettes.
Denne teknik, selvom den er enkel, kræver forsigtighed, da indsættelse af defekte DLL'er kan ødelægge den oprindelige applikations funktionalitet.
Avancerede værktøjer og automatisering: aDLL, Microsoft Detours og mere
For dem, der søger dække store mængder eksekverbare filer eller automatisere analyse, er der hjælpeprogrammer som f.eks aDLL, udviklet som open source på GitHub. Dette værktøj giver dig mulighed for automatisk at analysere binære filer, udpakke de DLL'er, de forsøger at indlæse (enten ved indlæsning, kørsel eller forsinket indlæsning), og endda automatisk kontrollere, hvilke der kan føre til hijackering.
Driften af aDLL eller lignende værktøjer er baseret på Undersøg importtabellen for de eksekverbare filer (Importér adressetabel) og med hjælp fra biblioteker som Microsoft Detours, opfange kald til LoadLibrary og dens varianter. Dette gør det ikke kun muligt at identificere hijacking-kandidater, men også at udføre automatiserede tests – for eksempel ved at kopiere en test-DLL til den relevante sti og kontrollere, om den rent faktisk er indlæst.
Sådan forhindrer du DLL-kapringsangreb
Ud over detektion, Det er endnu vigtigere at forhindre DLL-kapring. Dette involverer handlinger på udviklings-, systemadministrations- og medarbejderbevidsthedsniveau.
Bedste praksis
- Sikker kryptering: Udviklere bør altid angive den fulde sti til de nødvendige DLL'er og undgå relative eller udefinerede stier.
- Løbende opdatering og overvågning: Det er vigtigt at holde din software og dit antivirusprogram opdateret for at kunne opdage og blokere nye DLL-indsprøjtningsforsøg.
- Personaleuddannelse: Lær brugerne at identificere phishing- og social engineering-teknikker, da de fleste angreb kræver en vis grad af menneskelig interaktion.
- Risikostyring for leverandører og forsyningskæder: Verifikation af leverandørsikkerhed og overvågning af forsyningskæder kan forhindre introduktionen af ondsindede DLL'er, der er digitalt signeret af betroede tredjeparter.
- Brug af løsninger som DLLSPY: Dette værktøj, der er tilgængeligt på GitHub, hjælper med at opdage DLL-kapringer og sårbarheder i forbindelse med eskalering af rettigheder.
Forstå Identificering og forebyggelse af indlæsning af farlige DLL'er kræver både omhyggelig analyse af filer og processer samt anvendelse af god udviklings- og administrationspraksis. Både professionelle og avancerede brugere kan implementere disse metoder for at styrke sikkerheden i Windows-systemer og gøre det meget vanskeligere for angribere.