远程控制木马软件有哪些(常用远程控制木马软件)-昊阳知识网

这篇文章将详细讲解远控木马及APT攻击中的远控，包括木马的基本概念和分类、木马的植入方式、远控木马的通信方式、APT攻击与远控木马等。

声明：本人坚决反对利用教学方法进行犯罪的行为，一切犯罪行为必将受到严惩，绿色网络需要我们共同维护，更推荐大家了解它们背后的原理，更好地进行防护。

木马的基本概念和分类

具有远程控制、信息窃取、破坏等功能的恶意代码木马具有如下特点：

欺骗性木马都有很强的欺骗性，执行通常都由被攻击者自己执行起来的

隐藏性

非授权性执行恶意操作是没有经过用户授权的

交互性主机之外的攻击者可以通过某种方式对主机进行交互

接着分享木马的分类，不同视角有不同的分类。1.行为视角粒度细，如卡巴斯基SafeStream病毒库的分类标准。由下图所示，它是卡巴斯基整个对恶意代码分类体系，最上面的是蠕虫（Worm）和病毒（Virus），接着是后门（Backdoor）和Trojan，接着将Trojan按行为分成了很多类，最后是Rootkit和Exploit。从下往上是按照危害程度进行排序，最上面的危害程度最大、最下面的危害程度最小。

下面这张图是卡巴斯基木马的具体分类，木马分为Backdoor、Trojan、Rootkit、Exploit。按道理说，将Exploit放到木马范畴是不合适的，接着Trojan又分为Trojan-Downloader（下载）、Trojan-Dropper（释放）、Trojan-Spy（间D软件）Trojan-DDoS（拒绝服务）、Trojan-Ransom（磁盘数据加密勒索用户）等。同时，它在命名的时候会根据其行为进行分类。对于卡巴斯基来首，Backdoor包括远程控制型程序，就是这篇文章的远控型木马。

破坏性木马它的功能是对本地或远程主机系统进行数据破坏、资源消耗等。其交互性也是单向的，攻击者可以向被控制端发送指令，有的情况也没有任何交互。典型案例包括卡巴斯基分类标准下的Trojan-DDoS、Trojan-Ransom、Trojan-ArcBomb、Trojan-Downloader、Trojan-Dropper等。

木马的植入方式

木马的欺骗性很强，那么它究竟是通过什么方式去欺骗用户安装这个程序呢？常见方式如下：

网页挂MA植入通过网页挂MA实现比较典型，通常需要利用浏览器或相关漏洞，再结合实时新闻、热点话题制作相关网页，将漏洞和网页结合，最后生成恶意网页，当用户打开网页时，远程的木马程序会自动下载和安装。常见的漏洞比如：MS06014、MS10003。电子邮件植入（鱼叉攻击）电子邮件植入最常见的是通过附件的形式，当用户打开附件时被注入木马；另一种是电子邮件与恶意网页相结合，由于电子邮件是支持HTML正文的，如果将相关漏洞植入到网页中，也是能够达到相关的效果。即使不打开附件，选中就会被植入（以HTML格式发送，如求职者）

文档捆绑植入（鱼叉攻击偏多）这也是一种有效的方式，通过office文档、pdf文档漏洞等将文档进行捆绑，当用户打开文档时会触发漏洞，从而释放木马或执行shellcode执行远程攻击。这种文档同时也常用于邮件附件的形式发送。伪装欺骗植入比如可以对exe的文件后缀名进行修改，在原本一个“exe”文件前增加“doc”，然后输入很多空格让其exe不显示出来，再修改成文档类图标，从而进行伪装；另一种是更改后缀名（Unicode翻转字符），将“cod”进行翻转，再就是图标伪装等。捆绑植入EXE捆绑、文档嵌入、多媒体文件、电子书植入。在“三十六.WinRAR漏洞复现（CVE-2018-20250）及恶意软件自启动劫持”文章中，我详细讲解了通过WinRAR捆绑文件的方法。

其他比如特定U盘植入（故意丢弃、或者工作U盘、数据拷贝等）、社会工程等。在APT攻击中的恶意诱饵类型众多，包括白加黑、lnk、doc文档、带有WinRARACE（CVE-2018-20250）漏洞的压缩包等，之后的攻击中还新增了伪装为word图标的可执行文件、chm文件等。比如，通过加载scrobj.dll，远程调用http://45.xxx.xxx.67/window.sct，利用Microsoft系统文件的LOLbin以绕过杀软的监测，达到远程执行代码。

