在进行威胁狩猎的过程中，如果想要找到恶意软件，首先需要对平台和操作系统具有一定的了解。如果想要甄别合法软件和恶意软件，首先必须明确哪些是合法的。

作为一个具有30多年历史之久的操作系统，由于Windows的复杂性，往往使我们很难实现上面这一点。

也正因如此，恶意软件作者通常会编写恶意软件，模仿合法的Windows进程。因此，我们可能会看到恶意软件伪装成svchost.exe、rundll32.exe或lsass.exe进程，攻击者利用的就是大多数Windows用户可能都不清楚这些系统进程在正常情况下的行为特征。

此前，我们讨论过svchost.exe进程及其命令行选项。在这篇文章中，我们将深入挖掘rundll32.exe，以期对其有所了解。

顾名思义，rundll32.exe可执行文件是用于运行DLL(RUN DLL)，即运行动态链接库的。

在MSDN中，对DLL的定义如下：

动态链接库(DLL)是一个模块，其中包含可以由另一个模块(应用程序或DLL)使用的函数和数据。

以下是使用rundll32.exe的最基本语法：

rundll32

rundll32.exe可执行文件可以是子进程，也可以是父进程，具体要取决于执行的上下文。为了确定一个rundll32.exe实例是否属于恶意，我们需要确认几件事。首先，需要确认启动它的路径，其次是命令行。

合法的RUNDLL32.EXE进程始终位于：

\Windows\System32\rundll32.exe

\Windows\SysWOW64\rundll32.exe(64位系统上的32位版本)

至于rundll32.exe实例的命令行，完全取决于要运行的内容，例如CPL文件、DLL安装等等。

接下来，我们来看几个例子。

在其基本形式中，rundll32.exe将仅执行一个DLL，因此，如果我们看到了rundll32.exe实例，首先要检查被调用的DLL的合法性。

我们始终要检查DLL的调用位置。例如，如果是从%temp%调用kernel32.dll，这种情况显然是恶意的。此外，我们还需要在VirusTotal这样的站点上检查其哈希值。

Rundll32.exe还可以执行DLL中的特定函数。例如，当选择一个文件并右键单击时，将会显示出一个上下文菜单，其中包含多个选项。这里的一个选项是“OpenWith”(打开方式)。在点击后，将会出现一个弹出窗口，可以从系统上安装的应用程序中进行选择。

实际上，在此过程的背后，是使用shell32.dll和OpenAs_RunDL函数启动rundll32.exe实用程序。

C:\Windows\System32\rundll32.exe C:\Windows\System32\shell32.dll,OpenAs_RunDLL < file_path >

这种在DLL中调用特定函数的行为非常普遍，因此我们恐怕无法将所有函数都了解全面。下面的两篇文章详细介绍了一系列rundll32.exe调用和对应的作用。

https://www.tenforums.com/tutorials/77458-rundll32-commands-list-windows-10-a.html

http://chagdali.free.fr/dcs/RunDll.htm

我们发现与shell32.dll一起使用的另一个常见函数是Control_RunDLL或Control_RunDLLAsUser。这两个函数用于运行.CPL文件或控制面板选项。

例如，如果我们要更改计算机的日期和时间，可以从控制面板启动对应的applet。

在后台，Windows实际上是使用以下命令行启动了rundll32.exe实例。

C:\WINDOWS\System32\rundll32.exe C:\WINDOWS\System32\shell32.dll,Control_RunDLL C:\WINDOWS\System32\timedate.cpl

除了验证DLL的合法性。在使用Control_RunDLL或Control_RunDLLAsUser函数时，应该始终检查.CPL文件的合法性。

CPL即Control Panel Items(控制面板选项)，是控制面板所提供功能对应的程序，或者换而言之，它们是导出CPIApplet函数的DLL。

.CPL文件可以包含一个applet索引可以引用的多个applet，每个applet可以包含一个选项卡索引可以引用的多个选项卡。

我们可以通过rundll32.exe实用程序访问和请求此信息，如下所示。

例如，System32文件夹中的main.cpl文件包含两个applet，分别是鼠标和键盘属性。如果我们要在鼠标属性中更改指针，实际的操作如下。

C:\WINDOWS\System32\rundll32.exe C:\WINDOWS\System32\shell32.dll,Control_RunDLL C:\WINDOWS\System32\main.cpl,@0,1

