Използване на PowerShell за събиране на информация за инцидент

PowerShell е широко използван инструмент за автоматизация, който често се използва от разработчици на злонамерен софтуер и специалисти по информационна сигурност.
В тази статия ще разгледаме как може да се използва PowerShell за отдалечено събиране на данни от крайни устройства при реагиране на инциденти за информационна сигурност. За целта ще е необходимо да напишем скрипт, който ще бъде изпълнен на крайното устройство, след което ще последва подробно описание на самия скрипт.

function CSIRT{
param($path)
if ($psversiontable.psversion.major -ge 5)
	{
	$date = Get-Date -Format dd.MM.yyyy_hh_mm
	$Computer = $env:COMPUTERNAME
	New-Item -Path $path$computer$date -ItemType 'Directory' -Force | Out-Null
	$path = "$path$computer$date"

	$process = get-ciminstance -classname win32_process | Select-Object creationdate, processname,
	processid, commandline, parentprocessid

	$netTCP = Get-NetTCPConnection | select-object creationtime, localaddress,
	localport, remoteaddress, remoteport, owningprocess, state
	
	$netUDP = Get-NetUDPEndpoint | select-object creationtime, localaddress,
	localport, remoteaddress, remoteport, owningprocess, state

	$task = get-ScheduledTask | Select-Object author, actions, triggers, state, description, taskname|
	where author -notlike '*Майкрософт*' | where author -ne $null |
	where author -notlike '*@%systemroot%*' | where author -notlike '*microsoft*'

	$job = Get-ScheduledJob

	$ADS =  get-item * -stream * | where stream -ne ':$Data'

	$user = quser

	$runUser = Get-ItemProperty "HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"

	$runMachine =  Get-ItemProperty "HKLM:SoftwareMicrosoftWindowsCurrentVersionRun"

	$array = $process, $netTCP, $netUDP, $task, $user, $runUser, $runMachine, $job, $ADS
	$arrayName = "Processes", "TCPConnect", "UDPConnect", "TaskScheduled", "Users", "RunUser", "RunMachine",
	"ScheduledJob", "AlternativeDataStream"


	for ($w = 0; $w -lt $array.count; $w++){
		$name = $arrayName[$w]
		$array[$w] >> $path$name.txt
		}

	}

}

За да започнем работа, създаваме функция CSIRT, която ще приема аргумент - път за запазване на получените данни. Понеже повечето командлети работят в PowerShell v5, за да работи коректно, е направена проверка на версията на PowerShell.

function CSIRT{
		
param($path)# при изпълнение на скрипта е необходимо да се укаже директория за запазване
if ($psversiontable.psversion.major -ge 5)

За удобство при навигация през създадените файлове са инициализирани две променливи: $date и $Computer, на които ще бъдат присвоени името на компютъра и текущата дата.

$date = Get-Date -Format dd.MM.yyyy_hh_mm
$Computer = $env:COMPUTERNAME
New-Item -Path $path$computer$date –ItemType 'Directory' -Force | Out-Null 
$path = "$path$computer$date"

Списък на активните процеси от името на текущия потребител можем да получим по следния начин: ще създадем променлива $process, като й присвоим командлета get-ciminstance с клас win32_process. Използвайки командлета Select-Object, можем да добавим допълнителни извеждани параметри; в нашия случай това ще бъдат parentprocessid (идентификатор на родителския процес PPID), creationdate (дата на създаване на процеса), processed (идентификатор на процеса PID), processname (име на процеса) и commandline (команда за стартиране).

$process = get-ciminstance -classname win32_process | Select-Object creationdate, processname, processid, commandline, parentprocessid

За да получим списък на всички TCP и UDP връзки, ще създадем променливи $netTCP и $netUDP и ще им присвоим командлетите Get-NetTCPConnection и Get-NetUDPEndpoint съответно.

$netTCP = Get-NetTCPConnection | select-object creationtime, localaddress, localport, remoteaddress, remoteport, owningprocess, state

$netUDP = Get-NetUDPEndpoint | select-object creationtime, localaddress, localport, remoteaddress, remoteport, owningprocess, state

Също важен аспект е да узнаем списъка на планираните задачи и задания. За това ще използваме командлетите get-ScheduledTask и Get-ScheduledJob. Ще ги присвоим на променливи $task и $job, тъй като в системата по подразбиране има множество планирани задачи, затова, за да определим злонамерена активност, е необходимо да филтрираме легитимните планирани задачи. В това ще ни помогне командлетът Select-Object.

$task = get-ScheduledTask | Select-Object author, actions, triggers, state, description, taskname| where author -notlike '*Microsoft*' | where author -ne $null | where author -notlike '*@%systemroot%*' | where author -notlike '*microsoft*' # $task изключва автори, съдържащи “Microsoft”, “*@%systemroot%*”, както и „празни“ автори
$job = Get-ScheduledJob

В файловата система NTFS съществува понятието алтернативни потоци данни (Alternate Data Streams, ADS). Това означава, че файл в NTFS може допълнително да бъде свързан с няколко потока данни с произволен размер. С помощта на ADS можем да скрием данни, които няма да бъдат видими при стандартни проверки на системата. Благодарение на това може да се внедри злонамерен код и/или да се скрият данни.

За извеждане на алтернативните потоци данни в PowerShell ще използваме командлета get-item и вградения инструмент Windows stream със символа * за преглед на всички възможни потоци; за това ще създадем променлива $ADS.

$ADS = get-item * -stream * | where stream –ne ':$Data' 

Полезно ще бъде да узнаем и списъка на потребителите, влезли в системата; за това ще създадем променлива $user и ще й зададем изпълнението на командата quser.

$user = quser

Злоумышленниците, за да се утвърдят в системата, могат да направят промени в автозапуск. За да прегледате обектите в автозапуска, можете да използвате командлета Get-ItemProperty.
Да създадем две променливи: $runUser – за преглед на автозареждането от името на потребителя и $runMachine – за преглед на автозареждането от името на компютъра.

$runUser = Get-ItemProperty 
"HKCU:SoftwareMicrosoftWindowsCurrentVersionRun"
$runMachine = Get-ItemProperty 
"HKLM:SoftwareMicrosoftWindowsCurrentVersionRun"

За да се записва всяка информация в различни файлове, създаваме масив с променливи и масив с имена на файлове.

$array = $process, $netTCP, $netUDP, $task, $user, $runUser, $runMachine, $job, $ADS
$arrayName = "Processes", "TCPConnect", "UDPConnect", "TaskScheduled", "Users", "RunUser", "RunMachine",
"ScheduledJob", "Alternative Data Stream"

И, използвайки цикъл for, получените данни ще бъдат записани в файлове.

for ($w = 0; $w -lt $array.count; $w++){
	$name = $arrayName[$w]
	$array[$w] >> $path$name.txt

След изпълнение на скрипта ще бъдат създадени 9 текстови файла, съдържащи необходимата информация.

В момента специалистите по киберсигурност могат да използват PowerShell за обогатяване на информацията, необходима за справяне с разнообразни задачи в работата си. Добавяйки скрипт в автозареждането, можете да получавате определена информация без да правите дампове, образи и т.н.

Източник: habr.com