如何让后面DoublePulsar在Windows Embedded上顺利运行？-德赢Vwin官网网

作为“影子经纪人”从美国国家安全局（NSA）下辖方程式小组处窃取到的两款黑客工具之一，双脉冲星（DoublePulsar）后门程序能够在各类 Windows 版本之上运行，但一直无法与 Windows Embedded 嵌入式操作系统顺利对接。

近日，网名为 Capt. Meelo 的安全研究人员发现，只要一行简单的代码就足以让这个后门在 Windows Embedded 设备上正常运行。

后门DoublePulsar

DoublePulsar 后门程序2017年4月正式公布，在短时间内就波及25个国家及地区。当时安恒研究院对全球开放SMB端口的主机进行探测分析发现，全球范围内检测发现被入侵植入DoublePulsar后门的主机94，613个，其中检测到美国被植入后门主机数量为58，072，占全球数量的61%，中国被植入后门主机数量为20，655，占全球数量的22%。

DoublePulsar 用于在已感染的系统上注入和运行恶意代码，是 NSA 用作监听使用的一种复杂的多架构 SMB（服务器消息块）后门程序，能够在受感染机器上很好地掩藏自身行迹。该后门在 NSA 的 FuzzBunch 软件（类似于 Rapid7 的 Metasploit 漏洞利用框架）中得到使用。

显然，会受到攻击影响的计算机系统是存在漏洞的Windows版本，因为这给攻击者提供了其 SMB 端口。一旦后门被植入，攻击者就就可以毫无阻碍的向目标机器植入dll 或者 shellcode，植入的任意程序或者代码将以系统最高权限运行，导致系统被完全控制。

此前：后门无法与Windows Embedded对接

网名为 Capt. Meelo 的安全研究人员表示，实际上 Windows Embedded 操作系统本身也容易受到 NSA 相关攻击活动的影响。

这名研究人员发现，Windows Embedded 确实极易受到攻击，但与漏洞利用相关的 Metasploit 模块在该平台上无法正常起效。而在尝试 FuzzBunch 之后，他证明了导致目标设备受到入侵的根源确实是“永恒之蓝”。尽管对“永恒之蓝”模块的利用获得成功，但 DoublePulsar 却始终无法成功安装。

这位研究人员继续对该植入物进行分析后发现，只要一行简单的代码就足以使其在 Windows Embedded 上顺利运行。

如何让该后门在Windows Embedded 上顺利运行？

后门 DoublePulsar 在设计层面会对目标计算机上的 Windows 版本进行检查，并在 Windows 7 或者其它迭代版本上获取安装路径。然而，这项检查在 Windows Embedded 当中无法实现，因此会生成一条错误信息。

通过简单修改“Windows 7 OS Check”中的指令，这位研究人员得以强迫该植入物选用特定的安装路径。

研究人员 Capt·Meelo 解释称：

“为了完成上述目标，我采取的操作为编辑-》补丁程序-》变更字节。而后，我将其中的值74（JZ操作码）更改为75（JNZ操作码）。

如何让后面DoublePulsar在Windows Embedded上顺利运行？

接下来，我通过文件-》生成文件-》创建 DIF 文件，创建出一个 DIF 文件。”

如何让后面DoublePulsar在Windows Embedded上顺利运行？

而利用一份来自网友兼安全爱好者 StalkR 提供的脚本，他随后修复了这个遭到修改的 .exe 文件，并将修改后的 Doublepulsar-1.3.1.exe 重新移动至其原始位置。

如何让后面DoublePulsar在Windows Embedded上顺利运行？

如此一来，由此生成的 DLL payload 将得以成功注入至目标主机当中。

声明：本文内容及配图由入驻作者撰写或者入驻合作网站授权转载。文章观点仅代表作者本人，不代表德赢Vwin官网网立场。文章及其配图仅供工程师学习之用，如有内容侵权或者其他违规问题，请联系本站处理。举报投诉

嵌入式

嵌入式

+关注

关注
5082

文章
19104

浏览量
304779
操作系统

操作系统

+关注

关注
37

文章
6801

浏览量
123280

原文标题：NSA网络武器DoublePulsar升级，Windows Embedded也沦陷了

文章出处：【微信号：EAQapp，微信公众号：E安全】欢迎添加关注！文章转载请注明出处。

如何在windows上emulate不同操作系统

一、虚拟化技术概述虚拟化技术允许在单个物理机器上创建多个虚拟机，每个虚拟机都可以运行不同的操作系统。这使得我们可以在Windows系统

发表于 12-05 15:50 •152次阅读

在DVEVM上通过ddd运行Demo

德赢Vwin官网网站提供《在DVEVM上通过ddd运行Demo.pdf》资料免费下载

发表于 10-15 10:05 •0次下载

<b class='flag-5'>在</b>DVEVM<b class='flag-5'>上</b>通过ddd<b class='flag-5'>运行</b>Demo

gprsdemo在windows server系统上无法运行的解决办法

gprsdemo在windows server系统上无法运行，请按照如下步骤设置以解决该问题。1. 按下图进入依次下面界面 2. 点击“添加”后，会弹出文件浏览对话框，找到DTU配

发表于 07-25 06:03

什么在windows上配置不好esp32c6的调试，debug模式运行不起来怎么解决?

