[业内新闻动态] [【转载】] 新的Dohdoor恶意软件，正在通过多阶段攻击链，疯狂攻击美国的学校和医疗行业

结论

Dohdoor通过钓鱼邮件投递PowerShell脚本，利用LOLBins进行DLL侧载，结合DoH隐蔽C2通信，最终通过进程注入和系统调用修补维持持久化。攻击面集中在钓鱼入口、侧载链、DoH流量及EDR绕过技术。需优先监控异常HTTPS/DoH流量、LOLBins行为及隐藏目录残留。

分析路径（Source-Sink）

1. 攻击入口（Source）

   • 钓鱼邮件：PowerShell脚本触发下载批处理文件（.bat/.cmd），源为恶意邮件附件或URL。
   • 侧载链：合法Windows二进制（如curl.exe）加载伪装成合法命名的恶意DLL（如propsys.dll）。
   • C2通信（Sink）：DoH流量通过Cloudflare加密隧道回传数据，JSON响应携带加密指令，最终注入合法进程（如svchost.exe）。

2. 隐蔽性关键点

   • 域名混淆：子域名使用MswInSofTUpDloAd等混合大小写绕过黑名单，顶级域如.OnLiNe规避静态规则。
   • 反取证行为：删除注册表执行历史、清理剪贴板及自身脚本，减少日志残留。
   • EDR绕过：通过修补系统调用（如NtCreateFile）破坏监控钩子，隐藏恶意进程行为。

验证步骤

L1 攻击面验证

1. 钓鱼入口检测：

   # 检查邮件日志中是否存在可疑附件（.ps1）或URL跳转  
   Get-EventLog -LogName Security -InstanceId 4688 | Where-Object { $_.Message -match "powershell" }  
   # 检查用户下载目录或%TEMP%是否存在隐藏批处理文件  
   Get-ChildItem C:\Users\*\Downloads -Force | Select-String -Pattern "\.(bat|cmd)"  

2. 侧载DLL检测：

   • 检查ProgramData或Users\Public目录是否存在可疑隐藏文件夹：

     Get-ChildItem C:\ProgramData -Force -ErrorAction SilentlyContinue | Where-Object { $_.PSIsContainer -and $_.Name -like "$" } # 首字符$表示隐藏  

   • 分析侧载点：检查合法二进制（如curl.exe）的加载DLL路径是否包含恶意DLL（如C:\ProgramData\...\propsys.dll）。

3. DoH流量检测：

   • 抓包过滤HTTPS流量到Cloudflare IP（172.67.170.x/173.x等）或域名：

     # 使用Wireshark过滤：http.host contains "cloudflare-dns.com" || dns.qry.name contains "design.onLiNe"  

   • 检查DNS查询是否包含非标准TLD（如.OnLiNe）或混合大小写的子域。

L2 持久化与C2验证

1. 进程注入与内存分析：

   • 使用ProcMon或Volatility检查svchost.exe等进程内存是否包含异常XOR/SUB加密载荷。
   • 检查注册表启动项（如HKCU\Software\Microsoft\Windows\CurrentVersion\Run）是否残留批处理脚本路径。

2. EDR绕过痕迹：

   • 检查系统调用表是否被修改（如NtCreateFile入口地址异常）。
   • 搜索内存中是否存在Cloudflare或DoH相关的硬编码字符串。

修复建议

1. 网络层防御：

   • 阻断可疑DoH流量：部署防火墙规则拦截非授权DNS请求（如1.1.1.1/1.0.0.1），强制使用内网DNS。
   • 域名黑名单：监控并阻断包含混合大小写的子域（如[a-z][A-Z]+）及非常见TLD（如.DESIGn）。

2. 主机层加固：

   • LOLBins监控：对curl.exe、rundll32.exe等进行执行白名单限制，检测异常DLL加载路径。
   • 隐藏文件检测：定期扫描ProgramData、Users\Public目录中以$开头的隐藏文件夹。

3. 检测与响应：

   • 行为分析：监控批处理脚本执行后是否立即删除自身及清除注册表/剪贴板。
   • EDR规则更新：添加检测条件：
     • 进程内存中检测XOR/SUB解密逻辑特征。
     • 监控NtCreateFile等系统调用的异常修改行为。

4. 用户培训：

   • 强化钓鱼邮件识别培训，重点防范包含*.bat/*.cmd下载链接的邮件。

缺失信息补充（若需进一步分析）

若需验证C2通信的具体协议格式：

1. 需抓取DoH请求中的JSON有效载荷结构（如C2指令字段名）。
2. 需获取恶意DLL的XOR/SUB解密密钥（可通过逆向侧载DLL或EDR内存快照提取）。