23、恶意软件功能、持久化及代码注入技术解析

恶意软件功能、持久化及代码注入技术解析

恶意软件持久化技术

恶意软件为了在受害者系统中持续存在并发挥作用，会采用多种持久化技术。

COM 劫持检测

COM 劫持技术能够避开大多数传统工具的检测。要检测此类攻击，可以查看 HKCU\Software\Classes\CLSID\ 中是否存在异常对象。此外，恶意软件可能会修改 HKLM\Software\Classes\CLSID\ 中的现有条目，使其指向恶意二进制文件，所以也应检查该注册表项中指向未知二进制文件的值。

服务持久化

服务是在后台运行且无用户界面的程序，能提供事件日志记录、打印、错误报告等核心操作系统功能。具有管理员权限的攻击者可通过将恶意程序安装为服务或修改现有服务来实现持久化。使用服务的优势在于可设置为系统启动时自动启动，且大多以特权账户（如 SYSTEM）运行，便于攻击者提升权限。攻击者可将恶意程序实现为 EXE、DLL 或内核驱动并作为服务运行。Windows 支持多种服务类型，常见的恶意程序使用的服务类型如下：
| 服务类型 | 说明 |
| ---- | ---- |
| Win32OwnProcess | 服务代码实现为可执行文件，作为独立进程运行 |
| Win32ShareProcess | 服务代码实现为 DLL，从共享主机进程（svchost.exe）运行 |
| Kernel Driver Service | 服务在驱动（.sys）中实现，用于在内核空间执行代码 |

Windows 将已安装服务及其配置信息存储在注册表的