Търсим техники и тактики на атаките с използването на Prefetch файлове

Трасировъчни файлове, или Prefetch файлове, съществуват в Windows още от времето на XP. Оттогава те помагат на специалистите по цифрова криминалистика и реагиране на компютърни инциденти да откриват следите от стартиране на програми, включително злонамерени. Водещ специалист по компютърна криминалистика в Group-IB Олег Скулкин обяснява какво може да бъде намерено с помощта на Prefetch файлове и как да го направим.

Prefetch файловете се съхраняват в директорията %SystemRoot%Prefetch и служат за ускоряване на процеса на стартиране на програми. Ако погледнем който и да е от тези файлове, ще видим, че името му се състои от две части: името на изпълнимия файл и контрольна сума от пътя към него, състояща се от осем символа.

Prefetch файловете съдържат много полезна информация от криминалистична гледна точка: името на изпълнимия файл, броя на стартиранията му, списъци с файлове и директории, с които е взаимодействал изпълнимия файл, и, разбира се, времеви марки. Обикновено криминалистите използват датата на създаване на конкретен Prefetch файл, за да определят датата на първото стартиране на програмата. Освен това, тези файлове съхраняват датата на последното й стартиране, а започвайки от версия 26 (Windows 8.1) — времевите марки на седемте последни стартирания.

Нека вземем един от Prefetch файловете, извлечем данните от него с инструментите на PECmd на Ерик Циммерман и разгледаме всяка част от тях. За демонстрация ще извлека данни от файла CCLEANER64.EXE-DE05DBE1.pf.

И така, да започнем отгоре. Разбира се, имаме времеви марки за създаване, модификация и достъп до файла:

След тях следва името на изпълнимия файл, контрольна сума на пътя към него, размера на изпълнимия файл, а също и версията на Prefetch файла:

Тъй като имаме работа с Windows 10, следва да видим броя на стартиранията, датата и времето на последното стартиране и още седем времеви марки, указващи предишните дати на стартиране:

След тях следва информация за тома, включително серийния му номер и датата на създаване:

И накрая, но не по важност — списък с директории и файлове, с които е взаимодействал изпълнимият файл:

Така, каталогите и файловете, с които работи изпълнимият файл, са точно това, върху което искам да се фокусирам днес. Именно тези данни позволяват на специалистите по цифрова криминалистика, отговор на компютърни инциденти или проактивно търсене на заплахи да установят не само факта на изпълнението на определен файл, но и, в някои случаи, да реконструират конкретни тактики и техники на нападателите. Днес злонамерените лица често използват инструменти за безвъзвратно изтриване на данни, например SDelete, така че способността да се възстановяват поне следи от използването на определени тактики и техники е просто необходима на всеки съвременен защитник — компютърен криминалист, специалист по реагиране на инциденти, експерт в ThreatHunter.

Нека започнем с тактиката Initial Access (TA0001) и най-популярната техника — Spearphishing Attachment (T1193). Някои киберпрестъпни групи подхождат творчески към избора на такива вложения. Например групата Silence е използвала файлове във формат CHM (Microsoft Compiled HTML Help). Така пред нас стои още една техника — Compiled HTML File (T1223). Тези файлове се стартират с помощта на hh.exe, следователно, ако изтеглим данните от неговия Prefetch файл, ще разберем кой точно файл е бил отворен от жертвата:

Ще продължим с примери от реални случаи и ще преминем към следващата тактика Execution (TA0002) и техниката CSMTP (T1191). Microsoft Connection Manager Profile Installer (CMSTP.exe) може да бъде използван от нападателите за стартиране на злонамерени скриптове. Добър пример е групата Cobalt. Ако изтеглим данните от Prefetch файла cmstp.exe, отново ще можем да разберем какво точно е било стартирано:

Още една популярна техника е Regsvr32 (T1117). Regsvr32.exe също така често се използва от нападателите за стартиране. Ето още един пример от групата Cobalt: ако изтеглим данните от Prefetch файла regsvr32.exe, отново ще видим какво е било стартирано:

Следващите тактики — Persistence (TA0003) и Privilege Escalation (TA0004), както и Application Shimming (T1138) като техника. Тази техника е била използвана от Carbanak/FIN7 за закрепване в системата. Обикновено за работа с бази данни с информация за съвместимост на програмите (.sdb) се използва sdbinst.exe. Следователно, Prefetch файлът на този изпълним файл може да ни помогне да разберем имената на такива бази данни и тяхното местоположение:

Както може да се види на илюстрацията, имаме не само името на файла, използван за инсталацията, но и името на инсталираната база данни.

Нека да разгледаме един от най-характерните примери за интернет промоция (TA0008) — PsExec, който използва административни споделени ресурси (T1077). Услугата с името PSEXECSVC (разбира се, може да се използва и всяко друго име, ако атакуващите използват параметъра -r) ще бъде създадена на целевата система, следователно, ако извлечем данни от Prefetch-файла, ще видим какво е било стартирано:

Ще завърша с това, с което започнах — изтриването на файлове (T1107). Както вече споменах, много атакуващи използват SDelete за безвъзвратно изтриване на файлове на различни етапи от жизнения цикъл на атаката. Ако погледнем данните от Prefetch-файла sdelete.exe, ще видим какво точно е било изтрито:

Разбира се, това не е изчерпателен списък с техники, които могат да бъдат открити по време на анализа на Prefetch файловете, но това би трябвало да е напълно достатъчно, за да разберат, че тези файлове могат да помогнат не само за намиране на следи от стартиране, но и за реконструиране на конкретни тактики и техники на атакуващите.

Източник: habr.com