有关pos机通信连接,使用DNS隧道进行C&C通信

网上有很多关于有关pos机通信连接,使用DNS隧道进行C&C通信的知识，也有很多人为大家解答关于有关pos机通信连接的问题，今天pos机之家(www.poszjia.com)为大家整理了关于这方面的知识，让我们一起来看下吧!

本文目录一览：

1、有关pos机通信连接

有关pos机通信连接

原文:https://securelist.com/blog/research/78203/use-of-dns-tunneling-for-cc-communications/

Yunakovsky

– Say my name.

– 127.0.0.1!

– You are goddamn right.

网络通信是任何恶意程序的关键功能。是的，有例外，如cryptors和ransomware木马，可以做他们的工作，没有使用互联网。然而，他们也要求他们的受害者与威胁演员建立联系，以便他们可以发送赎金并恢复他们的加密数据。如果我们省略这两个，并且看看与C＆C和/或威胁演员没有任何沟通的恶意软件的类型，所有这些都是一些过时的或灭绝的恶意软件家族（如Trojan-ArcBomb）或不相关的，粗暴制作的恶作剧通常只是用尖叫或切换鼠标按钮吓倒用户。

恶意软件自Morris蠕虫以来已经走了很长的路，作者从不停止寻找新的方式来保持与他们的创作交流。一些创建复杂的多层认证和管理协议，可能需要数周甚至数月的时间才能使分析人员进行破译。其他人回到基础，并使用IRC服务器作为管理主机 - 正如我们在最近的未来的例子中看到的，它的众多克隆。

通常，病毒编写者甚至不打扰运行加密或掩盖他们的通信：指令和相关信息以纯文本发送，这对于分析机器人的研究人员来说非常方便。这种方法是无能的网络犯罪分子的典型代表，甚至是经验丰富的程序员，他们没有太多开发恶意软件的经验。

但是，您会得到不属于上述类别的偶尔的墙外方法。例如，卡巴斯基实验室研究人员在3月中旬发现了一个特洛伊木马案例，并建立了与C＆C服务器进行通信的DNS隧道。

卡巴斯基实验室产品被恶意程序检测为Backdoor.Win32.Denis。该木马允许入侵者操纵文件系统，运行任意命令并运行可加载的模块。

就像许多其他木马一样，Backdoor.Win32.Denis从加载的DLL中提取需要操作的功能的地址。但是，该木马程序不是计算导出表中的名称的校验和（通常发生的情况），而是简单地将API调用的名称与列表进行比较。通过从功能名称的每个符号中减去128来加密API名称列表。

应该注意的是，机器人使用两个版本的加密：对于API调用名称及其操作所需的字符串，它从每个字节减法;对于DLL，它从每隔一个字节减去。要使用其名称加载DLL，使用LoadLibraryW，意味着需要宽字符串。

使用DNS隧道进行C＆C通信

“解密”木马中的字符串

使用DNS隧道进行C＆C通信

加密格式的API函数和库的名称

还应该注意的是，只有一些功能被这样解密。在木马身体中，对提取的功能的引用与对从加载程序接收到的功能的引用交替。

DNS隧道运营的原理可以归结为：“如果你不知道，请问别人”。当DNS服务器收到要解析的地址的DNS请求时，服务器开始在其数据库中查找。如果没有找到记录，则服务器向数据库中指定的域发送请求。

当请求到达时，让我们看看如何工作，并将URL解析为Y3VyaW9zaXR5.example.com。 DNS服务器收到此请求，首先尝试找到域扩展名“.com”，然后找到“example.com”，但是在其数据库中找不到“Y3VyaW9zaXR5.example.com”。然后它将请求转发到example.com，并询问它是否知道这样的名称。作为回应，example.com预计将返回相应的IP;然而，它可以返回任意字符串，包括C＆C指令。

使用DNS隧道进行C＆C通信

后门的转储.Win32.Denis交通

这就是Backdoor.Win32.Denis所做的。 DNS请求首先发送到8.8.8.8，然后转发到z.teriava [。] com。在此地址之前的所有内容都是发送到C＆C的请求的文本。

这是响应：

使用DNS隧道进行C＆C通信

响应第一个请求收到的DNS数据包

显然，发送给C＆C的请求使用Base64加密。原始请求是一个零序列，最后是GetTickCount的结果。机器人随后收到其唯一的ID，并在数据包的开头使用它进行识别。

在第五个DWORD中发送指令编号，如果从上图中突出显示为绿色的部分开始计数。接下来是从C＆C收到的数据的大小。使用zlib打包的数据在此之后立即开始。

使用DNS隧道进行C＆C通信

解压缩的C＆C响应

前四个字节是数据大小。接下来的所有内容都是数据，这可能会根据指令的类型而有所不同。在这种情况下，它是机器人的唯一ID，如前所述。我们应该指出，数据包中的数据是大端格式的。

使用DNS隧道进行C＆C通信

在发送到C＆C的每个请求的开始，说明了bot ID（突出显示）

总共有16条指令，特洛伊木马可以处理，尽管最后一条指令的编号是20.大多数指令涉及与被攻击的计算机的文件系统的交互。此外，还有能力获取有关打开窗口的信息，调用任意API或获取有关系统的简要信息。让我们更详细地研究一下这些，因为这个指令是先执行的。

使用DNS隧道进行C＆C通信

完整的C＆C指示清单

使用DNS隧道进行C＆C通信

有关受感染计算机的信息，发送到C＆C

从上面的截图可以看出，漫游器将计算机名称和用户名发送到C＆C，以及存储在注册表分支中的信息Software \\ INSUFFICIENT \\ INSUFFICIENT.INI：

最后一次执行该指令的时间。 （如果第一次执行，返回“GetSystemTimeAsFileTime”，并且设置变量BounceTime，其中写入结果）;

UsageCount来自同一个注册表分支。

还会发送有关操作系统和环境的信息。该信息是在NetWkstaGetInfo的帮助下获得的。

数据使用zlib打包。

使用DNS隧道进行C＆C通信

Base64加密之前的DNS响应

响应中的字段如下（只有红色突出显示的部分，数据和大小根据指令而有所不同）：

Bot ID;

以前的C＆C响应的大小;

C＆C回应中的第三个DWORD;

总是等于1作为回应;

GetTickCount（）;

指定字段后的数据大小;

响应大小;

实际回应

注册阶段完成后，木马开始以无限循环查询C＆C。当没有发送指令时，通信看起来像一系列空的查询和响应。

使用DNS隧道进行C＆C通信

发送到C＆C的空查询的顺序

由Backdoor.Win32.Denis使用的DNS隧道用于通信是非常罕见的，尽管不是唯一的。以前在某些POS木马程序和某些APT中使用了类似的技术（例如PlugX系列中的Backdoor.Win32.Gulpix）。然而，这种DNS协议的使用在PC上是新的。我们假设这种方法可能会变得越来越受恶意软件作者的欢迎。我们将密切关注今后如何在恶意程序中实施该方法。

以上就是关于有关pos机通信连接,使用DNS隧道进行C&C通信的知识，后面我们会继续为大家整理关于有关pos机通信连接的知识，希望能够帮助到大家！