什么我在windows上配置不好esp32c6的调试，debug模式运行不起来。。

发表于 07-22 07:09

让smartconfig在ESP-03上运行，在CWSMARTSTART不工作是哪里的问题？

我正在尝试让 smartconfig 在 ESP-03 上运行。我已经从 github 存储库构建了最新的 android 应用程序。我正在使用 AT 0.50 （sdk 1.4.0）

发表于 07-17 08:18

让YUV2演示在FX3的内存上运行，启动数据流时却无法正常工作，应用程序会崩溃，为什么？

大家好，我一直在尝试让 YUV2 演示在 FX3 的内存上运行，到目前为止，我已经成功修改了 MJPEG 演示，以输出 96x96 的 YU

发表于 05-28 08:18

让sdk中的usb-uvc演示在CYUSB3014上运行，USB3.0没有响应的原因？

你好，，我目前正试图让 sdk 中的 usb-uvc 演示（USBVideoClass/UsbVideoClassBulk）在 CYUSB3014 上运行。我面临的问题是，它在

发表于 05-21 06:57

在运行Windows11的系统上安装KitProg编程器驱动程序时遇到的疑问求解

我在运行 Windows 11 的系统上安装 KitProg 编程器驱动程序时遇到困难。每次尝试安装时，Windows 都无法为设备找到合适的驱动程序，如所附截图所示。我尝试了常用

发表于 05-21 06:35

STM32L011在运行模式下，如何让功耗达到手册上的值？

我的问题是：在运行模式下，如何让功耗达到手册上的值（76uA/MHz）目前使用芯片：STM32L011 使用时钟：MSI-2M 配置外设AHB,APB时钟都已经关闭。目前全速运行电

发表于 04-24 06:33

成功让Windows 95运行“数千款软件”的诀窍

据分析，问题可能出在“ndphlpr”这个神秘的传统 Windows 驱动程序上。虽然在 Windows 98 中未被使用，但却是运行.NE

发表于 04-16 10:15 •603次阅读

在MAC M1的虚拟机上运行ARM版的windows，ST-LINK的驱动为什么装不上？

在MAC M1的虚拟机上运行ARM版的windows，ST-LINK的驱动装不上

发表于 04-01 08:24

请问在CX3上是否可以把embedded line删除?

)，而此资讯会在每个Frame的一开始就送出，之后才是影像资料，而此Camera会把这多出来的embedded line补足成1 line， Q1 : 想请问在CX3上是否可以把embed

发表于 02-28 08:11

如何让CYUSB在linux上闪存固件？

不起作用。我能知道其他支持在 linux 中刷新固件的应用程序吗，或者如何让 CYUSB 在 linux 上闪存固件。发行商 ID：Ubuntu 描述：Ubuntu 22.04

发表于 02-22 06:23

如何让Adafruit 320x240 IPS TFT显示屏在PSoC上运行？

我有一台 Adafruit 320x240 IPS TFT 显示屏，希望它能够使用我的 PSoC 4200 主板绘制图像。来自 Adafruit 的代码库是为 Arduino 设计的，我不确定如何让它在 PSoC 上运行。

发表于 01-22 06:33

在IAR Embedded Workbench中计算多个地址区间的Checksum

在前面的文章“使用IAR Embedded Workbench和MCU的CRC模块来检查代码的完整性”中介绍了如何在IAR Embedded Workbench中配置生成对应代码区域的CRC校验码

发表于 01-05 12:33 •1520次阅读

搜索历史

如何让后面DoublePulsar在Windows Embedded上顺利运行？

评论

如何在windows上emulate不同操作系统

在DVEVM上通过ddd运行Demo

gprsdemo在windows server系统上无法运行的解决办法

什么在windows上配置不好esp32c6的调试，debug模式运行不起来怎么解决?

让smartconfig在ESP-03上运行，在CWSMARTSTART不工作是哪里的问题？

让YUV2演示在FX3的内存上运行，启动数据流时却无法正常工作，应用程序会崩溃，为什么？

让sdk中的usb-uvc演示在CYUSB3014上运行，USB3.0没有响应的原因？

在运行Windows11的系统上安装KitProg编程器驱动程序时遇到的疑问求解

STM32L011在运行模式下，如何让功耗达到手册上的值？

成功让Windows 95运行“数千款软件”的诀窍

在MAC M1的虚拟机上运行ARM版的windows，ST-LINK的驱动为什么装不上？

请问在CX3上是否可以把embedded line删除?

如何让CYUSB在linux上闪存固件？

如何让Adafruit 320x240 IPS TFT显示屏在PSoC上运行？

在IAR Embedded Workbench中计算多个地址区间的Checksum