DOUBLEPULSAR与ETERNALBLUE关联分析：从漏洞利用到后门植入的完整攻击链

【免费下载链接】doublepulsar-detection-script A python2 script for sweeping a network to find windows systems compromised with the DOUBLEPULSAR implant. 项目地址: https://gitcode.com/gh_mirrors/do/doublepulsar-detection-script

DOUBLEPULSAR后门检测工具是一个专门用于发现Windows系统中DOUBLEPULSAR植入的专业安全脚本。这个开源项目帮助安全人员快速检测网络中是否存在被ETERNALBLUE漏洞利用后植入的DOUBLEPULSAR后门，提供了完整的网络扫描和威胁检测解决方案。

🔍 什么是DOUBLEPULSAR后门？

DOUBLEPULSAR是Shadow Brokers泄露的NSA工具集中的关键组件之一，它本质上是一个内核级后门程序。当攻击者成功利用ETERNALBLUE漏洞（MS17-010）入侵Windows系统后，DOUBLEPULSAR会被植入到目标系统中，为攻击者提供持久的远程访问能力。

这个后门具有以下特点：

• 隐蔽性极强：运行在内核空间，难以被传统杀毒软件检测
• 持久性访问：即使系统重启后仍然存在
• 双向通信：支持SMB（445端口）和RDP（3389端口）两种协议
• 模块化架构：可以加载和执行各种恶意模块

⚡ DOUBLEPULSAR检测脚本的工作原理

该项目包含两个核心检测脚本：

SMB版本检测 (detect_doublepulsar_smb.py)

这个脚本通过发送特定的SMB协议数据包来检测445端口上的DOUBLEPULSAR后门。它模拟正常的SMB会话建立过程，但在Trans2 Session Setup阶段发送一个特殊的ping命令：

# 关键检测逻辑
if final_response[34] == "\x51":
    print "[+] [%s] DOUBLEPULSAR SMB IMPLANT DETECTED!!!"

当接收到响应代码0x51时，表示系统已被感染。脚本还能通过发送不同的操作码（0x42）来卸载后门，这是基于@zerosum0x0逆向分析发现的机制。

RDP版本检测 (detect_doublepulsar_rdp.py)

针对RDP协议的后门检测，脚本连接到3389端口，发送特定的RDP协商包和客户端数据包，然后发送ping包检测：

# RDP检测逻辑
if len(ping_response) == 288:
    print "[+] [%s] DOUBLEPULSAR RDP IMPLANT DETECTED!!!"

🛡️ 完整的攻击链分析

第一阶段：漏洞利用（ETERNALBLUE）

攻击者首先利用MS17-010漏洞，通过发送精心构造的SMBv1数据包触发缓冲区溢出，获得内核代码执行权限。

第二阶段：后门植入（DOUBLEPULSAR）

成功利用漏洞后，攻击者将DOUBLEPULSAR后门植入系统内核，建立持久的控制通道。

第三阶段：持久化访问

后门一旦植入，攻击者可以通过SMB或RDP协议与后门通信，执行任意代码、窃取数据或部署其他恶意模块。

📊 快速检测你的网络

使用该工具检测网络中的DOUBLEPULSAR感染非常简单：

单IP检测

# 检测单个IP的SMB后门
python detect_doublepulsar_smb.py --ip 192.168.1.100

# 检测单个IP的RDP后门  
python detect_doublepulsar_rdp.py --ip 192.168.1.100

批量网络扫描

# 扫描整个网段
python detect_doublepulsar_smb.py --net 192.168.1.0/24

# 从文件读取IP列表
python detect_doublepulsar_smb.py --file ip_list.txt --threads 20

后门卸载功能

如果检测到感染，可以使用--uninstall参数移除后门：

python detect_doublepulsar_smb.py --ip 192.168.1.100 --uninstall

🚨 检测结果解读

阳性检测结果

[+] [192.168.1.100] DOUBLEPULSAR SMB IMPLANT DETECTED!!! Arch: x64 (64-bit), XOR Key: 0x7c3bf3c1

这表示系统已被感染，输出包含：

• 架构信息：x86或x64系统
• XOR密钥：用于后门通信的加密密钥

阴性检测结果

[-] [192.168.1.100] No presence of DOUBLEPULSAR SMB implant

表示系统未检测到DOUBLEPULSAR后门。

🔧 Snort规则集成

项目还提供了专业的Snort检测规则 (doublepulsar_snort_rules.rules)，可以在网络层面检测DOUBLEPULSAR活动：

alert tcp any any -> $HOME_NET 445 
(msg:"DOUBLEPULSAR SMB implant - Unimplemented Trans2 Session Setup Subcommand Request";
flow:to_server, established;
content:"|FF|SMB|32|"; depth:5; offset:4;
content:"|0E 00|"; distance:56; within:2;
sid:1618009;)