远控木马的通信方式

正向连接反向连接1.正向连接

这种连接会存在一个问题，如果对方系统存在防火墙的话，通常会进行拦截。正向连接的优缺点如下：

第一种方式是右边的被控端（服务端）主动连接控制端主机，这种情况下防火墙一般会允许通过，尤其是目前很多木马程序采用80端口作为远程连接的端口，防火墙会非常信任。

第一种方式的优缺点如下：

优点通过防火墙相对容易可以控制局域网内的目标攻击目标随时上线，攻击者可以进行随时控制，因为攻击者控制服务器一直在线，只要被控端上线就会连接过来，甚至可以通过短信等方式告知。缺点样本会暴露控制服务器信息（域名或IP）攻击者通常应当具有外部IP关于反向连接，还有另外一种方式，被控端和控制端之间有个第三方的肉J，它们都和第三方通信，比如肉J、Web服务器。

优点可绕过防火墙，自动连接上线，不易被发现（代理）缺点肉鸡的稳定性需要保障

3.通信协议

TCP协议稳定、易被发现HTTP协议伪装

UDP协议和TCP一样也有正向、反向两种方式负载比TCP少，但是可靠性低

ICMP＋TCP／UDP该方式平时不开启端口，但会监听ICMP报文，以感知木马数据。当攻击者想对这台主机控制时，可以发送ICMP报文，发过来之后控制端监听到特定报文时，就知道到想要进行监听并开启相关端口。ICMP报文是由系统内核或进程直接处理而不是通过端口，其方式比较一笔，一般不会被防火墙过滤。下图展示了冰河写的后门程序，叫BITS（Background Intelligent Transfer Service），是一种难以觉察的后门，采用ICMP＋TCP／UDP方式实现。进程管理器首先看不到，另外平时没有端口，只是在系统中充当卧D的角色，并且提供正向连接和反向连接两种功能，适用于不同的操作系统（Windows2000/XP/2003），通过其提供的Shell，你能做很多事情。

同时，请各位博友思考一个问题：什么样的协议最安全？

流量检测手段IDS、VDS、IPS、VPS 、UTM防火墙、SIEM (安全信息和事件管理)如何逃避流量检测？

远控木马的常见功能及意图

首先看下木马的结构，一般由三部分组成，包括木马配置程序、控制端程序（客户端）和被控制端程序（服务端程序）。其中配置程序用于配置被控端的特征和功能，包括是否创建服务、是否隐藏等。

下面是灰鸽子的主界面。

木马的典型功能包括：文件管理进程管理服务管理注册表管理屏幕监控、屏幕截取语音视频截获键盘记录窗口管理远程Shell…1.文件管理

文件管理主要目的是获取目标的文件系统信息，通常包括如下功能：

浏览各磁盘文件上传、下载文件（包括上传恶意文件）执行文件删除文件修改文件信息（如文件属性、时间）可能涉及的部分关键函数: GetLogicalDriveString、 GetDiskFreeSpace(Ex)、GetVolumeInformation、GetDriveType、 FindFirstFile、 FindNextFile、 FindClose、DeleteFile、SHFileOperation 、SHEmptyRecycledBin、 MoveFile、 CreateFile( Ex) 、WriteFile 等

2.进程管理

查看、结束、暂停目标系统进程。具体目的包括：

查看目标系统的环境信通过进程查看功能可以实现查看安装了哪些软件？目前对方正在做什么？停止或暂停目标系统的相关程序，从而形成干扰如反病毒程序涉及的关键函数包括:CreateToolhelp32SnapShot、 Process32First、Process32Next、 EnumProcesses、 GetCurrentProcess、 OpenProcessToken、LookupPrivilegeValue、 AdjustTokenPrivilege、 OpenProcess、 GetModuleBaseName、EnumProcessModules、 GetModuleFileNameEx、 TerminateProcess 等。

3.服务管理

主要功能是查看并管理目标系统的服务，包括：创建服务启动/停止服务删除服务具体作用如下：查看目标系统的环境信息安装了哪些软件？启动了哪些服务？停止或暂停目标系统的相关程序如反病毒程序可能涉及的关键函数: OpenSCManager、EnumServiceStatus、OpenService、 QueryServiceConfig、 StartService、StopService、 DeleteService 等。下图是PcShare提供的服务管理示例。

4.注册表管理

注册表管理可以浏览注册表的信息及键值，也能创建、删除一些键值。可能涉及的关键函数包括: RegQueryInfoKey、RegEnumKeyEx、 RegEnumValue、 RegCreateKeyEx、RegDeleteKey、 RegSetValueEx、 RegDeleteValue 等。

