版本迷霧與功能邊界
灰鴿子 2007 版本眾多變體流傳，官方版與惡意修改版混淆不清。本文基於官方發布版本與主流變體樣本，從功能模組、通訊協議、持久化機制、反分析技術四維度還原真實面目。
核心功能模組
- 遠程控制：桌面監控、鍵盤記錄、進程/服務/註冊表管理、文件上傳下載、CMD Shell、攝像頭/麥克風竊聽。
- 隱蔽持久化：Rootkit 級進程/埠口/文件/註冊表隱藏、服務註冊（隨機名）、啟動項多點掛載、WMI 事件訂閱、計劃任務、映像劫持。
- 反分析：VM 檢測、調試器檢測、沙箱環境識別、代碼加密打包、關鍵字符串動態解密、反內存掃描。
- 通訊協議：自定義 TCP 協議 + RC4 加密，支援 HTTP/HTTPS 代理穿透、域名前置、動態端口跳躍、心跳保活、斷線重連。
- 擴展插件：模組化架構支援鍵盤記錄、表單攔截、瀏覽器密碼導出、USB 盜傳、局域網滲透等插件動態加載。
官方版與惡意版關鍵差異
| 特性 | 官方版 | 惡意變體 |
|---|
| 安裝方式 | 需手動運行服務端生成器配置 | 捆綁/漏洞利用/社工静默安裝 |
| 控制端認證 | 強制密碼+動態碼 | 弱密碼/無密碼/硬編碼後門 |
| 隱藏行為 | 用戶可選 | 強制全隱藏、反卸載 |
| 數據外洩 | 無 | 竊取文件/帳號/剪貼板上傳 C2 |
鑑別與應對
- 檢查服務端數字簽名與版本號，對比官網發布歷史。
- 流量分析：捕獲非標準埠口 RC4 加密流量、異常域名解析、心跳包特徵。
- 端點檢測：EDR 規則匹配 Rootkit 掛鉤、WMI 訂閱、計劃任務異常。
- 網絡封鎖：威脅情報平台同步惡意 C2 域名/IP 至防火牆/代理黑名單。
灰鴿子本質是雙刃劍：正當遠程運維工具被惡意改造為網絡武器。鑑別關鍵在於「授權與知情」——未經所有者明確授權的遠控，皆屬非法入侵。