21、恶意软件功能、持久化及PowerShell利用解析

恶意软件功能、持久化及PowerShell利用解析

1. 恶意软件感染机制

当用户发现USB根驱动器中所有重要文件和文件夹丢失时，很可能会双击快捷方式文件（误以为是驱动器）来寻找丢失的文件。双击快捷方式后， rundll32.exe 会从无名隐藏文件夹（用户不可见）加载恶意DLL，进而感染系统。

2. 恶意软件命令与控制（C2）

恶意软件命令与控制（也称为C&C或C2）指攻击者如何与受感染系统进行通信和控制。感染系统后，大多数恶意软件会与攻击者控制的服务器（C2服务器）通信，以获取命令、下载额外组件或窃取信息。攻击者使用不同技术和协议进行命令与控制：
- 传统C2通道 ：多年来，Internet Relay Chat（IRC）曾是最常见的C2通道，但由于IRC在组织中使用不普遍，此类流量容易被检测。
- 当前主流协议 ：如今，恶意软件用于C2通信最常见的协议是HTTP/HTTPS。使用HTTP/HTTPS可让攻击者绕过防火墙和基于网络的检测系统，并混入合法的Web流量中。此外，恶意软件有时也会使用P2P协议进行C2通信，还有一些恶意软件使用DNS隧道进行C2通信。

3. HTTP命令与控制

以APT1组织使用的恶意软件样本（WEBC2 - DIV后门）为例，该恶意二进制文件利用 InternetOpen() 、 InternetOpenUrl() 和 InternetReadFile() API函数从攻击者控制的