5.屏幕控制

利用 keybd_event 或者SendInput 模拟按键PrintScreen利用 CreateDC 获取当前屏幕设备的句柄，然后获取屏幕图像

6.键鼠操作

下图是PcShare远程控制的键盘控制，主要涉及函数：

SetCursorPosmouse_eventSendInput

7.屏幕截取

对于有些木马来说，会认为屏幕控制功能流量消耗很大，不希望引起被控制着注意，有时候进行屏幕抓取即可。

抓取屏幕（单张、多张连续）了解目标主机的当前操作情况常见函数包括：CreateDCCreateCompatibleBitmapBitBlt8.语音视频截获

9.键盘记录

最后简单总结下编写木马的关键性，这个“网络安全自学篇”系列100篇即将结束，下一个系列专栏我会尝试带大家实现一个简单的远控软件，涉及各个部分的知识点，也希望你们喜欢。功能适当［精简灵活］适用性强［功能、权限］高效、稳定、隐蔽［传输］可穿透性自更新、自销毁反调试、反分析、防追踪、反制对抗持续免杀性能等特征值、通用主机行为、异常的通信流量…既然远控木马也是恶意软件，那么怎么检测木马呢？下面简单提供了一些思路。静态文件特征（木马程序是独立的文件，就存在静态文件特征）网络流量特征（交互性木马检测流量）系统行为特征（木马执行时创建线程、进程、驱动、网络等行为）功能行为特征（录音、截屏、键盘、shell行为检测）攻击意图（自动化检测功能是正常或恶意，当然难度也大）…再次强调：本人坚决反对利用教学方法进行犯罪的行为，一切犯罪行为必将受到严惩，绿色网络需要我们共同维护。本文主要是分享安全的原理知识，只推荐大家了解它们背后的原理，更好地进行安全防护，一切恶意破坏行为都将受到严惩。

APT攻击与远控木马

首先，APT攻击为何要选择远控木马呢？近年来，安天持续监测分析和跟踪多起针对我国的APT攻击活动中，总能看到远控木马的身影，比如安天在2015年披露的一起针对我国ZF机构的APT攻击事件中，海莲花组织使用了美方出台的CS平台，结合Denis家族木马、Ratsnif、Gh0st等木马。在2018年的绿斑攻击组织，使用了被修改过的ZXShell、PI、Gh0st木马。近年来，方程式攻击组织使用了多个复杂的远控攻击木马平台。

海莲花

Cobalt Strike、Denis、Ratsnit、Gh0st

绿斑

ZXShell、Poison Ivy、Gh0st

方程式

DoubleFantasy、EquationDrug、DanderSpritz

大家是否想过，APT攻击中为什么要远控木马呢？我们可以从APT攻击中三种典型的意图进行考虑，包括窃Mi、获利、破坏。在以窃Mi和获利为目的中，攻击者会利用远控木马持久控制跳板机、关键机，这也成为了达到最终目标的关键；同样，在以破坏为目的中，攻击者利用远程控制木马，精准控制破坏时机。

美国在2018年发布的网空威胁框架（TCTF），它比较完整的描述了网空攻击的各个阶段及攻击目标和行动。Administrator：行动管理与资源保障Preparation：目标勘察与环境整备Engagement：接触目标与进攻突防Presence：持久化驻留潜伏Effect：致效能力运用Ongoing Processes：全程持续支撑作业

从下图可以看到，我们在致效能力运用和全程持续支撑作业两个阶段，攻击者为了达到监控、渗出、修改、拒绝、破坏、命令控制等目标，它会采取类似于弱口令访问控制、CDS传输、加密破解、删除数据等一系列行动，这些行动的实现就是通过远程木马来完成。所以在APT攻击中，远控木马是必不可少的。

2.普通远控木马与APT远控木马的区别

APT组织往往具有一定的背景，有充足的资金来保证行动的隐蔽性，从而会选择独立开发或改造现有的远控木马，而不是直接拿来使用。它会投入更多的开发力量、攻击资源，借助0Day或nDay漏洞、供应链污染、流量劫持来投送木马。同时，会采用更为复杂且难以发现的技术如MBR、固件植入、RootKit等来在受害主机上进行持久化，它会入侵已经被安全厂商加入到白名单里的居民网站作为C2，来实现对木马的控制以及使用条件触发等高级方式来连接C2。它甚至会开发加密的通讯协议来规避现有的网络安全监测机制，针对目标来定制条件实现精准的窃Mi，包括使用无文件实体、Rootkit等来逃避检测。具体的区别如下图所示：

3.APT攻击中的典型远控木马

(1) 绿斑组织改造的ZXShellZXShell是一个功能全面的远控木马，有十几年的历史并且开源，操作界面如下图所示。

绿斑组织重新编译了这个木马，裁剪了一些功能，并增加了一些窃取信息的功能，比如手机Word、Excel、WPS等特定类型的文件，搜集包含特定关键词的文件，以及增加自动回传收集文件和列表，加密配置数据、规避安全监测等定制化功能。木马可以根据当前系统的版本、杀软进程，采取不同的行为，从而躲避多数安全软件的检测。下图展示了ZXShell原版对比修改版新增功能和精简功能，其中白色字体部分是保留下来的功能，黄色字体部分是新增功能，黑色字体是裁剪的功能。