前言
十年前的老样本总算梳理清楚了关键流程，趁有时间记录，分享一下。该样本是一个后门程序，通过劫持tcp/ip协议驱动的相关接口来实现网络通道的隐藏；使用用户模式apc加命名管道执行cmd，整个过程不需要单独的用户层程序协助。

1).样本名称：avcnet.sys
2).md5：42f43edc9937e4aa5f985773f5ea9daa
3).是否加壳：没有（会内存解密载荷，再执行）
4).系统：32位

1).内存释放驱动，并调用入口函数
2).注册ndis protocol driver 来获取tcp/ip 协议驱动的关键数据结构NDIS_HANDLE
3).对tcp/ip 协议驱动的receive/send等处理函数进行替换
4).等待控制端发送的特殊数据包并处理
5).通过apc执行cmd命令并回收结果
6).其他

1).驱动外层是个加载器，通过自定义的算法进行解密，然后在内存中加载真正的驱动文件。解密函数如下：

之后拿到解密的文件就可以静态分析。

2).通过注册协议驱动来获取tcp/ip协议驱动的关键数据结构。由于NDIS_HANDLE 数据结构是未公开的，也就是说在不同版本的系统上一些数据字段的偏移不能保证一致。填充好相关数据结果，调用NdisRegisterProtocol,成功后就会返回一个协议驱动实例句柄(指向一个数据结构包含其关键信息，其中有一个字段是_LIST_ENTRY）；内核里面许多数据结构使用_LIST_EBTRY来链接起来，协议驱动也是这样的，通过这个结构来遍历得到目标tcp/ip的实例句柄。

下面以win7 32版本来模拟这一过程，demo如下：

demo效果如下图：

3).找到tcp/ip协议驱动的实例句柄之后，对该数据结构中的关键函数进行替换。如下图：

成功替换receive/send相关函数之后，相对于在驱动中建立了网络通道，整个通信过程都在。

4).通过之前替换的receive函数对网络数据进行判断，从特定的包中确定控制端ip。下面通过汇编代码结合wireshark来分析其是如何确定控制端ip的：
首先，打开wireshark抓包看看相关数据特征:

上面有部分是带ACK/FIN字段的，后面显示Len=0，表示没有数据；只有ethernet,ip,tcp 报头。找一个有数据的看看：

ip heaer,关键字段有版本号，ip 报头长度，总长度（ip header+tcp header+data),协议号，源地址，目标地址；如下图所示：

tcp header,关键字段有源端口号，目的端口号，载荷数据长度，序列号等，如下图所示：

有了上面的非结构化数据作为参考，对照着看汇编代码太长，看f5后的就好理解：

5).cmd的执行是通过插入用户模式的apc到winlogon.exe进程中，然后通过命名管道读取回显。用户模式的apc使用，就是常规的线程选择，内存申请，写入（映射）shellcode。主要是它读取回显的方式比较新颖，之前一直是在用户层使用命名管道来实现进程间的通信，它这个实现了驱动与进程之间的通信。以下示例demo演示了驱动中使用命名管道的方法：

6).其他主要是一些文件，注册表等操作。

通过对这个样本的分析还是有不少收获，对ndis协议驱动、tcp/ip协议的关键字段、驱动中使用命名管道等有进一步认识。

参考：
1，https://learn.microsoft.com/zh-cn/windows-hardware/drivers/ddi/ndis/ns-ndis-_ndis_protocol_driver_characteristics
2，https://www.virustotal.com/gui/file/8bade22161bf71a49955a66ec69809affbd2dde09dc84b94ede57e0d027e82e4/details
ps:
解压密码：infected

[培训]内核驱动高级班，冲击BAT一流互联网大厂工作，每周日13:00-18:00直播授课