这些规则检测DOUBLEPULSAR使用的未实现Trans2 Session Setup子命令请求。

📈 企业级部署建议

1. 定期扫描计划

• 每周对关键服务器进行扫描
• 每月对全网进行完整扫描
• 新系统上线前必须扫描

2. 监控策略

• 集成到SIEM系统中
• 设置告警机制
• 记录所有扫描结果用于审计

3. 应急响应流程

1. 立即隔离受感染主机
2. 使用工具卸载后门
3. 打上MS17-010补丁
4. 进行全面的安全评估

💡 最佳实践与注意事项

扫描前准备

• 确保有合法的授权进行扫描
• 在生产环境扫描时选择非高峰时段
• 备份重要数据后再进行卸载操作

性能优化

• 使用--threads参数调整并发连接数
• 合理设置--timeout参数避免长时间等待
• 对于大型网络，分批扫描避免网络拥塞

误报处理

某些Windows版本（如2012）可能会返回ACCESS_DENIED错误，这通常意味着系统不易受攻击，而不是误报。

🎯 为什么选择这个工具？

专业级检测能力

• 基于实际的DOUBLEPULSAR通信协议实现
• 支持SMB和RDP两种感染途径检测
• 提供后门卸载功能

企业级特性

• 支持多线程批量扫描
• 提供详细的日志输出
• 集成Snort规则用于网络监控

开源优势

• 代码透明，安全可信
• 社区持续维护更新
• 可根据需求自定义修改

📚 技术深度解析

检测机制详解

DOUBLEPULSAR检测工具利用了后门的一个关键特性：它会响应特定的ping命令。当发送特定的Trans2 Session Setup请求（子命令0x0E）时，感染系统会返回0x51响应，而非感染系统则不会响应或返回错误。

通信协议分析

后门使用XOR加密进行通信，工具能够计算出每个感染的XOR密钥，这对于分析攻击者的活动模式非常有价值。

架构识别

通过分析响应签名，工具能够识别后门运行在32位还是64位系统上，这对于后续的清理和修复工作很重要。

🔄 持续监控与防御

主动防御策略

1. 补丁管理：确保所有系统及时安装MS17-010补丁
2. 网络分段：限制SMB和RDP端口的访问范围
3. 入侵检测：部署Snort规则实时监控

被动检测策略

1. 定期扫描：使用本工具定期检查网络
2. 日志分析：监控异常的网络连接
3. 行为分析：关注异常的系统行为

🚀 快速开始指南

安装步骤

# 克隆仓库
git clone https://gitcode.com/gh_mirrors/do/doublepulsar-detection-script.git
cd doublepulsar-detection-script

# 安装依赖（如果需要）
pip install netaddr

基本使用示例

# 扫描单个IP
python detect_doublepulsar_smb.py --ip 10.0.0.1

# 扫描整个子网
python detect_doublepulsar_smb.py --net 10.0.0.0/24

# 详细输出模式
python detect_doublepulsar_smb.py --ip 10.0.0.1 --verbose

📋 总结

DOUBLEPULSAR检测工具为企业安全团队提供了一个强大而实用的解决方案，用于检测和清理ETERNALBLUE攻击链中的关键后门。通过定期使用这个工具，组织可以：

✅ 快速发现感染：在攻击者造成更大损害前检测到后门
✅ 及时清理威胁：一键卸载DOUBLEPULSAR后门
✅ 增强安全态势：通过持续监控防止再次感染
✅ 满足合规要求：证明已采取适当的安全措施

记住，安全是一个持续的过程。即使清除了DOUBLEPULSAR后门，也必须确保系统打上了所有必要的安全补丁，并实施了适当的安全控制措施。

安全建议：定期使用这个工具扫描你的网络，将其纳入标准的安全运维流程中，并与其他的安全工具和策略相结合，构建多层次的安全防御体系。

【免费下载链接】doublepulsar-detection-script A python2 script for sweeping a network to find windows systems compromised with the DOUBLEPULSAR implant. 项目地址: https://gitcode.com/gh_mirrors/do/doublepulsar-detection-script