黑客之门

简介

「黑客之门」是网络安全领域对两种不同事物的称呼:一是一款名为 Hacker's Door 的远程访问木马(RAT),二是域名 hackerdoor.com 所代表的中文黑客网址导航站点。其中前者更为外界所知,常被安全厂商当作后门程序的典型案例加以分析。

该木马最早在2004年前后出现,2015年更新后再次被安全厂商发现,并被指与Winnti组织使用的被盗证书存在关联,因而受到关注。导航站 hackerdoor.com 则在2016年10月8日注册,长期被国内网络安全学习资料列为黑客类网址的入口之一。

汉语中另有「黑客门」的说法,专指围绕网络攻击发生的国际争议事件,与本词条所指的软件和站点不是同一概念。

沿革

「黑客之门」木马由化名 ytt_hac 的作者开发,1.0 版发布于2004年,1.1 版发布于2005年,早期以免费软件的形式在网络流传。作者在2005年前后一度停止更新,并从网络上销声匿迹。

2015年6月,一个国内博客开始提供该木马的新版本下载,版本号为1.2。此后公开下载链接失效,该工具转为只向个人买家出售。

2017年,安全厂商 Cylance 发布报告称,与 Winnti 有关的攻击者使用「黑客之门」入侵了一家西方航空航天企业;用于签署样本的证书是 Winnti 先前使用过的被盗证书,研究人员认为该线索对攻击归因有重要价值。

导航站 hackerdoor.com 于2016年10月8日建立,域名注册商为阿里云,此后被多份网络安全学习清单列为中国黑客网址导航。

特点

「黑客之门」木马以单个 Dll 文件的形式存在,借助感染系统文件来完成开机自启动,被感染文件的大小与修改日期都保持不变,不易被察觉。

该程序采用线程插入技术,运行时不会在任务管理器里出现独立进程,也不自行开放端口,而是重用系统进程已开放的端口,例如 80、135、139、445 等,因此更容易穿过防火墙。

功能方面,该木马可与远程命令控制服务器通信,能够收集系统信息、截取屏幕、查找与窃取文件、下载其他恶意软件、运行进程和命令、列出并终止进程、开启 Telnet 与 RDP 服务,并导出当前会话中的 Windows 凭据,还带有用于长期驻留的 rootkit 组件。更新后的版本支持 64 位架构,可在 Windows 7、Windows 8.1 等较新系统上运行。

与同类工具相比,「黑客之门」的特点是功能完整且易于使用,因而被安全研究者视为较具威胁的 RAT 之一。导航站 hackerdoor.com 则以收录中国黑客站点、提供分类导航为主要内容。

参见

• 远程访问木马 —— 黑客之门木马所属的恶意软件类别。

• 后门程序 —— 黑客之门木马所具有的典型功能形态。

• Winnti —— 被指使用盗用证书签署黑客之门样本的网络间谍组织。

• 黑客门 —— 与本词条名称相近的国际网络攻击争议事件。