基于COM\/DCOM劫持的无文件攻击与防护<\/strong><\/p>

基础概念：什么是COM与DCOM？<\/strong><\/p>

COM（组件对象模型）<\/strong> 是微软开发的一种跨编程语言、跨进程的二进制接口标准。它允许程序（称为“客户端”）调用由另一程序或库（称为“服务器”）提供的功能模块（称为“COM对象”），而无需了解其内部实现细节。Windows操作系统本身大量使用COM组件来实现各种系统功能。<\/li>
DCOM（分布式组件对象模型）<\/strong> 是COM的扩展，允许COM组件通过网络在不同的计算机间进行通信和交互。<\/li>
系统中所有可用的COM组件信息都存储在注册表<\/strong>的特定位置（例如 HKEY_CLASSES_ROOT\CLSID<\/code>）。当一个客户端程序需要调用某个COM对象时，系统会根据其唯一的CLSID<\/strong>在注册表中查找该组件的实现方式（DLL或EXE文件路径），然后将其加载到内存中执行。<\/li> <\/ul> <\/li>
攻击原理：COM\/DCOM劫持如何实现无文件攻击？<\/strong><\/p> 核心思路<\/strong>：攻击者通过篡改注册表中COM组件的配置信息，将合法的组件调用重定向到攻击者控制的恶意代码上，从而实现代码执行。由于恶意代码通常直接注入到合法的宿主进程内存中或由系统进程加载，因此在磁盘上可能不留下可执行文件。<\/li> 主要劫持方法<\/strong>：劫持InprocServer\/InprocServer32<\/strong>：这类COM服务器以DLL形式实现，会加载到调用者（客户端）的进程内存空间中。攻击者可以修改注册表项，将原DLL路径指向恶意的DLL。当合法程序调用该COM对象时，恶意DLL被加载到该程序的内存中执行。<\/li> 劫持LocalServer\/LocalServer32<\/strong>：这类COM服务器以独立的EXE形式启动。攻击者可以修改注册表，将原EXE路径指向恶意EXE。当COM对象被调用时，系统会启动这个恶意EXE进程。<\/li> 利用未注册的CLSID或ProgID<\/strong>：某些合法的软件在安装时会创建COM组件注册表项，但可能没有实际对应的文件。攻击者可以在这些“空位”上注册自己的恶意CLSID并指向恶意文件，等待系统或应用触发调用。<\/li> 劫持DCOM<\/strong>：通过修改远程计算机的DCOM配置权限或注册表，使得远程调用执行恶意代码，常用于横向移动。<\/li> <\/ol> <\/li> <\/ul> <\/li> 攻击链与实例分析<\/strong><\/p> 典型攻击步骤<\/strong>： a. 侦察<\/strong>：攻击者通过枚举注册表或使用工具（如Get-Clsid<\/code> PowerShell脚本）寻找可劫持的COM组件，通常关注那些被系统或常用软件频繁调用、但实际文件可能缺失或路径可写的组件。 b. 植入<\/strong>：将恶意负载（DLL或EXE）写入目标系统的某个目录（如C:\ProgramData\<\/code>）。 c. 篡改注册表<\/strong>：修改选定的COM组件注册表项（CLSID下的InprocServer32<\/code>或LocalServer32<\/code>的(Default)<\/code>值），将其指向恶意负载的路径。 d. 触发执行<\/strong>：等待系统重启、用户登录或特定软件\/系统任务运行，触发对已被劫持的COM组件的调用，从而执行恶意代码。攻击者也可能主动通过脚本、文档宏或其他手段触发调用。<\/li> 特点<\/strong>：整个过程在磁盘上可能只留下一个恶意DLL\/EXE文件（甚至利用合法的系统文件承载），主要的恶意行为发生在内存中，并且依托于合法的系统机制，隐蔽性较强。<\/li> <\/ul> <\/li> 检测与防护手段<\/strong><\/p> 检测方法<\/strong>：注册表监控<\/strong>：使用安全工具（如Sysinternals Autoruns、EDR\/EPP代理）持续监控COM组件相关注册表键值的异常修改，特别是HKEY_CURRENT_USER<\/code>下的改动（无需管理员权限），因为这是攻击者常用的位置。<\/li> 进程行为分析<\/strong>：监控进程（尤其是rundll32.exe<\/code>, svchost.exe<\/code>, explorer.exe<\/code>等常见COM宿主）是否加载了来自异常路径或不常见位置的DLL模块。<\/li> 内存取证<\/strong>：分析进程内存，寻找不属于合法COM组件的异常代码段或shellcode。<\/li> 日志分析<\/strong>：分析Windows事件日志（如Security, Sysmon事件），关注注册表关键路径的修改事件（Sysmon Event ID 12, 13）、进程创建事件（Event ID 1）及模块加载事件（Event ID 7）。<\/li> <\/ol> <\/li> 防护策略<\/strong>：最小权限原则<\/strong>：严格限制用户（包括服务账户）对注册表，特别是COM相关注册表路径的写入权限。限制普通用户安装或注册COM组件的能力。<\/li> 应用程序控制\/白名单<\/strong>：部署应用程序白名单策略（如Windows AppLocker、WD Application Control），阻止未经授权的可执行文件和脚本运行，从而即使COM被劫持，恶意负载也无法执行。<\/li> 端点安全防护<\/strong>：启用并配置具备行为监控、内存保护和攻击缓解能力的EDR\/EPP解决方案。许多现代安全产品能够检测和阻断可疑的COM对象加载和进程注入行为。<\/li> 系统硬化<\/strong>：定期审查和清理系统中未使用或可疑的COM组件注册项。禁用非必要的DCOM功能以减少攻击面。<\/li> 威胁狩猎<\/strong>：主动在环境中搜索已知的COM劫持技术指标（IoC）和攻击模式（TTP），例如使用特定的CLSID或注册表路径。<\/li> <\/ol> <\/li> <\/ul> <\/li> <\/ol>