Търсене на атакуващи техники и тактики с помощта на Prefetch файлове

Файловете за проследяване или файловете за предварително извличане съществуват в Windows от XP. Оттогава те помогнаха на специалистите по дигитална криминалистика и компютърни инциденти да открият следи от софтуер, включително злонамерен софтуер. Водещ специалист по компютърна криминалистика Group-IB Олег Скулкин ви казва какво можете да намерите с помощта на Prefetch файлове и как да го направите.

Файловете за предварително извличане се съхраняват в директорията %SystemRoot%Prefetch и служат за ускоряване на процеса на стартиране на програми. Ако разгледаме някой от тези файлове, ще видим, че името му се състои от две части: името на изпълнимия файл и контролна сума от осем знака от пътя до него.

Файловете за предварително извличане съдържат много информация, полезна от криминалистична гледна точка: името на изпълнимия файл, броя пъти, в които е бил изпълнен, списъци с файлове и директории, с които е взаимодействал изпълнимият файл, и, разбира се, времеви клейма. Обикновено криминалистите използват датата на създаване на определен файл Prefetch, за да определят датата, на която програмата е стартирана за първи път. Освен това тези файлове съхраняват датата на последното му стартиране и, като се започне от версия 26 (Windows 8.1) - времевите клейма на седемте последни изпълнения.

Нека вземем един от файловете Prefetch, да извлечем данни от него с помощта на PECmd на Eric Zimmerman и да разгледаме всяка част от него. За да демонстрирам, ще извлека данни от файл CCLEANER64.EXE-DE05DBE1.pf.

Така че нека започнем отгоре. Разбира се, имаме времеви отпечатъци за създаване, модифициране и достъп до файлове:

Те са последвани от името на изпълнимия файл, контролната сума на пътя до него, размера на изпълнимия файл и версията на файла Prefetch:

Тъй като се занимаваме с Windows 10, след това ще видим броя на стартиранията, датата и часа на последното стартиране и още седем времеви отпечатъка, показващи предишни дати на стартиране:

Те са последвани от информация за тома, включително неговия сериен номер и дата на създаване:

Не на последно място е списък с директории и файлове, с които е взаимодействал изпълнимият файл:

И така, директориите и файловете, с които взаимодейства изпълнимият файл, са точно това, върху което искам да се съсредоточа днес. Именно тези данни позволяват на специалистите по дигитална криминалистика, реагиране на компютърни инциденти или проактивен лов на заплахи да установят не само факта на изпълнение на конкретен файл, но също така, в някои случаи, да възстановят специфични тактики и техники на нападателите. Днес нападателите доста често използват инструменти за постоянно изтриване на данни, например SDelete, така че способността да се възстановят поне следи от използването на определени тактики и техники е просто необходима за всеки модерен защитник - специалист по компютърна криминалистика, специалист по реагиране при инциденти, ThreatHunter експерт.

Нека започнем с тактиката за първоначален достъп (TA0001) и най-популярната техника, Spearphishing Attachment (T1193). Някои киберпрестъпни групи са доста креативни в избора си на инвестиции. Например групата Silence използва файлове във формат CHM (Microsoft Compiled HTML Help) за това. Така имаме пред себе си друга техника - компилиран HTML файл (T1223). Такива файлове се стартират с помощта на hh.exe, следователно, ако извлечем данни от неговия Prefetch файл, ще разберем кой файл е бил отворен от жертвата:

Нека продължим да работим с примери от реални случаи и да преминем към следващата тактика за изпълнение (TA0002) и CSMTP техника (T1191). Програмата за инсталиране на профила на Microsoft Connection Manager (CMSTP.exe) може да се използва от нападателите за изпълнение на злонамерени скриптове. Добър пример е групата Cobalt. Ако извлечем данни от файла Prefetch cmstp.exe, тогава отново можем да разберем какво точно е стартирано:

Друга популярна техника е Regsvr32 (T1117). Regsvr32.exe също често се използва от нападателите за стартиране. Ето още един пример от групата Cobalt: ако извлечем данни от Prefetch файл regsvr32.exe, тогава отново ще видим какво е стартирано:

Следващите тактики са Persistence (TA0003) и Privilege Escalation (TA0004), с Application Shimming (T1138) като техника. Тази техника е използвана от Carbanak/FIN7 за закрепване на системата. Обикновено се използва за работа с бази данни за съвместимост на програми (.sdb) sdbinst.exe. Следователно файлът Prefetch на този изпълним файл може да ни помогне да открием имената на такива бази данни и техните местоположения:

Както можете да видите на илюстрацията, имаме не само името на файла, използван за инсталиране, но и името на инсталираната база данни.

Нека да разгледаме един от най-често срещаните примери за мрежово разпространение (TA0008), PsExec, използвайки административни дялове (T1077). Услуга с име PSEXECSVC (разбира се, може да се използва всяко друго име, ако нападателите са използвали параметъра -r) ще бъдат създадени в целевата система, следователно, ако извлечем данните от файла Prefetch, ще видим какво е стартирано:

Вероятно ще завърша откъдето започнах – изтриване на файлове (T1107). Както вече отбелязах, много нападатели използват SDelete за постоянно изтриване на файлове на различни етапи от жизнения цикъл на атаката. Ако погледнем данните от файла Prefetch sdelete.exe, тогава ще видим какво точно е изтрито:

Разбира се, това не е изчерпателен списък от техники, които могат да бъдат открити по време на анализа на Prefetch файлове, но това трябва да е достатъчно, за да се разбере, че такива файлове могат да помогнат не само да намерят следи от стартирането, но и да реконструират специфични тактики и техники на атакуващи .

Източник: www.habr.com