如我们所见，我们可以轻松使用恶意版本来替换原始的main.cpl文件，不了解这方面知识的用户很容易注意不到这一点。实际上，这正是恶意软件作者感染计算机的方式。

在正常情况下，使用Control_RunDLL函数的rundll32.exe实例的父进程应该是explorer.exe或者control.exe。

其他进程也可以使用该函数启动rundll32.exe。例如，当运行inetcpl.cpl进行代理或网络配置时，rundll32.exe的父进程有可能是Google Chrome、MSGEDGE或IE。

如果大家想了解有关CPL以及恶意软件如何滥用的，可以阅读这篇趋势科技对CPL恶意软件的研究报告( https://www.trendmicro.de/cloud-content/us/pdfs/security-intelligence/white-papers/wp-cpl-malware.pdf )。

Rundll32.exe实例有一个神秘的命令行，可能会大量出现在日志中，其格式如下。

C:\WINDOWS\System32\rundll32.exe C:\Windows\system32\davclnt.dll,DavSetCookie < Host > < Share >

当使用file://协议时，无论是在Word文件中，还是通过共享窗口，有时(如果SMB被禁用)会使用WebDav客户端来请求这些文件。在此时，会通过rundll32.exe实用程序发出请求。

这类请求的父进程是svchost.exe，其中的“-s WebClient”参数并不是必须添加的。

C:\Windows\system32\svchost.exe -k LocalService -p -s WebClient

类似Emotet这样的恶意软件在此前已经利用了这种技术。因此，我们始终需要分析这类命令行中包含的主机，并确保全部都是合法的。

有一个鲜为人知的命令行参数，就是“-sta”和“-localserver”。二者均可以用于加载恶意注册的COM对象。

如果我们在日志中看到以下内容，或者发现有进程使用了下面的命令行参数运行：

rundll32.exe –localserver < CLSID_GUID >rundll32.exe –sta < CLSID_GUID >

我们就需要验证相应的注册表项\HKEY_CLASSES_ROOT\CLSID\

我强烈推荐大家阅读@bohops的文章，以详细了解这种技术。在hexacorn的博客中，详细介绍了“-localserver”的变体。

https://bohops.com/2018/06/28/abusing-com-registry-structure-clsid-localserver32-inprocserver32/

攻击者可能会在rundll32.exe中使用的另一个命令行参数是“javascript”标志。

实际上，rundll32.exe实例可以使用mshtml.dll和javascript关键词来运行HTML或JavaScript代码。

rundll32.exe javascript:"\..\mshtml,RunHTMLApplication < HTML Code >

我从未见过这种方式的任何一次合法使用。因此，一旦我们在日志中发现了这类使用方法，就应该立即进行应急排查。

可以通过下面的资源，了解这种技术的更详细信息：

https://pentestlab.blog/2017/05/23/applocker-bypass-rundll32/

https://oddvar.moe/2017/12/13/applocker-case-study-how-insecure-is-it-really-part-1/

https://lolbas-project.github.io/lolbas/Binaries/Rundll32/

感谢大家的阅读，希望能通过本篇文章对Rundll32有所了解。

如果大家有任何反馈或建议，欢迎通过Twitter @nas_bench与我联系。

[1] https://bohops.com/2018/06/28/abusing-com-registry-structure-clsid-localserver32-inprocserver32/

[2] https://threathunterplaybook.com/evals/apt29/report.html

[3] https://www.hexacorn.com/blog/2020/02/13/run-lola-bin-run/

[4] https://www.trendmicro.de/cloud-content/us/pdfs/security-intelligence/white-papers/wp-cpl-malware.pdf

[5] https://support.microsoft.com/en-us/help/149648/description-of-control-panel-cpl-files

[6] https://isc.sans.edu/forums/diary/Lets+Trade+You+Read+My+Email+Ill+Read+Your+Password/24062/

[7] https://blog.didierstevens.com/2017/11/13/webdav-traffic-to-malicious-sites/

参考及来源：https://medium.com/@nasbench/a-deep-dive-into-rundll32-exe-642344b41e90